Oppsummering av nyhetsbildet innen datasikkerhet for mars 2019

Antall alvorlige hendelser relatert til tjenesten sikkerhetsovervåking gikk noe opp fra 112 i februar til 153 denne måneden. Hendelsen var en blanding av forskjellige trojanere, ulovlig utvinning av kryptovaluta og diverse annen uønsket programvare.

Det var 356 bekreftede DDoS-angrep denne måneden, opp fra 305 i februar. 142 av angrepene ble mitigert. Et gjennomsnittlig angrep var på 3.4 Gbps og varte typisk i 19 minutter. Det største angrepet observert i denne perioden var på 58 Gbps og varte i litt over én time. To av TSOCs bedriftskunder ble utsatt for angrep denne måneden.

Hydro ble natt til tirsdag 19. mars utsatt for et større cyber-angrep i form av løsepengevirus. Målet kan ha vært å presse Hydro for penger, men det egentlige målet kan også ha vært å sabotere bedriften. Hydro måtte bytte over til manuelle rutiner i produksjonsprosessene der dette var mulig. Det var malwaren LockerGoga som brukt, en relativt enkel malware som ikke har nettverkskommunikasjon. Den må derfor manuelt kopieres til klienter og servere i bedriften som angripes. I Hydros tilfelle ble dette gjort ved at angriperne fikk tilgang til deres Active Directory server. Herfra hadde angriperne full kontroll over nettverket. Det er usikkert hvem som står bak angrepet. Mot slutten av måneden opplyste Hydro at cyberangrepet kan komme til å koste dem opp mot 350 millioner kroner.

Den Taiwan-baserte teknologigiganten ASUS antas å ha eksponert hundretusener av kunder for malware gjennom sitt automatiske programvareoppdateringsverktøy. Angripere kompromitterte selskapets oppdateringsserver og brukte den til å sende ut malware til nøye utvalgte maskiner. Det er antakelig en avansert aktør som står bak angrepet. Oppdateringsverkøyet sjekket maskinene for spesifikke MAC-adresser før selve malwaren ble lastet ned. Dette var altså et svært målrettet angrep mot et fåtall maskiner. Det tok lang tid før operasjonen ble oppdaget.

WebAuthn er et grensesnitt brukt av webapplikasjoner for autentisering ved hjelp av offentlige, og private nøkler. For å autentisere seg, kan brukeren benytte både fysiske sikkerhetsnøkler og biometri. W3C og FIDO annonserte nylig at WebAuthn blir den offisielle webstandarden for passordfri innlogging.

I mars kom det fram at komprimeringsverktøyet WinRar hadde en alvorlig svakhet som hadde eksistert i 19 år. Svakheten ble fikset i versjon 5.70 som ble lansert 26. februar. Siden har svakheten blitt utnyttet i flere kampanjer av avanserte aktører.

Citrix ble informert av FBI 6. mars at uautoriserte brukere har vært på deres interne nettverk. Citrix jobber fortsatt med å kartlegge omfanget, men melder så langt at bedriftsdokumenter er lekket, uten at det er klart hva slags dokumenter dette dreier seg om. Det er foreløpig ingen tegn på at tjenestene de tilbyr videre har blitt kompromittert. Det ukjente sikkerhetsselskapet Resecurity hevder det er Iranske hackere som står bak angrepet.

Tidlig denne måneden ble det meldt om to nye svakheter i henholdsvis Google Chrome og Windows 7. APT-grupperingene SandCat og FruityArmor utnyttet disse i aktive angrep. Svakheten i Windows brukes til å få kernel-tilgang etter først ha fått tilgang til en PC via Google Chrome. Google patchet først Google Chrome, mens Microsoft patchet Windows i sin månedlige sikkerhetsoppdatering.

I følge en rapport fra Trend Micro er norske bedrifter spesielt attraktive for IT-angrep via direktørsvindel. Norge står for 1,9% av alle registrerte forsøk på verdensbasis og dette plasserer Norge på en femteplass i verden over land utsatt for direktørsvindel.

I domstolsdokumenter som ble utgitt 29. mars, kom det fram at Microsoft har hatt en pågående kamp mot en aktør som blir støttet av Iranske myndigheter. Microsoft fikk gjennomslag for å ta over flere av domenene til gruppen, som er kjent som APT35, Phosphorus, Charming Kitten eller Ajax Security Domain. Domene som Microsoft tok over har blitt brukt til målrettet phishing mot brukere i hele verden. Noen av domene etterlignet eksisterende Microsoft-tjenester.