• SonicWall advarer om hackere som sprer skadelig VPN-programvare
• NetExtender er blitt modifisert og spres via falske nettsteder
• Skadevaren stjeler påloggingsinformasjon og VPN-konfigurasjoner

Hackere har blitt oppdaget mens de distribuerte en forfalsket versjon av SonicWalls NetExtender SSL VPN-klient via svindelnettsteder som etterligner SonicWalls offisielle nettsted.

SonicWall og Microsoft Threat Intelligence Center (MSTIC) har identifisert den trojanske applikasjonen og utstedt en advarsel til brukere om ikke å laste ned den falske programvaren.

Siden NetExtender brukes som en VPN-klient for ekstern tilgang, kan stjålne VPN-konfigurasjoner og påloggingsinformasjon utgjøre en alvorlig risiko for både ansatte og bedrifter.

Falsk VPN-klient spres via svindelnettsted

Den falske VPN-klienten er signert med «CITYLIGHT MEDIA PRIVATE LIMITED», noe som gir den et visst nivå av troverdighet som kan lure de som leter etter enklere cyberbeskyttelse.

Filen spres gjennom SEO og ondsinnet reklame (malvertising), noe som kan føre til at det falske nettstedet vises øverst i søkeresultatene – spesielt i sponsede lenker.

SonicWall minner derfor brukere om alltid å laste ned programvare fra legitime kilder, i dette tilfellet sonicwall.com og mysonicwall.com.

I sin analyse fant SonicWall og MSTIC to modifiserte programfiler som ble distribuert via det falske nettstedet: NEService.exe, modifisert for å omgå digitale sertifikatkontroller, og NetExtender.exe, modifisert for å stjele brukerkonfigurasjonsdata og påloggingsinformasjon.

Når brukeren har fylt ut all informasjonen og klikket på tilkobling, sendes data som brukernavn, passord, domene og mer til en ekstern server kontrollert av hackerne.

Både SonicWall og Microsofts nettsikkerhetsverktøy kan nå oppdage skadelig programvare, men det er ikke sikkert at tredjepartsprogrammer allerede er oppdatert for å identifisere filene. Derfor er det lurt å bruke et av de beste antivirusprogrammene for å beskytte deg mot modifisert programvare og skadelige filer.

Videre lesning

• Beskytt innloggingsdetaljene dine med den beste passordbehandleren
• Her er de beste VPN-tjenestene på markedet

ChatGPT, verdens mest populære chatbot, har kjempekrefter som utnyttes av ondsinnede individer for å skape nye typer skadevare.

Datasikkerhetsfirmaet WithSecure har bekreftet at de har funnet eksempler på skadevare som er skapt av den beryktede AI-tekstgeneratoren ute i det fri. Noe som gjør ChatGPT spesielt farlig er at den kan generere et ubegrenset antall skadevare, noe som gjør dem vanskelige å oppdage.

Ondsinnede aktører kan enkelt og greit gi ChatGPT eksempler å eksisterende skadevarekode og instruere programmet til å skape nye varianter av dem. Dermed er det blitt mulig å skape langt mer skadevare på betydelig kortere tid, med langt mindre ekspertise og innsats enn før.

Til godt og ondt

Denne nyheten kommer mens man er diskuterer om og hvordan AI skal reguleres, slik at man kan forhindre det i å benyttes med onde hensikter. Da ChatGPT ble lansert og tok verden med storm i november 2022, fantes det i realiteten ingen grenser for hva det kunne brukes til. Allerede i november ble programmet kapret til å skrive ondsinnede e-poster og dokumenter.

I modellen finnes det enkelte beskyttelsesmekanismer. Disse skal hindre ondsinnet ledetekst i å bli skapt, men det finnes naturligvis måter trusselaktører kan benytte for å omgå disse hindringene.

Juhani Hintikka, CEO his WithSecure, fortalte Infosecurity at AI vanligvis er blitt benyttet innen datasikkerhet, for å finne og luke bort skadevare skapt av trusselaktører.

Nå derimot, når kraftige AI-verktøy som ChatGPT er gratis tilgjengelig, er styrkeforholdet snudd. Verktøy for fjerntilgang er blitt benyttet med onde hensikter, og det samme gjelder nå også AI.

Tim West, leder for trusseletterretning hos WithSecure, la til at «ChatGPT vil støtte programvareutvikling, enten den er god eller ond, og den vil gjøre det enklere for trusselaktører å utvikle skadevare.»

Selv om nettfiske-epostene som skrives av ChatGPT vanligvis avsløres av mennesker, kan utviklingen av språkmodellene (LLM) med tiden gjøre det vanskeligere å unngå å falle for slik svindel, ifølge Hintikka.

Dessuten vil den økende og urovekkende suksessen til løsepengevirus bidra til at trusselaktører øker trykket og blir mer organiserte, få en bedre forståelse av hva kunstig intelligens kan utrette og gjennomføre enda flere vellykkede angrep.

Med utsikter til hva som vil utspille seg i datalandskapet i tiden fremover, konkluderte Hintikka med at «dette vil bli en kamp mellom god AI og ond AI».

• Her kan du lese flere av våre artikler om kunstig intelligens.

Forskere har funnet ny malware som angriper Windows-enheter, men det er ennå uklart hvordan den nye skadevaren fungerer.

Sikkerhetsforskere fra Red Canary oppdaget nylig ny dataorm-lignende programvare som sprer seg fysisk, via infiserte minnepinner.

Forskerne har ikke gitt skadevaren noe spesifikt navn, men mener å vite at den sammenfaller med «[...] en gruppering med skadelig aktivitet» som går under tilnavnet Raspberry Robin.

