Sikkerhedsfirmaet ThreatFabric har opdaget en ny slags hybrid angrebsteknik, som hackere kan købe sig til på det såkaldte Darknet. Det skriver The Hacker News.

Teknikken rammer både Android-brugere og Windows-brugere.

Der er tale om udnyttelse af forskellige typer malware som ERMAC, Erbium, Aurora, og Laplas. Det skriver Computerworld.

• De bedste antivirus-programmer
• Er gratis antivirus nok til at beskytte min computer
• De bedste gratis VPN-tjenester

ERMAC-malwaren, som kan skaffe adgang til crypto-wallets og andre følsomme data, installeres via et falsk website, som angiveligt tilbyder wifi-autentificeringssoftware til både Windows og Android. Windows-brugere kan også får malwaren Erbium og Aurora med i ‘købet’.

ThreatFabric har også opdaget et antal Android-apps, som er zombie-versioner af eksempelvis Instagram og andre populære apps fyldt med malware, skriver Computerworld.

Disse zombie-apps ser ud til at være udviklet ved hjælp af en såkaldt APK binding service, som en kendt serviceudbyder på Darknet har tilbudt siden marts i år.

Ifølge The Hacker News har slags zombie-apps været brugt til at ramme brugere i blandt andet Spanien, Portugal og Canada ved at installere trojanere som SOVA og Xenomorph, der suger bankoplysninger. Det skriver Computerworld.

• Bruger vi stadig dårlige kodeord? Åbenbart!

Ondsindede aktører har gennemført en stor hackerkampagne mod Googles SEO.

SEO-kampagnen har ramt omkring 15.000 websteder, der som følge af angrebene omdirigerer deres besøgende til falske Q&A-diskussionsfora i stedet for den side, brugeren ønsker at tilgå.

Det skriver Bleeepingcomputer ifølge Computerworld.

Det er cybersikkerheds-efterforskere fra Sucuri, der har opdaget angrebet.

• De bedste antivirus-programmer
• Er gratis antivirus nok til at beskytte min computer
• De bedste gratis VPN-tjenester

Meldingen er, at de ramte hjemmesider indeholder omkring 20.000 filer, som er en del af spamkampagnen. De fleste af de ramte sider er Wordpress-hjemmesider.

Hos Sucuri er tesen, at angrebets formål er at øge antallet af besøgende på de falske fora, så de rangerer bedre på søgemaskiner og opnår højere troværdighed og autoritet. Herefter skal disse fora-sider bruges som malware-spredere eller phishing-websteder. En anden teori er dog, at formålet er annoncesvindel.

De skadelige filer dirigerer ifølge Computerworld brugere hen på følgende domæner:

• en.w4ksa[.]com
• peace.yomeat[.]com
• qa.bb7r[.]com
• en.ajeel[.]butik
• qa.istisharaat[.]com
• en.photolovegirl[.]com
• en.poxnel[.]com
• qa.tadalafilhot[.]com
• question.rawafedpor[.]com
• qa.elbwaba[.]com
• question.firstgooal[.]com
• qa.cr-halal[.]com
• qa.aly2um[.]com

Det anbefales, at hjemmesideejere opgraderer alle WordPress-plugins og CMS til den seneste version samt at aktivere to-faktor-godkendelse på alle admin-konti. Det skriver Computerworld.

• Bruger vi stadig dårlige kodeord? Åbenbart!

Det berygtede botnet Emotet er tilbage i en ny variant, hvilket den israelsk-amerikanske sikkerhedsvirksomhed Check Point Software Technologies beskriver som en af de største trusler mod danske virksomheder lige nu.

Det skriver firmaet ifølge Ekstra Bladet i en pressemeddelelse.

• Sådan downloades og installeres Windows 11
• Windows 11 får nye og pænere apps til lommeregner, e-mail og kalender
• De bedste gratis programmer til billedbehandling: Alternativer til Photoshop

Bagpersonerne bruger flere metoder til at sprede Emotet, men det sker ofte via såkaldt phishing. Det vil sige mails med vedhæftede filer eller links, som leder offeret til at installere den trojanske hest.

"I foråret forklædte cyberkriminelle Emotet i e-mailkampagner med påsketema, og nu bruges sommerferien som påskud til at få folk til at åbne e-mails med ondsindet kode i."

Forleden blev det tyske Max Planck-institut inficeret med Emotet, og forskningsinstituttet advarer nu om, at det næsten er umuligt at gennemskue, at der er tale om en phishing-mail.

"Der er tale om en malware, der både er svær at opdage og fjerne, når først en enhed er blevet inficeret. Det gør den til det perfekte værktøj i de cyberkriminelles arsenal. I dag distribueres den oftest gennem phishing-e-mails og formår desværre ofte at forårsage omfattende skade," lyder det fra Maya Horowitz, VP Research hos Check Point Software i pressemeddelelsen.

