Oppsummering av nyhetsbildet innen datasikkerhet for januar 2020

Sikkerhetsforskere advarte tidlig i januar om aktive skanninger etter et kritisk sikkerhetshull i Citrix-servere. Sårbarheten (CVE-2019-19781) ble avslørt i desember og påvirker Citrix Application Delivery Controller - også kjent som NetScaler ADC og Citrix Gateway. Svakheten gjør det mulig for en angriper å utføre ekstern kjøring av kode uten å autentisere seg. Senere i måneden ble det publisert fungerende PoC (Proof of Concept)-kode som demonstrerte svakheten, uten at det enda var noen patcher tilgjengelig fra Citrix. Citrix publiserte etter hvert instruksjoner for hvordan utstyret kunne settes opp på en måte som hindret svakheten i å bli utnyttet. Utover måneden ble etter hvert tusenvis av sårbare systemer kompromittert. Mot slutten av måneden slapp Citrix endelig patcher for svakheten.

Microsoft utbedret 49 svakheter i Windows og relaterte produkter i januar i sin månedlige oppdatering. Det ble spesielt mye oppmerksomhet rundt en svakhet som ble meldt inn av NSA i USA. Denne svakheten fikk navnet CVE-2020-0601 og befinner seg i Windows CryptoAPI (Crypt32.dll), og er en alvorlig svakhet relatert til verifisering av kryptografiske sertifikater. Svakheten kan utnyttes til å signere filer ved hjelp av forfalskede sertifikater slik at de fremstår som signert av en troverdig kilde. Svakheten kan også utnyttes til å utføre man-in-the-middle angrep og dekryptere kryptert kommunikasjon. Den ble demonstrert i simulerte angrep kort tid etter at patchen ble offentlig, men er så langt kjent ikke brukt i reelle angrep.

Med denne månedens patchedag for Microsoft-produkter er det nå End-of-Life for patcher til Windows 7. Det finnes fortsatt millioner av maskiner som ikke er oppgradert og som dermed vil være sårbare for sikkerhetssvakheter som fikses i nyere Windows-versjoner fremover. Det anbefales å jobbe mot å oppdatere til Windows 10 så snart som mulig, selv om det er mulig for bedrifter å kjøpe utvidet Windows 7 sikkerhetsstøtte en stund fremover.

Denne måneden ble det avslørt at Avast selger sensitive data om sine kunders Internett-bruk gjennom et datterselskap kalt Jumpshot. De reklamerte med at kundene kan få tilgang til hvert klikk, søk og kjøp som kundene gjør. Dataene samles inn gjennom Avast Antivirus og krever samtykke fra kundene, men ikke alle kundene er enig i at de faktisk har gitt samtykke selv om data samles inn. Det er gjort forsøk på å anonymisere dataene, men mange brukere kan antakeligvis de-anonymiseres. Senere i måneden forsvant nettsidene til Jumpshot etter at de ble nedlagt.

Fem Elasticsearch-databaser, som inneholdt 250 millioner support-hendelser fra Microsoft kundesupport fra 2005 til nå, lå åpent på internett i minst to dager mot slutten av 2019. Microsoft sikret databasene i slutten av desember 2019. Det er usikkert hvor mye data som har blitt kopiert ut og Microsoft jobber med å varsle de som er rammet.

Kostnader ved utpressingsangrep doblet seg i siste kvartal i 2019 ifølge forskere ved Coveware. Dette skyldes at angripere sikter seg inn på større bedrifter og konsern, og at nedetiden som følge av angrep har økt betraktelig til i snitt 16 dager. Gjennomsnittlig utbetaling til angriperne har også økt til $84.116.

Det har vært mye strid omkring hvorvidt Huawei skal få levere utstyr i forbindelse med utrullingen av 5G-mobilnett rundt om i Europa. Nå har Huawei fått innpass i Storbritannias utvikling av 5G nettet i begrenset omfang. Trump-administrasjonen er skuffet.

I januar håndterte vi 204 alvorlige hendelser i forbindelse med tjenesten Sikkerhetsovervåking, ned fra 261 i desember. Denne måneden er det igjen forskjellige ondsinnede utvidelser til nettlesere samt graving etter kryptovaluta som dominerer hendelsene.

Det var 438 bekreftede DDoS-angrep denne måneden, opp fra 367 i desember. 193 av angrepene ble mitigert. Et gjennomsnittlig angrep var på 2.26 Gbps og varte typisk i 27 minutter. Det største angrepet observert i denne perioden var på 41.3 Gbps og varte i 27 minutter. Ni av TSOCs bedriftskunder ble utsatt for angrep denne måneden.