Raspberry Robin

Skadevaren ble funnet hos forskjellige sluttbrukere i en rekke forskjellige nettverk eid av organisasjoner innen teknologi- og produksjon.

Etter å ha analysert en infisert minnepinne fant forskerne ut at dataormen sprer seg til nye enheter via en ondsinnnet .LNK-fil. Når offeret plugger USB-enheten inn i porten setter ormen i gang en prosess via cmd.exe (Windows-terminalen) og kjører filen.

For å kunne nå ut til C2-serveren (en angripers knutepunkt) tar ormen i bruk Microsoft Standard Installer-programvaren (msiexec.exe). Forskerne lurer nå på om hvorvidt serveren består i en kompromittert QNAP-enhet, med TOR-gatewayer brukt som C2-infrastruktur.

«Selv om Msiexec.exe normalt sett laster ned og kjører legitime installasjonspakker, kan motparter også bruke disse til å levere malware», står det skrevet i rapporten. «Raspberry Robin bruker msiexec.exe til å prøve å etablere ekstern nettverkskommunikasjon til et ondsinnet domene for å nå en C2.»

Et av de store gjenværende spørsmålene som må besvares er det følgende: Hva er vitsen med skadevaren? Forskerne har ennå ikke fått innsikt i hva programvaren brukes til. «Uten mer informasjon om aktivitet på et senere stadium er det vanskelig å konkludere når det gjelder hvilke mål disse forsøkene har», sier en av ekspertene bak rapporten.

Det har likevel blitt klart at malware-programvaren installerer en DLL-fil, kanskje som et ledd i å «klamre seg fast» til enheten det gjelder.

«Vi vet heller ikke hvorfor Raspberry Robin installerer en ondsinnet DLL», sier forskerne. «Én hypotese er at det er et slags forsøk på å etablere seg permanent i et infisert system, men mer informasjon må til for å underbygge denne hyptotesen.»

• Beskytt deg mot skadevare med en av de beste antiviruspakkene på markedet

Kilde: BleepingComputer

Google har fjernet en rekke falske antivirus-apper til Android fra Play Store etter at det ble kjent at de ble brukt til distribusjon av malware.

Følge nettsikkerhetseksperter fra Check Point Research, selskapet som oppdaget aktiviteten, skal det være minst et halvt dusin antivirus-apper tilgjengelig i Android-butikken som brukes til å spre malware.

Appene det gjelder er de følgende:

• Atom Clean-Booster, Antivirus
• Antivirus, Super Cleaner
• Alpha Antivirus, Cleaner
• Powerful Cleaner, Antivirus
• Center Security - Antivirus (to versjoner)

Disse ondsinnede appene distribuerte Sharkbot, en type malware som stjeler passord og bankinformasjon. Den deler varsler og viser falske innloggingsvinduer der brukere blir oppfordret til å dele innloggingsinformasjon med angriperne.

Selv om alle appene nå har blitt fjernet fra Google Play, sier Check Point at de fortsatt er aktive i uoffisielle butikker. Android-brukere som lastet ned appene før de ble fjernet anmodes om å avinstallere disse umiddelbart.

Angrep ikke russiske og kinesiske mål

I en analyse som varte én uke ble over 1000 unike infiserte sluttbrukere identifisert. Tallet vokste med over 100 infeksjoner per dag. Tall fra Google Play-butikken viser at de ondsinnede applikasjonene totalt sett ble lastet ned 11 000 ganger.

Trusselaktørenes identiteter er per nå ukjent, men forskerne sier at det er grunn til å tro at det er snakk om russere. Programvaren inneholdt funksjoner som avgrenset aktivitet på bakgrunn av geografi, og ignorerte dermed enheter i Kina, India, Romania, Russland, Ukraina og Hviterussland. Mesteparten av ofrene befinner seg i Storbritannia og Italia.

Utvikler-kontoene som lastet opp appene går under navnene Zbynek Adamcik, Adelmio Pagnotto og Bingo Like Inc. To av de tre kontoene har vært aktive siden høsten 2021.

Det holder ikke at brukerne kun laster ned de ovennevnte appene for at trusselaktørene skal kunne gjennomføre fullstendige angrep. Ofrene må i tillegg gi appene tilgang til data på enhetene det er snakk om – men dette er noe appene spør om.

Etter at appene får tilgang vil programvaren ha fritt leide og ta kontroll over store deler av smarttelefonens funksjoner.

• Hold deg sikker på nett med en VPN-tjeneste

Nettkriminelle lurer ofre til å laste ned skadevare ved å påstå at nettleserne deres er utdaterte, og at de trenger en oppdatering for at man skal kunne se innholdet på siden ofrene besøker.

Sikkerhetsforskere fra Avast, Jan Rubin og Pavel Novak, avdekket en phishing-kampanje der en ukjent trusselaktør infiltrerte mer enn 16 000 WordPress- og Joomla-baserte nettsider, med svake brukernavn og passord.

Slike CMS-er kan brukes til alt fra pornografi, personlige hjemmesider, universitet-sider eller mindre sider på fylkes- eller kommunenivå.

Parrot TDS

Etter at tilgangen til disse sidene er sikret, setter angriperne normalt opp et såkalt Traffic Direction System (TDS). Et TDS er et slags portvoktersystem som sender brukere videre til forskjellig innhold, avhengig av visse parametre. Dette gjør at angriperne kan installere malware hos sluttbrukerne som blir ansett som gode mål (for eksempel de som har dårlige sikkerhetsløsninger eller som befinner seg på spesifikke steder i verden.)

TDS-et som nå herjer går under navnet Parrot TDS.