Den nye variant af Emotet kan ifølge Check Point Software stjæle kreditkortoplysninger og er særlig rettet mod brugere af Chrome-browser.

Emotet er blandt det mest berygtede og professionelle værktøj i cyberkriminelles arsenal.

Der er tale om en 'avanceret, selvformidlende og modulopbygget trojansk hest', som blev opdaget af sikkerhedsfolk i 2014.

Her blev Emotet brugt som en universel døråbner til computere verden rundt og brugt til at skabe store netværk, såkaldte botnet, igennem inficerede computere i eksempelvis banker.

Efterfølgende blev disse 'netværk' videresolgt til topkriminelle, som stjal data eller inficerede andre med malware og krævede løsepenge.

"Det, der gjorde Emotet så farligt, er, at malwaren blev tilbudt til leje til andre cyberkriminelle for at installere andre typer malware, såsom bank-trojanske heste eller ransomware, på et offers computer", lyder det i beskrivelsen af det såkaldte botnet på Europols hjemmeside.

"Dens unikke måde at inficere netværk på ved at sprede truslen bilateralt, efter at have fået adgang til blot nogle få enheder på netværket, gjorde den til en af de mest modstandsdygtige malware i verden", lyder det fra EU's politienhed.

• Windows 11 systemkrav - er din PC kompatibel?

Forskere har opdaget en ny malware, der angriber Windows-enheder, men de er ikke helt klar over, hvordan den virker endnu.

Forskere inden for cybersikkerhed fra Red Canary har for nyligt opdaget en ny ormelignende malware, der spredes gennem inficerede USB-drev. 

Den nye malware har endnu ikke fået et navn, men forskerne har knyttet den til en "gruppe af skadelige aktiviteter", som de har kaldt Raspberry Robin.

Raspberry Robin

Malwaren blev fundet i forskellige slutpunkter i flere netværk, der tilhører organisationer inden for teknologi- og fremstillingsindustrien. 

Forskerne undersøgte en inficeret USB-nøgle og opdagede, at ormen spredes til nye enheder via en ondsindet .LNK-fil. Når offeret tilslutter USB-drevet, udløser ormen en ny proces gennem cmd.exe og kører filen. 

For at nå ud til C2-serveren (angriberens hub) bruger ormen Microsoft Standard Installer (msiexec.exe). Forskerne mener, at serveren muligvis er hostet på en kompromitteret QNAP-enhed, hvor TOR-udførelsesnoder bruges som ekstra C2-infrastruktur. 

"Selvom msiexec.exe downloader og kører legitime installationspakker, kan modparter også udnytte det til at levere malware," lyder rapporten. "Raspberry Robin bruger msiexec.exe i et forsøg på at etablere ekstern netværkskommunikation til et ondsindet domæne for at nå ud til C2."

Men hvad er hele pointen med malwaren? Forskerne kender endnu ikke svaret på det spørgsmål. "Da vi stadig mangler oplysninger om senere aktivitet, er det svært at drage konklusioner om målet eller målene," fortæller eksperterne. 

Man har dog fundet ud af, at malware-softwaren installerer en skadelig DLL-fil sandsynligvis for at blive mere persistent. 

"Vi ved heller ikke, hvorfor Raspberry Robin installerer en skadelig DLL," siger forskerne. "En hypotese er, at det kan være et forsøg på at blive mere persistent i et inficeret system, men der er brug for yderligere information for at understøtte denne hypotese."

• Beskyt din computer med de bedste antivirus-programmer, der findes

Via: BleepingComputer

Google har fjernet en række falske antivirus-apps til Android fra Play Butik, efter det kom frem, at de blev brugt til at sprede malware. 

Check Point Research er virksomheden, som står bag opdagelsen af aktiviteten og ifølge deres eksperter inden for cybersikkerhed, blev mindst seks antivirus-apps til Android brugt til at sprede malware. 

De pågældende apps er:

• Atom Clean-Booster, Antivirus
• Antivirus, Super Cleaner
• Alpha Antivirus, Cleaner
• Powerful Cleaner, Antivirus
• Center Security - Antivirus to versioner)

Disse ondsindede apps indeholder Sharkbot, som er en type malware, der stjæler adgangskoder og bankoplysninger. Malwaren deler push-meddelelser og viser falske login-vinduer, hvor brugere opfordres til at indtaste deres loginoplysninger, som så deles med trusselaktøren. 

Selvom alle apps er blevet fjernet fra Play Butik, siger Check Point, at de stadig findes på uofficielle markeder. Android-brugere, som har downloadet disse apps, før de blev fjernet, rådes til at afinstallere dem med det samme.

