SIKKERHET | Månedens etterretning
Cyberrisikoen er høy. Hva gjør du nå?
For første gang har NSM gått offentlig ut og hevet det nasjonale cyberrisikonivået. Samtidig angripes kjøledisker over hele Europa, og en kritisk PHP-sårbarhet ble utnyttet på få dager. Høsten har blitt den stresstesten jeg skrev om i september.
Thomas Havdal Rydland
Thomas Havdal Rydland er leder for etterretning i Advania Cyber Defence Center. Han rapporterer månedlig til Computerworld om hva som beveger seg på sikkerhetsfronten for norske virksomheter.
I slutten av oktober hevet NSM det nasjonale cyberrisikonivået fra moderat til høyt. Slike vurderinger har tidligere vært gradert og bare delt med et fåtall virksomheter. At NSM går ut offentlig, er et viktig signal i seg selv.
Begrunnelsen er en tredobling av vellykkede angrep mot norske virksomheter det siste året. NSM-direktør Arne Christian Haugstøyl viste blant annet til innbruddet i Lørenskog kommune, den raske økningen i bruk av kunstig intelligens i cyberoperasjoner og de kritiske sårbarhetene i PHP.
NSM peker på at leverandører til virksomheter som er underlagt sikkerhetsloven, bør være obs. Dette inkluderer så godt som alle norske IT- og driftsleverandører. De er ikke nødvendigvis selve målet, men veien inn til noen som er det.
Flere alarmer hos oss også
I vårt eget cyber defense center så vi en svak nedgang i alarmer i september etter en usedvanlig travel august. I oktober snudde det igjen, og vi håndterte merkbart flere alarmer enn måneden før.
Våre tall er ikke et mål på trusselbildet i hele Norge, men de peker i samme retning som NSMs vurdering. Trykket går ikke ned, og vi kan ennå ikke senke skuldrene.
Kjølediskene var ikke en engangshendelse
Fra midten av oktober og inn i november er flere kjøledisker blitt hacket i Europa. Heller ikke Norden er forskånet: Butikker i både Sverige og Norge mistenker tilsvarende angrep. EUs matkommissær Christophe Hansen kaller det et bevisst forsøk på å forstyrre matforsyningen i Europa. Ifølge italienske RAI har de prorussiske gruppene NoName057(16) og Z-Pentest tatt på seg skylden, men det er ikke bekreftet.
Det nye nå er tempoet. Det gikk bare tre uker fra angrepene i Frankrike til nye land ble rammet. Lærdommen er å ha oversikt over alt som er koblet til internett, også utstyr vi ikke tenker på som IT.
PHP2Shell: fra retting til angrep på dager
21. oktober kom PHP med oppdateringer for to kritiske sårbarheter som lar en angriper ta over serveren uten å logge inn. Oppdateringen kom en dag tidligere enn planlagt fordi informasjon om hullene hadde lekket ut. To dager senere var det publisert ferdig angrepskode, og CISA bekrefter at begge sårbarhetene nå brukes i angrep.
PHP er også bygget inn i mange kommersielle produkter, så sjekk med leverandørene. Versjon 8.1 og eldre får ingen oppdatering og må oppgraderes. Som med NetScaler i september er det heller ikke nok å oppdatere. Har en PHP-server vært tilgjengelig fra internett før den ble oppdatert, bør den undersøkes for spor etter innbrudd.
AdFection: spionvare gjennom reklame
15. oktober avslørte Citizen Lab ved Universitetet i Toronto en ny måte å spre spionvare på. De kaller den AdFection. Offeret trenger ikke å klikke på noe. Det holder at en annonse vises på skjermen.
Nettreklame selges på lynraske auksjoner, der annonsøren får vite hvor brukeren er og hvilken enhet og nettverk de bruker. Det israelske selskapet Discover-Tech fremsto som et vanlig reklameselskap, men brukte dette til å treffe utvalgte enkeltpersoner med spionvare. Alle andre så bare en vanlig annonse. Metoden er blant annet dokumentert brukt mot minst 45 enheter hos Al Jazeera.
Annonsene ble også vist på nettverkene til blant annet Stortinget, Digitaliseringsdirektoratet, Nkom, politiet og Kripos, og hos kommuner i Nord-Norge nær militære anlegg. En visning er ikke det samme som en infeksjon, men det viser at annonsene nådde helt inn i sentrale norske nettverk. Discover-Tech er nå stengt ute fra Google og flere andre plattformer, men Citizen Lab advarer om at målrettet reklame i seg selv er en sikkerhetsrisiko.
Flere norske hendelser i oktober
Listen over norske hendelser i oktober er lang:
Norad oppdaget 30. oktober et angrep mot tilskuddsportalen. Navn og e-postadresser til over 20 000 brukere kan være hentet ut, og NSM ser likhetstrekk med andre nylige angrep i Norge.
Gripr, et HMS- og prosjektverktøy for håndverksbransjen, fikk kundedata kopiert 26. oktober. Data om 3 800 bedrifter, rundt 85 000 kontaktpersoner og 45 500 privatpersoner kan være på avveie, for noen også fødselsnummer.
Regnskap Norge slo tidlig i måneden alarm etter gjentatte tjenestenektangrep (DDoS) og nedetid hos Altinn og Skatteetaten.
Gripr-saken viser leverandørpoenget til NSM. En liten programvareleverandør kan sitte på data om tusenvis av virksomheter som selv aldri ble angrepet.
Fem grep norske virksomheter bør ta nå
Les NSMs tiltakspakke og bestem hva dere gjør med den. Sett av tid i ledelsen denne måneden, ikke neste kvartal.
Finn PHP-en deres, også i kjøpte produkter og interne verktøy. Oppdater, og undersøk det som har vært eksponert mot internett.
Gå gjennom leverandørene med NSMs blikk. Hvem har tilgang inn, hvem sitter på data om dere, og hva skjer hvis en av dem blir rammet?
Sjekk det som ikke er IT. Vet dere hva som er koblet til, og hva som kan nås direkte fra internett?
Se på reklame som angrepsflate. For nøkkelpersonell bør reklameblokkering på jobbenheter være et reelt sikkerhetstiltak.
Når NSM går ut offentlig, er det ikke for å skape frykt, men fordi flere må handle. Oktober viste oss at angriperne verken trenger nye metoder eller avanserte verktøy så lenge de finner noe vi har glemt.
LINK TIL NSMs tiltakspakke https://nsm.no/aktuelt/nsm-hever-det-nasjonale-cyberrisikonivaet-til-hoyt
