Oppsummering av nyhetsbildet innen datasikkerhet for august 2019

Google Project Zero meldte om en serie med iOS 0-dags svakheter funnet på en rekke kompromitterte nettsider. Nettstedene brukte fem forskjellige sårbarhets-kjeder satt sammen fra 14 svakheter for å kompromittere telefonene uten at brukeren merket noe. Tusenvis av enheter fikk installert overvåkingsprogramvare over en periode på to år. Google meldte fra om svakhetene til Apple og disse ble fikset i februar med iOS versjon 12.1.4. TechCrunch meldte senere at Kina brukte de mye omtalte svakhetene i iPhones til å installere malware for å overvåke Uighurer, en folkegruppe som blant annet har tilhold i Kina.

Google har tatt for seg den delen av angrepsflaten til iPhone som kan nås via mobilnettverket og der brukeren ikke trenger å gjøre noe for å bli kompromittert. Dette dreier seg om SMS, MMS, Visual Voicemail, e-post og iMessage. Denne typen svakheter har ved flere tilfeller blitt brukt av avanserte statlig aktører mot iPhoner. De mest alvorlige svakhetene ble funnet i iMessage, og gjorde at angripere kunne hente informasjon fra mobiltelefoner. Google fant til sammen 10 svakheter og rapporterte disse til Apple. Alle ble fikset i iOS versjon 12.4.

Under konferansen Black Hat i Las Vegas annonserte Ivan Krstic, lederen for Apple Security Engineering and Architecture, at Apple nå revolusjonerer sitt program for sårbarhetsrapportering. Sikkerhetsforskere som finner en svakhet som lar en angriper få fullstendig, vedvarende og fjernstyrt kontroll over et system uten handling fra slutt-brukeren mottar en dusør på hele 1 million amerikanske dollar. Alle svakheter som avdekkes i beta-platformen øker også dusøren med 50%, dermed kan man potensielt tjene 1.5 millioner amerikanske dollar for å melde inn én enkelt svakhet.

Sikkerhetsforskere har oppdaget en trojan dropper-modul i den populære Android-applikasjonen CamScanner. Dette er i utgangspunktet en legitim applikasjon som har blitt lastet ned over 100 millioner ganger. Skadevaren ble innført da utviklerne av applikasjonen la til et kompromittert bibliotek for å vise annonser. Dropper-trojaneren sørger for å infisere enheten videre ved å laste ned og installere annen skadevare. Utviklerne har gitt ut en ny versjon som fjerner det kompromitterte biblioteket, men applikasjonen ble også midlertidig fjernet fra Play Store. Den ondsinnede modulen ble oppdaget av Igor Golovin og Anton Kivva som arbeider for Kaspersky.

Under Sikkerhetsfestivalen i Lillehammer ble det på mandag informert om et nytt prosjekt som har fått navnet Kommune CSIRT (Computer Security Incident Response Team). Prosjektet går ut på å opprette et eget sikkerhetssenter for norske kommuner, ettersom de ikke er godt nok rustet mot hacking og andre digitale sårbarheter. Oppland fylkeskommune, Lillehammer- og Gjøvik kommune blir prosjekteiere og bidrar med til sammen 8 millioner kroner. Prosjektleder Jan Tore Meren sier i en uttalelse av nettkriminalitet og IKT-sikkerhet har blitt et stadig økende problem for kommunene. Senteret skal driftes fra innlandet, ettersom de har utviklet en bred kompetanse innen IKT-sikkerhet over flere år.

Hittil i år har det kommet en rekke forsyningskjede-angrep gjennom åpen kildekode-programvare, og dette ser ikke ut til å avta. Mandag ble det avslørt en ny bakdør i 11 biblioteker tilgjengelige i RubyGems-pakkebrønnen. Her ble det blant annet avdekket at koden inneholdt en kryptominer. Denne uken ble det også meldt om svakheter i det populære verktøyet Webmin. Prosjekter for åpen kildekode har ofte hundrevis av utviklere, der mange er anonyme. Ny kildekode blir sjekket av flere før den blir lagt til, men ikke alle bakdører er like lette å oppdage.

Firmaet Suprema står bak diverse biometri-systemer som fingeravtrykk og ansiktsgjenkjenning for autentisering. Disse brukes blant annet i høysikkerhets dørlåser av firmaer som britiske banker, industri og forsvaret. Firmaet hadde åpne databaser tilgjengelig på Internett som inneholdt biometri-informasjon, brukernavn, passord osv. for over 1 million brukere. Dette er spesielt problematisk med biometrisk informasjon, siden denne ikke endrer seg.

Ved utstedelse av EV (Extended Validation)-sertifikater må mottakeren av sertifikatet bevise at han representerer et spesifikt firma. Nettleseren viser så navnet på dette firmaet i nettleseren. For rundt et år siden ble Extended Validation-sertifikater usynlige i Safari. Det samme vil skje i Google Chrome og Firefox om kort tid. Det virker dermed som om det er liten nytte i å benytte seg av EV-sertifikater framover.

I august håndterte vi 135 alvorlige hendelser i forbindelse med tjenesten Sikkerhetsovervåking, opp fra 69 i juni. Antall hendelser har altså tatt seg opp igjen etter sommerferien.

Det var 284 bekreftede DDoS-angrep denne måneden, opp fra 204 i juli. 84 av angrepene ble mitigert. Et gjennomsnittlig angrep var på 3.23 Gbps og varte typisk i 21 minutter. Det største angrepet observert i denne perioden var på 91.4 Gbps og varte i fire timer. Tre av TSOCs bedriftskunder ble utsatt for angrep denne måneden.