Rusland og Kina blev skånet

I løbet af blot en uge blev mere end 1.000 inficerede slutbrugere identificeret, og antallet voksede med ca. 100 hver dag. Tal fra Google Play Butik viser, at de ondsindede apps blev downloadet 11.000 gange i alt. 

Identiteten af trusselsaktøren er fortsat ukendt, men forskerne mener, at der er grund til at tro, at de er af russisk oprindelse. Malwaren indeholder funktioner, der begrænser aktiviteten på visse geografiske områder og ignorerer enheder i Kina, Indien, Rumænien, Rusland, Ukraine og Hviderusland. De fleste af ofrene befinder sig i Storbritannien og Italien. 

De udviklerkonti, som uploadede disse apps, var Zbynek Adamcik, Adelmio Pagnotto og Bingo Like Inc. To af de tre konti har to været aktive siden efteråret 2021.

Det er dog ikke nok, at en bruger bare downloader appen. For at trusselsaktørerne kan udføre et angreb, skal brugeren først tillade appen at få adgang til tjenester på enheden. Det er noget, appen vil forsøge at narre brugeren til. 

Når brugeren har givet tilladelse, har malwaren frit spil og overtager kontrollen af mange af funktionerne på den pågældende smartphone.

• Hvilken Google-drevet telefon skal du købe? Se de bedste Android-mobiler i 2022. 

Cyberkriminelle narrer ofre til at downloade malware ved at fortælle de besøgende, at deres browsere er forældede og skal opdateres for at se indholdet på siden. 

Sikkerhedseksperter Jan Rubin og Pavel Novak fra Avast afslørede en phishing-kampagne, hvor en ukendt trusselsaktør kompromitterede mere end 16.000 WordPress- og Joomla-hostede websteder med svage loginoplysninger. 

Det gælder bl.a. websteder med voksenindhold, personlige websteder, universitetswebsteder og lokale myndigheders websteder.

Parrot TDS

Når hackere har fået adgang til disse websteder, opretter de som regel et såkaldt TDS-netværk (Traffic Direction System), som i dette tilfælde kaldes Parrot TDS. Et TDS-system er en slags webbaseret gateway, der videresender brugere til forskelligt indhold afhængigt af bestemte parametre. På den måde kan de cyberkriminelle implementere malware på de slutpunkter, de anser for at være gode mål. Det kan fx være dem med dårlige sikkerhedsløsninger eller specifikke geografiske placeringer. 

Personer, som modtager beskeden om at "opdatere" deres browser, får i stedet serveret en RAT (trojansk hest med fjernadgang) kaldet NetSupport Manager, som giver hackere fuld adgang til slutbrugerens computer.

"TDS fungerer som en gateway, der kan levere forskelligt ondsindede software via de inficerede websteder," fortæller Jan Rubin, som er malware-forsker hos Avast. "I øjeblikket distribueres en ondsindet software kaldet 'FakeUpdate' (også kendt som SocGholish) via Parrot TDS, men der kan komme andre ondsindede aktiviteter via samme TDS i fremtiden."

Udover at alle webstederne er drevet af enten WordPress eller Joomla, har de meget lidt til fælles, og derfor mener eksperterne, at de blev udvalgt på grund af svage adgangskoder. 

“Det eneste, siderne har til fælles, er, at de er WordPress og i nogle tilfælde Joomla-sider. Vi har derfor mistanke om, at svage loginoplysninger blev udnyttet til at inficere webstederne med ondsindet kode,” siger Pavel Novak, ThreatOps-analytiker hos Avast. "Parrot TDS er robust og enormt udbredt, og det er det, der gør den så unik."

• Se de bedste antivirus-programmer i 2022

Google arbejder på en opdatering til sin cloud-lagringstjeneste, der skal hjælpe selv de mindst teknisk kyndige med at undgå skadeligt indhold. 

I et blogindlæg forklarer virksomheden, hvordan Google Drev nu skal vise en advarsels-dialogboks øverst på siden, når brugeren åbner potentielle scam-filer i Dokumenter, Regneark, Præsentationer og andre apps i Google Workspace. 

Selvom Google ikke har forklaret præcis, hvordan man afgør, om en fil er 'scam', siger virksomheden, at funktionen skal beskytte mod mange typer trusler, herunder ondsindet software, afpresningstrojanske heste og andre angreb.

• De bedste webcams: Top udvalg til hjemmearbejde
• Bedste Bluetooth-headset: Topvalg til håndfri konferenceopkald og hjemmearbejde
• Vanvids-pris på Jabra headset

Google Drev-sikkerhed

Den nye funktion i Google Drev blev først introduceret under sidste års Google Cloud Next sammen med en række andre sikkerhedsrelaterede opdateringer til Google Workspace. 