Alle som får beskjed om å «oppdatere» nettleseren, vil i realiteten bli servert en såkalt Remote Access-trojaner (RAT) ved navn NetSupport Manager. Denne programvaren gir full tilgang til sluttbrukerens maskin.

«TDS fungerer som en inngangsport i leveringen av forskjellig skadelig programvare via de infiserte sidene», sier Jan Rubin, malware-forsker hos Avast. «Akkurat nå distribueres ondsinnet programvare ved navn 'FakeUpdate' (også kjent som SocGholish) via Parrot TDS, men annen lignende programvare kan også komme i fremtiden via samme TDS.»

Rent bortsett fra at det er snakk om sider som baserer seg på WordPress og Joomla, har disse sidene svært lite til felles, hvilket er grunnen til at forskerne tror de ble valgt ut på grunn av dårlige passord.

«Det eneste fellestrekket mellom sidene er at de er WordPress-, og noen ganger Joomla-sider. Vi mistenker derfor at dårlige brukernavn og passord ble utnyttet for å infisere sidene med ondsinnet kode», sa Pavel Novak, ThreatOps-analytiker hos Avast. «At Parrot-TDS-et er såpass robust, og at det finnes så mange steder, gjør det unikt.»

• Intet forsvarsverk er komplett uten antivirus, se oversikten over de beste her

Microsoft har nå avduket et drøss Windows 11-oppdateringer som tar sikte på å få bukt med de mest vanlige problemene IT-yrkesutøvere råker på.

De nye funksjonene ble annonsert som et ledd i selskapets Windows Power the Future of Hybrid-evenement, og gir operativsystemet fra Microsoft nye verktøy innen nettsikkerhet, slik at brukere kan skånes for phishing- og malware-angrep.

Forbedringer er også på vei innen administrasjon av OS-et. Nå skal det bli enklere å automatisere oppdateringsprosessen på tvers av Windows 11, Edge og Office. Brukeradministrasjon skal også bli enklere.

Sikkerhetsoppgraderinger i Windows 11

Microsoft hevder at innebygget beskyttelse i selskapets ulike tjenester blokkerte nesten 10 milliarder malware-trusler, 35 milliarder ondsinnede e-poster og 25,6 milliarder passord-relaterte angrep i fjor. Likevel viser data fra den seneste Work Trend Index-rapporten at bedrifter fortsatt føler seg sårbare i det nye hybridiserte arbeidsmiljøet.

For å hardne forsvaret ytterligere forbereder Microsoft en rekke forandringer i Windows 11 som burde være til hjelp i kampen mot både de vanligste og de mer avanserte truslene.

«Microsoft investerer kontinuerlig i forbedringer i standardsikkerheten i Windows, og fokuserer på å tette hull brukt av de mest aktive angriperne», skrev David Weston, VP for Enterprise og OS-sikkerhet hos Microsoft.

«Med innebygget brikke-til-sky-beskyttelse og flere lag med sikkerhet, hjelper Windows 11 organisasjoner med å ta fatt på de nye sikkerhetsutfordringene i den hybridiserte arbeidsplassen, nå og i fremtiden. Med hver ny lansering gjøres Windows sikrere som standard, og det lages nye beskyttende elementer i takt med at vi fortsetter å drive fremtidens bedrifter.»

Rent spesifikt innebærer dette at Microsoft har utviklet et nytt AI-system, ved navn Smart App Control, som forhindrer brukere fra å kjøre ondsinnede applikasjoner på Windows-enheter. Denne funksjonen tar i bruk en AI-modell kjørende i Azure-skyen, som evaluerer trusselnivået i en gitt kjørbar fil. Hvis trusselnivået er høyt vil ikke applikasjonen kunne startes.

Microsoft Defender, det innebyggede antivirusprogrammet i Windows 11, får også ny funksjonalitet, som beskytter mot phishing-angrep ved å varsle brukere når de er i ferd med å skrive inn Microsoft-konto-detaljer på en mindre troverdig nettside. I tilfeller der enheter blir stjålet eller mistet vil nye krypteringsmuligheter (Personal Data Encryption) sikre at dataene er motstandsdyktige mot angrep.

Sist, men ikke minst, har Microsoft allerede implementert en oppdatering som går under navnet Config Lock, et system som skal «beskytte brukere mot seg selv.» Funksjonen overvåker nøkler i Windows-registeret for å forsikre seg om at enheter brukt av arbeidstakere holder seg innenfor kravene bedriften setter til sikkerhet. Hvis en regel brytes vil enheten automatisk stilles tilbake til ønsket tilstand.

Administrasjon blir enklere

Microsoft prøver også å gjøre det enklere å være IT-personell med ny funksjonalitet som strømlinjeformer administrasjonen av sluttbruker-utstyr.

I løpet av året som kommer vil Microsoft lansere en rekke oppdateringer som gir administratorer større oversikt og bedre kontroll over Windows 11-enheter brukt av sluttbrukere, som i tillegg skal begrense antallet forespørsler IT-personell må håndtere.

Disse forbedringene vil blant annet inkludere en funksjon som automatisk gjenkjenner utdatert programvare som kan ligge lagelig til for angrep, og som automatisk installerer relevante oppdateringer. I tillegg vil det foreligge en funksjon som lar IT-avdelinger midlertidig gi opphøyd brukernivå til ikke-administratorer når nødvendig, hvilket i praksis skal lette byrden for alle som driver med brukerstøtte.

En separat oppdatering vil fokusere på å gi arbeidstakere sikker tilgang til selskapets ressurser ved å ta i bruk VPN-tilkoplinger som kopler ukjente mobile enheter (ikke «enrolled», mangler sertifikater, brukerkontoer, og så videre) opp mot ressurser innad i bedriften.

