Oppsummering av nyhetsbildet innen datasikkerhet for april 2019

Antall alvorlige hendelser relatert til tjenesten Sikkerhetsovervåking gikk ned fra 153 i mars til 105 i april. Denne måneden så vi et oppsving i malware på Mac-maskiner grunnet trojaneren Shlayer. Ellers er det fortsatt en del maskiner som blir infisert for å drive med utvinning av kryptovaluta.

Det var 262 bekreftede DDoS-angrep denne måneden, ned fra 356 i mars. 94 av angrepene ble mitigert. Et gjennomsnittlig angrep var på 2.8 Gbps og varte typisk i 20 minutter. Det største angrepet observert i denne perioden var på 21 Gbps og varte i bare fem minutter. Fem av TSOCs bedriftskunder ble utsatt for angrep denne måneden.

Den Indiske IT-gianten Wipro ble rammet av et datainnbrudd denne måneden. Fra Wipros systemer har angriperne beveget seg videre til minst 11 kunder, blant dem CapGemini, Avanade, Cognizant, Infosys og Rackspace. Wipro har bekreftet angrepet. Senere kom det fram at angrepet mest sannsynlig var gjort av en gruppering som i flere år har drevet med svindel innenfor gavekort og fordelsprogrammer, og ikke en statsstøttet aktør som først antatt.

Passord-spraying, eller credential stuffing, er en angrepsform som har økt i omfang i  det siste. Angriperne får tak i lekkede brukernavn og passord fra datainnbrudd og bruker samme brukernavn og passord mot andre tjenester. Veldig mange brukere benytter det samme passordet på flere tjenester, og kontoen kan dermed tas over. En del tjenestetilbydere sjekker brukernes passord opp mot lekkede passord og tvinger i så fall passordbytte. Å tvinge bruk av to-faktor autentisering kan også motvirke denne typen angrep.

Wired har skrevet en artikkel om hvordan den Nord-Koreanske hackergruppen APT-38 aktivt blir brukt til å stjele kryptovaluta for å finansiere nasjonens atomvåpen. I perioden januar 2017 til september 2018 skal gruppen ha stjålet 571 millioner dollar fra fem ulike kryptovaluta-børser i Asia.

Legemiddelfirmaet Bayer opplyste at de har vært utsatt for et dataangrep utført fra Kina. Firmaet oppdaget malware i nettverket sitt tidlig i 2018. De overvåket angrepet fram til mars og har nå fjernet all malware fra nettverket. Firmaet opplyser at ingen data ble stjålet. Sikkerhetseksperter mener angrepet har vært utført av APT-grupperingen Wicked Panda ved hjelp av programvaren WINNTI.

Google lanserte i april en løsning hvor man benytter en Android telefon som fysisk sikkerhetsnøkkel. Dette gjelder Android versjon 7 eller nyere. Ved hjelp av nettleseren Chrome, Bluetooth og en Android telefon får man en fysisk enhet som kan benyttes istedenfor en vanlig fysisk sikkerhetsnøkkel. Denne løsningen er sikrere enn å skrive inn en engangskode via en SMS eller app, siden enheten som det blir logget inn på må kommunisere med telefonen via Bluetooth og dermed sikre at telefonen er fysisk i nærheten.

I mars ble det oppdaget kritiske svakheter i både samhandlingsverktøyet Confluence og Oracle WebLogic. Disse systemene er typisk eksponert mot Internet, og tusenvis av systemer som ikke ble patchet hurtig nok ble kompromittert. Angriperne installerte typisk utpressingsprogramvare (ransomware) eller programvare for å utvinne kryptovaluta på systemene.

Siden 25. mars har ukjente personer lekket detaljer rundt operasjonene til den iranske APT-grupperingen APT34/OilRig. Informasjonen omhandler verktøy, ofre og identiteten til flere av medlemmene og blir lekket via tjenesten Telegram.

Google har gitt ut sin årlige sikkerhetsrapport for Android og Google Play. Antallet potensielt skadelige apper installert fra Google Play doblet seg i fjor, men dette skyldes hovedsakelig at apper som driver med click fraud i bakgrunnen nå har blitt definert som skadelige. Google advarer også mot at en del “billig”-leverandører inkluderer skadelige apper på håndsettene sine. Telefoner fra leverandøren BLU var utsatt for dette i fjor.