"Mens vi fortsætter med at levere fantastiske nye oplevelser til vores brugere, arbejder vi hårdt på at opretholde sikkerheden for vores produkter. Det gennemsyrer alle niveauer af vores produktdesign, så vores kunder har fleksibiliteten og sikkerheden ved at arbejde i et sikkert miljø,", skrev Google dengang. 

"Vores mål er at gøre det muligt for alle at opnå store ting gennem innovative og problemfrit integrerede produkter, uanset hvor de arbejder fra og den tekniske viden, de har."

For det veltrænede øje er mange forsøg på svindel med fup-dokumenter nemme at gennemskue, mange ved allerede, at man ikke skal åbne filer og links, der kommer fra ukendte afsendere. 

Med en så stor brugerbase som Googles, er der dog mange tusinde individer, som ikke er så belæste og forstår dette. Denne nye advarsel vil hjælpe disse personer med en nem måde at være opmærksom på potentielle risici. 

Den nye funktion er ved at blive lanceret og vil sandsynligvis være tilgængelig for alle brugere inden for en uge eller deromkring. Brugere af det gratis niveau vil dog ikke få gavn, det kræver en form for betalingsservice for at få det fulde udbytte af dette.

• Ny Surface er skræddersyet til hjemmearbejde

Baseret på de seneste nyhedsoverskrifter kunne man tro, at der har været en stor stigning i antallet af afpresningsangreb. Selv om der kan være en vis sandhed i det, især hvad angår antallet af vellykkede angreb, indikerer det frem for alt, at verdens mange IT-sikkerhedsteams har været slappe med at få løst mangler i deres infrastruktur. 

Det er i det mindste Optiv Securitys opfattelse. De hævder, at størstedelen af
alle virksomheder, der giver efter for angribere, er ofre for deres egne fiaskoer. Virksomheden hævder, at de fleste virksomheder, der ender i en "betal eller dø" -situation, gør det på grund af en alvorlig mangel på cybersikkerhed, der gør dem sårbare over for afpresningsangreb. 

James Turgal, tidligere assisterende direktør for FBI's informations- og teknologiafdeling, nu leder af cyber-risici i blandt andet Optiv, har personligt hjulpet mange virksomheder med at reagere på - og komme sig efter - afpresningsangreb. Vi talte med ham for at forstå den udvikling, der finder sted inden for afpresningssoftware, og hvilke foranstaltninger virksomheder skal tage for at beskytte sig selv.

• ExpressVPN vs. NordVPN: Hvilken bør du vælge?
• De bedste anti-virus programmer i 2021
• Er gratis antivirus nok til at beskytte min computer?

• Brug af iPhone er muligvis ikke så sikkert som du troede

Flere populære online-samarbejdsværktøjer, herunder Slack og Discord, bliver kapret af hackere for at udbrede malware, har eksperter advaret om. 

En ny rapport fra Ciscos Talos cybersikkerhedsteam viser, at Content Delivery Networks (CDN)-metoderne, som mange instant messaging-platforme bruger til at sørge for problemfri fildeling, er kernen i kriminelles forkærlighed til disse chatapps. 

CDN'er giver brugerne mulighed for at gemme filer på app-servere, og er ofte hardcoded, hvilket gør dem tilgængelige i og udenfor appen. Uploading af komprimerede filer over krypteret HTTPS gør detektering ekstremt vanskelig, mens brugere har en tendens til at være mindre forsigtige, når de modtager filer fra et kendt og betroet miljø.

• ExpressVPN vs. NordVPN: Hvilken bør du vælge?
• De bedste anti-virus programmer i 2021
• Er gratis antivirus nok til at beskytte min computer?

For cyberkriminelle ledsages de målrettede værktøjer designet til at gøre kommunikationen mere problemfri, med 'frynsegoder', eftersom disse gør det lettere at sprede malware og ransomware. Udover at sprede vira bruger de kriminelle også disse platforme til at lokke følsomme data ud af ofrene. 

Metoden er blevet så populær, at Talos i et blogindlæg hævder, at en simpel søgning efter prøver, der når ud til Discord CDN, resulterede i næsten 20.000 prøver i VirusTotal. 

"Denne teknik blev ofte brugt på tværs af malwarefordelings-indsatser forbundet med RAT'er og andre typer malware, der typisk blev brugt til at hente følsomme oplysninger fra inficerede systemer," forklarede holdet i blogindlægget.

Data-udtrækninger og notifikationer

Når det kommer til data-udtrækning, har f.eks. Discord API vist sig at være et ret effektivt værktøj, idet webhook-funktionaliteten (oprindeligt beregnet til automatiske alarmer) oprindeligt var designet til at være i stand til at sende enhver form for information, og malware bruger det ofte til at sikre, at stjålne data når deres mål. 