Til slutt kan vi nevne at selskapet utvikler en nytt administrativt sky-sertifikat-system innen såkalt PKI (public key infrastructure), som skal gjøre det enklere for IT-avdelinger å gi ansatte verktøyene de trenger for å gjøre jobbene de er satt til å gjøre – hvilket tradisjonelt sett har vært mer komplisert enn sluttbrukere gjerne ser for seg.

• Dette er de beste VPN-tjenestene i 2022

Google er nå i ferd med å lansere en oppdatering til skylagringstjenesten Drive som tar sikte på å beskytte selv de minst sikkerhetsopptatte brukere fra skadelig innhold.

Som selskapet forklarer i et blogginnlegg, vil Google Drive nå presentere varsler i form av bannere på toppen av siden om en bruker åpner en potensielt farlig fil i Docs, Sheets, Slides eller andre Google Workspace-apper.

Selv om Google ikke har forklart hvordan de vil fastslå om en fil er skadelig, sier selskapet at funksjonen vil beskytte mot en rekke forskjellige trusler, inkludert malware, ransomware og phishing-angrep.

Google Drive-sikkerhet

Den nye Google Drive-funksjonaliteten ble først annonsert under Google Cloud Next, sammen med et knippe andre sikkerhetsrelaterte oppgraderinger i Workspace-sortimentet.

«Nå som vi fortsetter å levere herlige nye opplevelser til brukere vil sikkerheten holdes i front; den gjennomsyrer hvert lag i vårt produktdesign, slik at våre kunder har fleksibiliteten og tilliten som trengs for å operere i et sikkert miljø [sic]», skrev Google den gang.

«Vårt mål er å styrke alle med en innovativ og sømløs opplevelse som gir folk – uansett hvor de befinner seg eller hva slags tekniske ferdigheter de har – muligheten til å gjøre en forskjell.»

For de erfarne er det i mange tilfeller enkelt å se at dokumenter er del av et svindelforsøk. De fleste vet for eksempel at man ikke bør åpne eller bruke filer og lenker blir servert i e-poster fra ukjente.

Brukermassen til Google er imidlertid enorm, og dermed er dømt til å inkludere tusenvis av folk med begrenset erfaring i møte med slike trusler. Banner-varslene gir denne delen av befolkningen et raskt og enkelt blikkfang som kan hjelpe disse brukerne med å identifisere risikoer.

Funksjonen er i ferd med å implementeres, og vil etter sigende dukke opp hos de fleste brukere i løpet av de neste to ukene. Dette ekstra beskyttelseslaget kommer ikke til å være tilgjengelig i gratisvarianten av Google Drive.

• Ta en titt på vår liste over de beste antivirusprogrammene på markedet

Flere nettbaserte samarbeidsverktøy, inkludert Slack og Discord, har blitt kapret av hackere, og brukes nå til å distribuere skadevare, advarer eksperter.

En ny forskningsrapport ført i pennen av Ciscos cybersikkerhetsteam, Talos, har funnet beviser for at CDN (Content Delivery Network)-serverne mange direktemeldingsprogrammer bruker for eksempelvis til å tilby sømløs deling av filer, er en viktig årsak til hvorfor mange kriminelle nå har lagt sin elsk på disse chatteprogrammene.

CDN-systemer lar brukere lagre filer på applikasjonenes servere, og siden bedrifter gjerne tillater all trafikk knyttet til disse programmene er det en smal sak å snike inn filer som ikke skal befinne seg på det interne bedriftsnettet. Siden filene i praksis befinner seg på CDN-serverne er de tilgjengelige både gjennom appene og via den faktiske URL-en til filene, og siden man laster opp filer over krypterte protokoller som HTTPS er det vanskelig å oppdage snusket; mens brukerne, på sin side, gjerne er naive og lite forsiktige med lenker og filer innad i kjente omgivelser.

• Dette er de beste VPN-tjenestene i 2021
• Hold enhetene dine fri for skadevare med disse verktøyene
• Vi har laget en liste over de beste antivirusverktøyene på markedet

Kommunikasjonsverktøyene som hackerne tar i bruk har med andre ord en del fordeler som gjør kommunikasjon mer sømløs, hvilket kriminelle kan utnytte i distribusjonen av eksempelvis skadevare og løsepengervirus – hvilket har gjort disse programmene svært populære blant hackere. I tillegg til distribusjon brukes disse plattformene også til botnett og å lure sensitiv data ut av brukere.

Metoden har blitt såpass populær at Talos hevder at et enkelt søk etter eksempler som bruker Discord-CDN-systemet resulterte i nesten 20 000 treff i VirusTotal.

«Denne teknikken ble ofte brukt i skadevare-distribusjonskampanjer assosiert med RAT [fjernstyringsprogrammer, jour.anm.], stealers [programmer som innhenter informasjon, jour.anm.] og andre typer skadevare som typisk henter sensitiv informasjon fra infiserte systemer», forklarer teamet i blogginnlegget.

Datatyveri og varsler

Når det gjelder ulovlig forflytning av data har blant annet Discord API-et vist seg å være et svært effektivt verktøy. Webhook-funksjonaliteten (som opprinnelig ble laget for å sende ut automatiserte varsler) er laget på en måte at det kan sende ut all slags type informasjon, og skadevare bruker ofte dette systemet for å forsikre seg om at stjålet data ender opp på et spesifikt designert sted.

«Webhooks er i brunn og grunn en URL som en klient kan sende en beskjed til, og som deretter legger ut den beskjeden i en spesifikk kanal – dette skjer uten at man bruker den faktiske Discord-programvaren», sier forskerne. «Discord-domenet hjelper angripere med å maskere datatyveri ved å få aktiviteten til å se ut som en hvilken som helst annen trafikk på nettverket.»

