Oppsummering av nyhetsbildet innen datasikkerhet for mai 2017

I mai tok antallet alvorlige hendelser registrert via tjenesten Sikkerhetsovervåking seg kraftig opp igjen. Vi registrerte 120 hendelser, nesten en dobling fra april.

Det var 802 bekreftede DDoS-angrep i mai. 108 av disse ble mitigert. Et gjennomsnittlig angrep var på 1.12 Gbps og varte i 24 minutter. Det største angrepet observert i denne perioden var på 12.3 Gbps og varte 19 minutter.

Et større antall offentlige institusjoner og firmaer ble rammet av ransomwaren kalt WannaCry som spredde seg over hele verden. I Storbritannia ble blant annet mange sykehus rammet. I Norge var spredningen heldigvis liten, og det ble kun meldt om et fåtall smittede maskiner. Malwaren spredde seg som en orm fra maskin til maskin ved hjelp av en svakhet i fildelingsprotokollen SMB. Eldre versjoner av Windows uten siste oppdateringer ble rammet. Svakheten som ble utnyttet i angrepet var en del av en større lekkasjer fra NSA og hadde det interne navnet Eternal Blue. Grupperingen Shadow Brokers har siden sommeren 2016 sluppet interne data, og denne svakheten ble sluppet 14. april. NSA har informert Microsoft på et tidligere tidspunkt, siden en patch for den ble sluppet allerede 14. mars.

Ransomwaren WannaCry er forholdsvis amatørmessig laget, og mangler blant annet muligheten for å spore betalinger på en skikkelig måte. Flere mistenker at Nord Korea står bak, mye på grunn av gjenbruk av kode fra tidligere angrep utført av Lazarus Group, som er satt i sammenheng med Nord Korea. Andre mener at det mest sannsynlig dreier seg om et angrep utført av mindre dyktige cyberkriminelle med et økonomisk motiv. Etter hvert ble det utviklet et verktøy som kan dekryptere rammede maskiner, dersom maskinen enda ikke har blitt omstartet.

Det franske partiet "En marche!", ledet av Emmanuel Macron, ble utsatt for et hackerangrep kort tid før presidentvalget. Data som ble stjålet i angrepet inneholder informasjon fra e-postkontoer til en rekke av partiets medlemmer. Opp mot 9GB med data skal ha blitt delt via nettstedet Pastebin. Spor etter angrepet tyder på at den russiske hackergrupperingen APT28 står bak angrepet. Dette er den samme gruppen som ble mistenkt for hacking mot det amerikanske valget, og mange mistenker russiske sikkerhetstjenester for å stå bak. Gruppen registrerte domener med navn relatert til det franske partiet i mars, deriblant onedrive-en-marche.fr og mail-en-marche.fr. Medlemmer av Macron sitt kampanjeteam brukte falske e-postkontoer fylt med falsk informasjon for å hindre hackerne som angrep dem like før valget. Dette ble gjort for å forsinke angriperne, som dermed måtte prøve å skille mellom ekte og falske brukere. Angrepet ser ikke ut til å ha hatt noen vesentlig innvirkning på valget.

En rekke CPU-brikkesett utgitt av Intel de siste 9 årene lider av en sårbarhet som kan gi angriper tilgang til konsoll utenfra mot den sårbare maskinen. Ettersom tilgangen skjer på hardware-nivå, kan det være mulig å installere skadevare som ikke kan oppdages av operativsystemet. Sårbarheten berører systemer der man har aktivert Active Management Technology (AMT), Standard Manageability (ISM) eller Small Business Technology (SBT). Intel har utgitt patcher som tetter sårbarhetene. Sårbarheten rammer spesielt servere, og angripere kan logge inn på disse uten å autentisere seg.

Samsung Galaxy S8 er den første flaggskip-telefonen som bruker biometrisk iris-verifikasjon for autentisering av brukere. I mai kom det fram at iris-skanneren i S8 enkelt kan bli lurt av et bilde av en person tatt med et digitalkamera med nattmodus. Det var hackere hos hos Chaos Computer Club (CCC) som kom med avsløringen. Samsung bruker iris for autentisering i deres betalingsløsning Samsung Pay og det er også ventet at iris-skanning kommer til å bli brukt til å aksessere mange andre systemer i nær fremtid, eks flyplasser, telefoner, IoT-enheter og betalingsløsninger. En talsmann fra CCC sier at den tradisjonelle PIN-koden fortsatt er sikrere.