”Webhooks er i primært en URL, som en klient kan sende en besked til, som igen sender denne meddelelse til den angivne kanal - alt sammen uden at bruge den egentlige Discord-applikation,” siger forskerne. "Discord-domænet hjælper hackere med at skjule udtrækning af data ved at få det til at ligne enhver anden form for trafik, der foregår over netværket." 

De kriminelle bruger f.eks. Webhooks til at blive underrettet om et nyinficeret system. Da instant messaging-apps vokser i popularitet, vil truslerne vokse i takt med dem. Virksomheder skal være opmærksomme på risiciene og nøje vælge, hvilken platform de skal bruge, konkluderer forskerne. 

"Efterhånden som flere applikationer bliver tilgængelige, og nogle stiger og falder i popularitet, åbnes der kontinuerligt nye ruter for cyberkriminelle."

• Brug af iPhone er muligvis ikke så sikkert som du troede

Adskillige virksomheder verden over er blevet ramt af en ny cyber-fidus, der efterligner downloadsiderne til opdatering af Google Chrome.

Forskere ved Proofpoint identificerede malware-kampagnen, der er målrettet organisationer i Canada, Frankrig, Tyskland, Spanien, Italien, England og USA, via tusindvis af meddelelser, der blev sendt verden rundt i løbet af blot et par uger.

Meddelelserne fortalte ofrene, at de havde brug for at opgradere til den nyeste version af Google Chrome eller Internet Explorer-browseren, men inkluderede i stedet links til websteder, der er udsatte brugerne for malware.

• Vi har lavet en liste med den bedste software til fjernelse af malware 
• Tjek vores liste med den bedst software til kryptering af beskeder
• Tjek vores liste med den bedste ransomware-beskyttelsessoftware 

Google Chrome malware

Proofpoint identificerede kampagnen som et værk af den særdeles aktive trusselsaktør TA569, også kendt som SocGholish, idet de kompromitterede meddelelser inkluderede links til hjemmesider, der kompromitteres med SocGholish HTML-injektioner.

Disse injektioner er i stand til at analysere brugerens geografiske placering, operativsystem og browser, og vil hvis denne anses som værende et passende offer, forsøge at overbevise vedkommende om at trykke på et link i e-mailen. I stedet for den lovede Google Chrome-opdatering downloades imidlertid en af flere ondsindede pakker ved at klikke på linket. Proofpoint's analyse opdagede en bank-Trojan (Chthonic), der var en variant af den berygtede Zeus-bank-Trojan, samt fjernstyringssoftware (NetSupport), der kan give hackere fjernadgang til kompromitterede systemer.

Angrebet var rettet mod en række større virksomheder på tværs af flere områder, herunder uddannelse, regeringer, produktion og andet. "Selvom denne teknik ikke er ny, er den stadig effektiv, fordi den udnytter den tilsigtede modtagers ønske om at udvise god sikkerhedshygiejne," skrev Proofpoint i et blogindlæg, der beskriver de fundne resultater. "At holde sin software opdateret er et almindeligt råd inden for sikkerhedsrådgivning, og denne aktør bruger dette til sin fordel. Disse kampagner illustrerer, at malware og trusselsaktører ikke behøver at være nye for at opnå succes, selv i dagens hurtigt skiftende trusselslandskab."

• Her er de bedste antivirus-programmer

Selvom den igangværende coronakrise har ført til, at mange virksomheder og organisationer må lukke ned rundt omkring i verden, kan det samme ikke siges for de cyberkriminelle, som forsøger at tjene penge på krisen.

Ny forskning fra Check Point afslører, at værktøjer til at sprede malware spreder sig med faretruende hast på dark web, hvor hackerne holder udsalg for at tiltrække nye potentielle kunder.

På samme måde som virksomheder tilbyder rabatter på Black Friday og Cyber Monday, benytter hackerne nu coronakrisen til at holde udsalg på deres værktøjer, som alene er skabt til at skade og udnytte andre på nettet.

• Malware udnytter coronavirus til at undgå at blive opdaget
• Kina slår ned på VPN-brug efter coronavirusudbrud
• Hackere spreder malware via coronavirus-kort

Truslen fra cyber-angreb er steget betragtelig på grund af dette, ligesom det er bekymrende, at cyberkriminelle samtidig registrerer et stort antal coronavirus-relaterede domæner.

Coronavirus-rabatkoder

Sikkerhedsforskerne hos Check Point har afsløret en række tilfælde, hvor cyberkriminelle tilbyder store rabatter på deres tjenester under denne svære tid.

Eksempelvis har forskerne set en gruppe tilbyde tjenester som hacking af Facebook-konti til en lavere pris, via brug af særlige Covid-19 rabatkoder 

Et andet eksempel fremhæves, hvor der gives ”CoronaVirus-rabat på 10% på ALLE produkter” og lader hackerne sælge skadelig software såsom “WinDefender bypass” og “Build to bypass email and Chrome security”.