Webhooks blir også brukt til å sende ut varsler om at et system nettopp har blitt infisert.

Nå som direktemeldingsprogrammer vokser i popularitet vil de tilknyttede truslene også øke. Bedrifter må være klar over risikoene, og ha tunga rett i munnen når man velger hvilken plattform man skal bruke, konkluderer forskerne.

«Ettersom flere applikasjoner blir tilgjengelige for bruk, og programmer fluktuerer i popularitet, vil nye muligheter kontinuerlig åpne seg for motparter.»

• Vi har laget en liste over de beste antivirusverktøyene på markedet

Den britiske regjeringen hevdet tidligere denne uken at Russland planla å forpurre Sommer-OL 2020 i Tokyo med nettangrep i forkant av utsettelsen. Mål skulle etter sigende være organisatorer, logistikk-tjenester og sponsorer.

«Storbritannia har i dag synliggjort ondsinnet nettaktivitet fra Russlands GRU, militærets etterretningstjeneste, mot organisasjoner involvert i OL 2020 og De paralympiske sommerleker, før disse ble utsatt.» forklarte en pressemelding i regi av Storbritannias National Cyber Security Centre. «Aktiviteten involverte nettrekognosering av GRU, og hadde som mål funksjonærer og organisasjoner involvert i mesterskapet, som tidligere skulle finne sted i Tokyo i sommer.»

De tenkte angrepene ligner mer enn bare litt på problemene som oppsto under Vinter-OL 2018 og De paralympiske vinterleker i Sør-Korea. Under disse mesterskapene brukte russiske hackere skadevaren OlympicDestroyer slik at lekenes webservere sluttet å fungere som de skulle.

• Her er vår liste over de beste antivirus-produktene på markedet
• Dette er de beste VPN-tjenestene for privatpersoner
• NordVPN Teams i all stillhet relokalisert til USA

Russisk hevn

Man tror at russiske hackere har fått beskjed om å ha olympiske evenementer som mål som represalier for at utøvere har blitt bannlyst fra å konkurrere under russisk flagg, grunnet et statssponset dopingprogram. Både nettangrepene under De olympiske leker i 2018, og de planlagte 2020-angrepene, kan spores tilbake til en hacking-gruppe ved navn Sandworm.

I kjølvannet av at Storbritannia kom med en skarp irettesettelse i retning Russlands handlinger har Justisdepartementet i USA inngitt formelle anklager mot seks medlemmer i Sandworm-gruppen. Interessant nok innebærer anklagene fra det amerikanske justisdepartementet mer enn bare problemene under Vinter-OL i 2018, og nevner ondsinnet aktivitet som tar sikte på å støtte «bredere russiskstatlig innsats.»

De anklagede Sandworm-hackerne anklages også for å ha sabotert Ukrainas strømnett, grepet inn i Frankrikes valg i 2017, vansiret georgiske nettsider samt å ha organisert nettangrep som har hatt som mål å forstyrre etterforskningen av Novichok-forgiftningen, som fant sted i Storbritannia i 2018.

• Her er vår liste over de beste antivirus-produktene på markedet

Kilde: ZDNet

Det pågående Corona-virusutbruddet påvirker etter hvert stadig større deler av samfunnet vårt, men det ser ikke ut til å hindre nettkriminelle i sine forsøk på å utnytte folks frykt for viruset.

Tilbake i januar utnyttet hackere corona-virusfrykten til å spre falske eposter som infiserte brukere med skadevare, og nå har de begynte å gjøre det samme med kart over corona-smittede.

Mange organisasjoner, inkludert Johns Hopkins University og VG her hjemme, har laget egne sider som kontinuerlig holdes oppdatert med informasjon om spredning, og mange brukes disse sidene til å følge med på de seneste smittetallene.

• Ondsinnet skadevare utnytter folks frykt for Corona-viruset
• Facebook tilbyr WHO gratis reklameplass for å bekjempe Corona-viruset

Nå melder imidlertid sikkerhetseksperten Shai Alfasi hos Reason Labs at hackere har lage falske utgaver av slike kart, og disse brukes til å stjele informasjon som brukernavn, passord, kredittkortinformasjon og andre data som er lagret i brukernes nettlesere.

I motsetning til de legitime tjenestene, ber disse flaske nettsidene deg om å laste ned et program som skal gi deg den siste informasjonen. Dette programmet trenger ikke engang installeres på PC-en for at det skal kunne infisere maskinen med skadevare. Foreløpig er det kun Windows-PC-er som er berørt, men Alfasi forventer at hackerne kommer til å utvikle versjoner for andre operativsystemer også.

Falske Corona-viruskart

I en bloggpost om saken forklarer Alfasi at disse falske viruskartene utnytter en skadevare som heter AZORult til å infisere brukernes PC-er:

– Den nye skadevaren aktiverer en ondsinnet programvare som kalles AZORult. AZORult, som først ble oppdaget i 2016, bruker til å stjele nettleserhistorikk, informasjonskapsler, brukernavn og passord, kryptovaluta og mer. Den kan også laste ned annen skadevare på den infiserte PC-en. AZORult selges ofte på russiske undergrunnsforumer der det handles med slik skadevare.

De falske nettsidene er enkle nok å avsløre hvis du holder et øye med URL-feltet i nettleseren, og sikrer at du er på nettsidene til en velrenommert kilde. Ofte kan slike falske nettsider ha URL-er som ligner de legitime, og det er derfor viktig å være bevisst på hvilke linker du trykker på.

Det tryggest er å gå direkte til nettsidene til de kjente kildene til slike kart, som for eksempel www.jhu.edu (Johns Hopkins University) eller vg.no.