Udover rabatterne på malware-kits har Check Point også observeret, at mere end 16.000 nye coronavirus-relaterede domæner er blevet registreret. Størstedelen af disse er registreret inden for de sidste tre uger. Hovedansvarlig for cyber-forskning hos Check Point, Yaniv Balmas, forklarede hvorfor disse coronavirus-relaterede domæner og skadelige værktøjer flytter os alle til risikozonen. Han siger: 

“Vi har set en betydelig stigning i tallet af coronavirus-relaterede domæneregistreringer inden for blot et par uger. Derudover ser vi hackere bruge opmærksomheden omkring COVID-19 til at sprede deres skadelige ”værktøjer” så mange steder som muligt via særlige COVID-19-rabatter og udsalg på dark net. Slutresultatet er, at flere skadelige værktøjer ender i de forkerte hænder i løbet af denne svære tid, hvilket gør os alle mere udsatte under COVID-19-pandemien.”

• Brug for mere beskyttelse? Her er de bedste antivirusprogrammer i 2020

Det igangværende coronavirus-udbrud har allerede forstyrret virksomheder overalt i verden, og nu har den også sat sit præg på cyberkriminelle, der forsøger at udnytte folks frygt for virussen. Tilbage i januar benyttede hackere coronavirus til at lancere en email-kampagne, der inficerede brugernes computere med malware og de er nu begyndt at bruge falske coronavirus-kort til det samme.

Flere organisationer, herunder John Hopkins University har lavet særlige kort, som holder styr på spredningen og antallet af berørte. Mange henholder sig til disse kort i et forsøg på at holde sig opdateret på de seneste infektionstal.

• Ubehagelig Trickbot malware udnytter folks frygt for Coronavirus
• Facebook tilbyder gratis reklameplads til WHO i forsøg på at bekæmpe coronavirus
• Coronavirus malware-svindel er tilbage for fuld kraft

Sikkerhedsforsker på Reason Labs, Shai Alfasi, har dog opdateget, at hackerne nu er i gang med at udbrede falske udgaver af disse kort  i et forsøg på at stjæle brugernavne, kodeord, kreditkortnumre og andre data gemt i brugernes browsere.

Ulig de ægte coronavirus-kort, beder disse hjemmesider brugerne downloade en app, som kan ”hjælpe” med at holde dem opdateret omkring situationen. Desværre behøver man ikke engang installere appen, for at inficere sin computer med malware. Som det ser ud nu, er kun Windows-computere påvirket af situationen, men Alfasi forventer at hackerne også er på vej med versioner til andre styresystemer. 

Falske coronavirus-kort

I et blog-opslag fra Alfasi forklarer han, at disse falske coronavirus-kort  benytter malware software kaldet AZORult til at inficere brugernes maskiner. Han udtaler:

“Denne nye malware aktiverer ondsindet software kendt som AZORult. AZORult stjæler information og blev først opdaget I 2016. Det er kendt for at stjæle browser-historik, cookies, ID/kodeord, cryptovaluta og mere. Den kan også downloade yderligere malsware til inficerede computere. AZORult sælges almindeligvis på russiske undergrundsforaer med formål om at indsamle følsomme data fra inficerede computere.”

Det er let nok at genkende disse falske hjemmesider, da de ofte har en URL eller detaljer som ikke ligner de ægte coronavirus-kort. Hvis man vil undgå at falde i hackernes fælde, opfordres man derfor til kun at benytte verificerede kort, såsom det fra John Hopkins University, til information om virusudbruddet.

• Det er måske at kigge på vores liste over de bedste antivirusprogrammer i 2020

Kilde: The Next Web

For de indviede er en VPN blevet et vigtigt værktøj til at beskytte dit privatliv, og giver dig et bedre sikkerhedsnet, når du bruger offentlige Wi-Fi-netværk, beskytter dig imod hacking og omgår georestriktioner, når du tilgår indhold.

Der findes mange både gratis og betalte VPN-tjenester. De betalte tilbyder flere abonnementstyper, hvor du enten kan betale hver måned, én gang om året eller måske endda kun en enkelt gang, og derefter have adgang resten af dit liv. De fleste brugere er bedre tjent med en betalt VPN, som kan beskytte deres enheder, har servere i alle større lande, ubegrænset data, høj hastighed og fast politik om ikke at logge data, samt en serviceafdeling, hvis du skulle få brug for hjælp.

Overvej desuden, at du ofte kan få dette til en ganske rimelig pris – nogle af de bedste VPN-tjenester starter ved 3 dollars om måneden – hvilket er ganske rimeligt sammenlignet med hvad du ellers betaler for din internetforbindelse.

• Fem ting du bør være opmærksom på før du downloader
• Tre trin: sådan er du ”altid på” med en VPN
• Om fem år vil alle have en VPN

Gratis, med ulemper

Er pengene små, eksempelvis fordi du er studerende, eller hare du bare ikke det store behov, er der også flere gratis VPN-løsninger at vælge imellem. Vær dog opmærksom på, at du ofte må gå op kompromis med flere ting, hvis du vil finde en ordentlig én, så hold øjnene åbne og sammenlign løsningerne for at se præcis hvad du skriver dig op til. 

En række af de betalte VPN-løsninger tilbyder også en gratis løsning, ofte kaldet ”freemium”, men med disse er den månedlige datamængde begrænset, ofte kan der kun benyttes en enkelt enhed, der er færre tilgængelige servere, din data nedprioriteres og niveauet af kundeservice er ringere.

Har man ikke for store forventninger, kan disse gratis løsninger dog stadig være gode nok. Især hvis man installerer flere af dem, er det muligt at få nok data og klare sig igennem en hel måned.

Malware – koster ikke ekstra

Brug af mobile enheder er risikabelt, da data sendes over både Wi-Fi og mobilradioer i ikke krypteret tilstand. Dette må brugere være opmærksomme på, da Android VPN-løsninger er meget populære og står for millioner af downloads.

Disse gratis VPN-løsninger er dog også platform for alle typer malware, især på Android platformen, som ikke overvåges i samme grad som iOS App Store. Tidligere i år blev det afsløret, at ud af 150 gratis VPN-apps, som blev kigget efter i sømmene af Top10VPN, kunne kun 27 af disse se sig fri for malware, da de blev scannet med VirusTotal, et anti-malware program.

Af denne årsag, er brugere som søger en gratis VPN bedre tjent med at benytte platforme som Windows eller Mac, hvor der er mindre malware og bedre værktøjer til at fjerne dem igen.

Der er desuden tidligere påvist stabilitetsproblemer og bekymringer i forhold til privatlivet med Opera browserens indbyggede VPN. Tidligere kom denne fra SurfEasy, men nu driver Opera deres VPN selv.

For nyligt reintroduceredes den gratis VPN til Android Opera-browseren (den enkeltstående VPN blev fjernet fra mobil-browseren for et år siden). Vi holder øje med udviklingen, da denne VPN til android giver ubegrænset data til Opera-browseren.

Erstatter reklamerne med… endnu flere reklamer

En primær grund til at bruge en VPN, er at undgå de irriterende trackere, og herved genvinde sin anonymitet online. De såkaldte reklame-trackere er dog en profitabel virksomhed og en gratis VPN skal tjene pengene hjem på anden vis. Derfor er det ganske simpelt for VPN-tjenesten at tracke brugeren og sælge de indsamlede data til tredjepart.

Dette er ikke et hypotetisk scenarie. Hotspot Shield, fra AnchorFree, som er installeret på mere end 10 millioner Android-enheder, har ifølge Tom's Guide: ”aktivt tilføjet JavaScript til hjemmesider og omdirigeret e-commerce traffik til AnchorFrees partnere.”

På samme vis har flere af disse gratis Android VPN-apps være lidt for grådige med at hugge data fra telefonerne og tilgået brugernes konti og tekstbeskeder. Endnu mere bekymrende er det, at nogle af disse VPN-apps end ikke har krypteret brugerens data via en tunnelprotokol; eller sagt med andre ord, har de slet ikke løst en VPNs primære opgave og i stedet blot været til besvær.

Vid hvad du går ind til

Gratis VPN-software er i bogstaveligste forstand som ”det vilde vest”, og bør akkompagneres med forbehold og advarsler – du bør gå til det med en vis portion skepsis, hvis du vil give dig i kast med en gratis løsning.

Det kan derfor på det kraftigste diskuteres, om der overhovedet eksisterer gratis VPN-løsninger, eftersom firmaerne bag skal tjene deres penge på en eller anden måde og du ender derfor i stedet med at betale via dine data, som går helt imod årsagen til overhovedet at bruge en VPN – at sikre anonymitet. 

De som ønsker at gå videre med de gratis alternativer, bør tjekke TechRadars liste med de bedste gratis VPN-udbydere. Vi har naturligvis allerede sorteret ud i de værste syndere og kommer med nogle brugbare anbefalinger.

• Tjek også vore liste med de bedste betalte VPN-løsninger i 2019

Ny undersøgelser af den sofistikerede malware VPNFilter, der blev afsløret af netværksfirmaet Cisco for to uger siden, viser, at det ondsindede angreb er værre end forventet, ligesom det tilsyneladende har ramt flere end de 500.000 netværksprodukter, man først havde antaget.