• Her har vi samlet de beste antiviruspakkene på markedet

Kilde: The Next Web

Microsoft har annonsert at selskapet var en del av en samordnet innsats som tok sikte på å få bukt med det høyeffektive Necurs-botnettet.

Programvaregiganten og partnerne, fra 35 forskjellige land, klarte å finne ut av domene-genereringsalgoritmen (DGA) til Necurs, noe som lot gruppen forhindre registreringen av nye domener som skulle bli brukes til fremtidige angrep.

Necurs-nettverket, som først ble identifisert i 2012, er et av de mest potente botnettene vi kjenner til, og skal være skyld i at over ni millioner enheter har vært infisert på verdensbasis.

• Hackere infiserer andre hackere med trojaner
• Fransk politi tar ned globalt malware-botnett
• Android-basert bank-botnett tar sikte på tusener av enheter

Hvis en enhet blir infisert kan denne bli brukt av kriminelle til å distribuere flere typer malware via spam (e-post). Under etterforskningen – som foregikk over åtte år – observerte Microsoft at én enkelt datamaskin sendte ut 3,8 millioner spammeldinger (via e-post) på bare 58 dager.

Necurs-botnettet

Necurs skal etter sigende være styrt av et Russisk hacking-syndikat som selger eller leier ut tilgang til infiserte enheter til andre nett-kriminelle som en tjeneste («lei et botnet»).

Botnettet har blir til å utføre en rekke kriminelle handlinger, inkludert såkalte pump-and-dump aksjesvindler, tyveri av legitimasjon og randsomware som har hatt finansbransjen som mål.

Necurs-skaperne registrerer domener (som lages av den ovennevnte generatoren) mange uker – og selv måneder – i forveien, noe som gav en åpning til Microsoft og deres partnere.

«Vi klarte å forutse over seks millioner unike domener som ville ha blitt laget i løpet av de neste 25 månedene», sier Tom Burt, Corporate Vice President hos Microsoft - Customer Security & Trust, i et blogginnlegg.

«Microsoft rapporterte disse domenene til deres respektive registre i ulike land rundt om i verden, slik at nettstedene kunne bli blokkert og dermed forhindret at disse ble en del av Necurs-infrastrukturen.»

«Ved å ta kontroll over de eksisterende nettsidene og hemme muligheten til å registrere nye har vi i stor grad klart å løse opp botnettet», legger han til.

Det å ta kontroll over den eksisterende Necurs-infrastrukturen har gjort at selskapet og dets medarbeidere har kunnet lamslå botnettet og at de har klart å bygge et omfattende kart over de infiserte enhetene.»

Microsoft sier at de er i ferd med å ta kontakt med personene som har vært involverte via å være eiere av infiserte enheter, slik at disse kan få fjernet malware-programvare fra enhetene sine.

• Dette er vår liste over de beste antivirusprogrammene på markedet

Kilde: BBC

Smarttelefonbrukere får nok en gang en oppfordring om å forsikre seg om at enhetene de bruker sikres i kjølvannet av en stor økning i trusler rettet mot mobiler i fjor.

Ny forskning fra Kaspersky har avdekket at angrep rettet mot personlig data på mobile enheter så en markant stigning gjennom 2019.

De totale tallene til Kaspersky inkluderer mer enn 67 500 tilfeller i 2019. Mer spesifikt er det slik at reklame-trojanere og såkalt stalkerware har sett den største økningen, rent faktisk observerte man en dobling av angrep i siste halvår sammenlignet med første (i 2019).

• Microsoft kommer med antivirusprogramvare til Android og iOS
• Google vil til livs at Samsung tukler med Android
• Malware-angrep på mobile enheter doblet seg i 2018

Mobiltrusler

Stalkerware, som ofte installeres på offerets enhet ubemerket, forblir vanligvis skjult og kjører dermed i det stille i bakgrunnen. Dette er en hakket hvassere variant enn typisk spyware, siden programvaren klarer å få tak i vesentlige mengder personlige data, som eksempelvis enhetens posisjon, nettleserhistorikk, tekstmeldinger, chatlogg fra sosiale medier, fotoer, med mer.

Dette kan så deles med den kriminelle, men det åpnes også opp for at en tredjepart kan kan hacke seg inn på stalkerware-serveren og samle inn all informasjonen til eget bruk.

«I 2019 ble stalkerware-angrep, som tar sikte på å spore offeret og samle privat informasjon, langt mer vanlig», sier Victor Chebyshev, sikkerhetsekspert hos Kaspersky.

«Enda viktigere, den tekniske utviklingen av slike typer angrep henger ikke etter motparten. Med det i mente vil vi gjerne gjenta at et digitalt privatliv er like mye en persons rettighet som en hvilken som helst annen rettighet. Og det finnes måter man kan holde personlig data trygg og sikker på. For å gjøre dette er det veldig viktig å behandle dette området med omhu», fortsetter han.

Når det gjelder andre områder – eksempelvis adware på mobil, som samler haugevis av privat informasjon, slik at aktører kan vise brukerne målrettet reklame – så også en massiv økning i antall oppdagede tilfeller. 21 prosent av alle trusler mot mobile enheter oppdaget av Kaspersky var adware-relatert. Bortsett fra å levere påtrengende og irriterende bannere kan også slik malware stjele personlig data, som også kan ende opp på tredjepartsservere uten at man verken vet eller godkjenner det.

• Beste sikkerhetsapp for Android i 2020

Eksperter hos det norske sikkerhetsselskapet Promon har oppdaget et alvorlig sikkerhetshull i Android, som kan utnyttes til å stjele innloggingsinformasjon, få tilgang til meldinger, spore hvor du befinner deg og mer.