Malwaren rammer netværksprodukter som hjemmeroutere og routere til mindre virksomheder, netværk-switche og NAS-diske. Malwaren er indtil videre fundet på produkter fra ASUS, D-Link, Huawei, Ubiquiti, UPVEL og ZTE.

I første omgang fandt folkene på Ciscos Talos Lab malwaren i produkter fra Linksys, Netgear, QNAP og TP Link. Blandt alle navnene er det nok Huawei, der stikker mest ud, idet firmaet er storleverandør til store internetudbydere over hele Europa.

Angrebet med VPNfilter-malwaren bliver anset for så alvorligt, at FBI øjeblikkeligt har grebet ind og beslaglagt et domæne, der blev brugt som command-and-control server.

Samtidigt udsendte de amerikanske myndigheder en verdensomspændende advarsel til ejerne af de muligt inficerede produkter. I advarslen opfordrede myndighederne brugerne til at genstarte netværksudstyret, da dette ville hjælpe med til at rense produkterne.

• Relateret: New internet of things security code aims to stamp out Mirai and other threats

Nye muligheder opdaget

Først regnede Ciscos Talos Intelligence Group med, at der var tale om et ret normalt botnet-angreb, der kunne bruge de inficerede netværksprodukter som udgangspunkt for større angreb - men siden fandt sikkerhedsfirmaet ud af, at angrebet rummede værre muligheder.

Det viser sig, at malwaren indeholder et "modul" - døbt "ssler" - der kan bruges til at kompromittere datatrafik fra en inficeret router til en anden. Det gør det muligt for malwaren at udtrække informationer som login og password.

Cisco har endnu ikke oplyst, hvor mange produkter, de regner med er blevet inficerede, men til gengæld afslører firmaet, at det ikke nødvendigvis hjælper med en genstart. Malwaren kan tilsyneladende leve videre, og Cisco frygter at angrebet er ved at løbe løbsk.

Cisco har lavet en liste over de produkter, man har konstateret er i fare for at være inficerede, og ejer du et af nedenstående produkter, anbefaler firmaet stadigvæk, at du genstarter produktet:

• Asus RT-AC66U (ny)
• Asus RT-N10 (ny)
• Asus RT-N10E (ny)
• Asus RT-N10U (ny)
• Asus RT-N56U (ny)
• Asus RT-N66U (ny)
• D-Link DES-1210-08P (ny)
• D-Link DIR-300 (ny)
• D-Link DIR-300A (ny)
• D-Link DSR-250N (ny)
• D-Link DSR-500N (ny)
• D-Link DSR-1000 (ny)
• D-Link DSR-1000N (ny)
• Huawei HG8245 (ny)
• Linksys E1200
• Linksys E2500
• Linksys E3000 (ny)
• Linksys E3200 (ny)
• Linksys E4200 (ny)
• Linksys RV082 (ny)
• Linksys WRVS4400N
• Mikrotik CCR1009 (ny)
• Mikrotik CCR1016
• Mikrotik CCR1036
• Mikrotik CCR1072
• Mikrotik CRS109 (ny)
• Mikrotik CRS112 (ny)
• Mikrotik CRS125 (ny)
• Mikrotik RB411 (ny)
• Mikrotik RB450 (ny)
• Mikrotik RB750 (ny)
• Mikrotik RB911 (ny)
• Mikrotik RB921 (ny)
• Mikrotik RB941 (ny)
• Mikrotik RB951 (ny)
• Mikrotik RB952 (ny)
• Mikrotik RB960 (ny)
• Mikrotik RB962 (ny)
• Mikrotik RB1100 (ny)
• Mikrotik RB1200 (ny)
• Mikrotik RB2011 (ny)
• Mikrotik RB3011 (ny)
• Mikrotik RB Groove (ny)
• Mikrotik RB Omnitik (ny)
• Mikrotik STX5 (ny)
• Netgear DG834 (ny)
• Netgear DGN1000 (ny)
• Netgear DGN2200
• Netgear DGN3500 (ny)
• Netgear FVS318N (ny)
• Netgear MBRN3000 (ny)
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• Netgear WNR2200 (ny)
• Netgear WNR4000 (ny)
• Netgear WNDR3700 (ny)
• Netgear WNDR4000 (ny)
• Netgear WNDR4300 (ny)
• Netgear WNDR4300-TN (ny)
• Netgear UTM50 (new)
• QNAP TS251
• QNAP TS439 Pro
• QNAP NAS devices running QTS software
• TP-Link R600VPN
• TP-Link TL-WR741ND (ny)
• TP-Link TL-WR841N (ny)
• Ubiquiti NSM2 (ny)
• Ubiquiti PBE M5 (ny)
• Upvel: Unknown Models (ny)
• ZTE ZXHN H108N (ny)

• Hvis din router er på listen, så er det også en god idé at opdatere firmwaren. Her er TechRadars abfaling til de bedste routere i  2018.