Sikkerhetshullet har fått navnet StrandHogg, og det påvirker alle versjoner av Android, inkludert Android 10. Selskapet understreker at hullet gjør de fleste apper sårbare for angrep.

• De beste Android-appene
• De beste Android-spillene
• De beste Android-telefonene i 2019

Sikkerhetshullet utnytter en svakhet i Androids fleroppgavekjøring, og gjør det mulig for ondsinnede apper å dekke over legitime apper med en falsk innloggingsskjerm som lurer brukeren til å overlevere informasjon som brukernavn og passord.

Offere kan også bli lurt til å gi ondsinnede apper tillatelse til å utføre ulike handlinger, som å fange opp tekstmeldinger og samtaler, eller lytte til telefonens mikrofon.

Kan tømme bankkontoen din

Promon oppdaget sikkerhetshullet mens de undersøkte apper som skal ha stjålet penger fra brukeres bankkontoer. Til sammen fant de at 60 finansinstitusjoner har vært mål for apper som har utnyttet dette sikkerhetshullet.

Teknologisjef hos Promon, Tom Hansen, sier til BBC:

– Vi har aldri sett noe som dette før. Etter hvert som operativsystemet blir mer komplekst, så blir det stadig vanskeligere å spore hva som skjer. Dette virker som en type interaksjon som blir borte i den kompleksiteten.

Enda mer bekymringsverdig er det at de fleste av de 500 mest nedlastede appene på Google Play er sårbare for denne svakheten, og selskapet Lookout som Promon har samarbeidet med, identifiserte at hele 36 apper allede utnyttet svakheten. Dette inkluderte også varianter av trojaneren BankBot som har vært i omløp helt siden 2017.

Promon har publisert en video om sikkerhetshullet:

OneSpan, et selskap som spesialiserer seg på mobilapp-sikkerhet, sier seg enig i at denne oppdagelsen er alvorlig. Produktmarkedsføringssjef Sam Bakken uttaler:

– Promons oppdagelser viser at denne svakheten er mer alvorlig enn noen gang før.

Han sier videre at hackere helt tydelig har utnyttet sikkerhetshullet i lang tid:

– Forbrukere og app-utviklere har alle vært sårbare for ulike typer svindel i flere år på grunn av dette. Folk med onde hensikter vet om svakheten, og utnytter den til å stjele bankinformasjon og penger.

Google har kommentert nyheten om sikkerhetshullet slik:

– Vi setter pris på sikkerhetsekspertenes arbeid, og vi har stoppet de potensielt farlige appene som er identifisert. Vi fortsetter også å gjøre undersøkelser for å kunne forbedre Google Play Protects evner til å beskytte brukere mot lignende problemer.

Likevel er det altså ifølge Promon fortsatt mulig å lage falske innloggingskjermer som kan lure brukere i alle versjoner av Android.

• Slik aktiverer du mørk modus i Android

Hvis du er en av dem som bruker Googles nettleser Chrome – noe flertallet av alle nettbrukere gjør – må du sikre at du har nyeste versjon installert. Hvis ikke kan du være sårbar for et sikkerhetshull som nylig har blitt kjent, og som kan utnyttes av folk med ondsinnede hensikter.

Sikkerhetshullet har fått det slående navnet CVE-2019-5786 er en såkalt «zero-day vulnerability» som kan utnyttes av ondsinnede nettsider til å installere skadevare direkte på PC-en. Feilen er tilstede i alle skrivebordsversjoner av Chrome – altså for Windows, Mac, Linux og Chrome OS – i tillegg til Android.

• Her er de beste antivirusprogrammene akkurat nå
• Vi har mange gode råd for hvordan du kan være trygg på nett

Justin Schuh som leder utviklingsteamet til Chrome, har selv twitret at du bør forsikre deg om at nettleseren din er oppdatert med en gang.

Helt nøyaktig må du forsikre deg om at Chrome er oppdatert til versjon 72.0.3626.121, som inneholder den relevante sikkerhetsoppdateringen.

Chrome-teamet nevnte allerede for en uke siden at den stabile versjonen av Chrome var oppdatert til denne versjonen på både Windows, Mac og Linux, og at den skulle rulles ut av alle i løpet av de neste ukene. Samtidig ble det også nevnt at oppdateringen var viktig fordi «Google kjenner til rapporter om at en måte å utnytte CVE-2019-5786 finnes ute i det fri».

Med andre ord har denne feilen allerede blitt utnyttet, så dette er en reell fare som du faktisk kan bli utsatt for ved daglig nettleserbruk eller for eksempel gjennom en link du får tilsendt via epost.

Oppater umiddelbart

Chrome skal i utgangspunktet oppdatere seg automatisk til den nyeste versjonen, men det kan også være du får et varsel øverst i hjørnet som sier at nettleseren er klar til å oppdateres. Da må du eventuelt lukke programmet og åpne det igjen for at oppdateringen skal gjennomføres.

Du finner ut hvilken versjon av Chrome du har ved å klikke på de tre vertikale punktene øverst til høyre, deretter på Hjelp, og så på Om Google Chrome. Da sjekker nettleseren samtidig etter oppdateringer, og du får eventuelt beskjed også her om du om du må starte på nytt for å gjennomføre oppdateringen.

Selve feilen er angivelig et problem med minnehåndtering i FileReader API-et til Chrome. Utover det er ikke flere detaljer om feilen offentliggjort, sannsynligvis for å sikre at ikke enda flere blir offer for denne feilen.

Det er også verdt å få med seg at også andre Chromium-baserte nettleser er påvirket av denne feilen. Opera har i hvert fall bekreftet at deres nettleser var påvirket, og du må sikre at du har oppdatert til siste versjon som er 58.0.3135.90. Norske Vivaldi slapp på sin side en oppdatering 4. mars som tettet dette hullet.

Vi kan også regne med at Microsoft følger denne situasjonen tett, med tanke på at de er i ferd med å lansere en ny versjon av Edge som bygger på nettopp Chromium. Den nettleseren fikk vi for øvrig en sniktitt på tidligere denne uka.

• Vi har samlet de beste nettleserne i 2019

Kilde: The Register

Pågående analyser av den sofistikerte ruterskadevaren VPNFilter, som ble avslørt av Cisco for to uker siden og som antas å ha infisert opptil 500 000 enheter, viser nå at viruset kan være farligere enn først antatt. I tillegg kan det også ha infisert et mye større antall rutermodeller.

Det modulære viruset sikter seg inn mot nettverksutstyr til hjemmebruk i tillegg til NAS-bokser og nettverks-switcher, og det har nå blitt oppdaget i enheter fra ASUS, D-Link, Huawei, Ubiquiti, UPVEL og ZTE.

Tidligere har Ciscos eksperter også funnet VPNFilter på enheter fra Linksys, Netgear, QNAP og TP-Link. Det er spesielt dramatisk at Huawei-navnet er på denne listen, fordi de er en stor leverandør av nettverksenheter til diverse internettleverandører.

Den opprinnelige infeksjonen ble ansett som så alvorlig at FBI raskt tok kontroll over et domene som viruset brukte som kommando- og kontrollserver.

De publiserte også en global advarsel til eiere av potensielt infiserte enheter, med en oppfordring om å gjennomføre en omstart. Dette skal fjerne de farligste delene av skadevaren, og bidra til å hindre at det gjør mer skade.

Nye egenskaper er oppdaget

Viruset ble opprinnelig antatt å være et typisk botnet, som kunne utnytte infiserte enheter til å utføre angrep på andre mål. Ciscos Talos Intelligence Group har i ettertid imidlertid oppdaget nye egenskaper i viruset, som kan innebære større fare for eiere av infiserte rutere.

Spesielt trekkes en modul kalt «ssler» frem, og den er laget for å gripe inn i trafikk som sendes gjennom ruteren. Modulen bruker et «mann i midten»-angrep som prøver å nedgradere webtrafikk fra den sikre HTTPS-protokollen, slik at data sendes som ukryptert tekst via HTTP. Det vil gjøre sensitiv informasjon som brukernavn og passord mye enklere å fange opp.

Cisco har ikke annonsert noe totalt antall når det kommer til nye enheter de tror kan være infisert, men de sier at skadevaren fortsatt er like aktiv og at trusselen stadig vokser tross tidligere oppfordringer om at brukere skal omstarte ruterne sine.

Her er den oppdaterte listen over potensielt infiserte enheter, og hvis du eier en av disse oppfordres du på det sterkeste til å omstarte den:

• Asus RT-AC66U (ny)
• Asus RT-N10 (ny)
• Asus RT-N10E (ny)
• Asus RT-N10U (ny)
• Asus RT-N56U (ny)
• Asus RT-N66U (ny)
• D-Link DES-1210-08P (ny)
• D-Link DIR-300 (ny)
• D-Link DIR-300A (ny)
• D-Link DSR-250N (ny)
• D-Link DSR-500N (ny)
• D-Link DSR-1000 (ny)
• D-Link DSR-1000N (ny)
• Huawei HG8245 (ny)
• Linksys E1200
• Linksys E2500
• Linksys E3000 (ny)
• Linksys E3200 (ny)
• Linksys E4200 (ny)
• Linksys RV082 (ny)
• Linksys WRVS4400N
• Mikrotik CCR1009 (ny)
• Mikrotik CCR1016
• Mikrotik CCR1036
• Mikrotik CCR1072
• Mikrotik CRS109 (ny)
• Mikrotik CRS112 (ny)
• Mikrotik CRS125 (ny)
• Mikrotik RB411 (ny)
• Mikrotik RB450 (ny)
• Mikrotik RB750 (ny)
• Mikrotik RB911 (ny)
• Mikrotik RB921 (ny)
• Mikrotik RB941 (ny)
• Mikrotik RB951 (ny)
• Mikrotik RB952 (ny)
• Mikrotik RB960 (ny)
• Mikrotik RB962 (ny)
• Mikrotik RB1100 (ny)
• Mikrotik RB1200 (ny)
• Mikrotik RB2011 (ny)
• Mikrotik RB3011 (ny)
• Mikrotik RB Groove (ny)
• Mikrotik RB Omnitik (ny)
• Mikrotik STX5 (ny)
• Netgear DG834 (ny)
• Netgear DGN1000 (ny)
• Netgear DGN2200
• Netgear DGN3500 (ny)
• Netgear FVS318N (ny)
• Netgear MBRN3000 (ny)
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• Netgear WNR2200 (ny)
• Netgear WNR4000 (ny)
• Netgear WNDR3700 (ny)
• Netgear WNDR4000 (ny)
• Netgear WNDR4300 (ny)
• Netgear WNDR4300-TN (ny)
• Netgear UTM50 (ny)
• QNAP TS251
• QNAP TS439 Pro
• QNAP NAS devices running QTS software
• TP-Link R600VPN
• TP-Link TL-WR741ND (ny)
• TP-Link TL-WR841N (ny)
• Ubiquiti NSM2 (ny)
• Ubiquiti PBE M5 (ny)
• Upvel: Unknown Models (ny)
• ZTE ZXHN H108N (ny)

• Er ruteren din på denne listen, kan det være en idé å oppgradere. Her er Techradars liste over de beste ruterne i 2018.