Secunor

I dag ble det kjent at en norsk virksomhet med ca 3000 ansatte har blitt offer for HiveLeaks ransomware, som hevder å ha eksfiltrert ca 500 GB data fra virksomhetens systemer. HiveLeaks har en interessant ting til felles med LockBit2.0 som jeg nylig omtalte, og det er eksfiltrasjon via allment tilgjengelige filopplastingstjenester.

Mens LockBit2.0 kan benytte flere tjenester, benytter HiveLeaks tjenesten MEGA (mega.nz). Det gjør de ved å opprette en brukerkonto fra offerets infrastruktur, og deretter laste opp data som skal brukes til utpressing. I tidligere saker hvor offeret ikke har villet betale løsepenger, har HiveLeaks ganske enkelt publisert brukernavn og passord til MEGA-kontoen på lekkasjebloggen. Enkelt og funksjonelt.

MEGA fremstår som en legitim og veldrevet tjeneste, og det er sannsynligvis mange som ikke husker eller kjenner til tjenestens brokete fortid og fargerike grunnlegger, Kim Dotcom (Kim Schmitz/Kimble/Kim Tim Jim Vestor). MEGA er videreføringen av Kims opprinnelige tjeneste, Megaupload, som ble stengt etter at amerikanske myndigheter i 2012 siktet Kim Dotcom, Mathias Ortmann, Bram van der Kolk og Carter Edwards for en rekke straffbare forhold knyttet til Megaupload. Mathias Ortmann og Bram van der Kolk leder i dag MEGA, og saken om deres utlevering til USA synes å pågå fortsatt.

MEGA samarbeider ikke med myndigheter, og fjerner ikke opplastet innhold som beviselig er stjålet. Man kan mene mye om MEGAs rett til å eksistere, men eksistere gjør de - sammen med en mengde andre, kommersielle tjenester som opererer i gråsonen.

Selv om bruk av tjenester som MEGA kan være legitim, er skygge-IT et stort problem og en reell sikkerhetsutfordring, og bidrar til økt risiko og angrepsflate. Så lenge skyggen får bestå, er det i tillegg svært vanskelig å håndtere risikoen. Skru på lyset, få oversikt, og ta kontroll over dataflyt og angrepsflate!

LockBit 2.0 er et nytt hakk i ransomware-beltet, og bringer årets total opp til 8 håndterte hendelser forårsaket av 5 ulike trusselaktører. En finurlighet ved LockBit-hendelsen er at trusselaktørens verktøy er infisert med en gammel skadevare kjent som Neshta. Det er sammenlignbart med å ta på seg kjøttdress når man skal snike seg forbi vakthunder. Pass godt på vakthundene, og sørg for å reagere når de bjeffer!

Digi.no plukket opp Prometheus-saken fra utenlandske medier, og fant ut at det fantes norske ofre. Når vi blir spurt, lar vi selvsagt ikke sjansen til å spre anbefalinger om forebyggende sikkerhet gå fra oss. :-)

NSMs grunnprinsipper for IKT-sikkerhet: https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/grunnprinsipper-ikt
NSMs fire effektive tiltak: https://nsm.no/fagomrader/digital-sikkerhet/rad-og-anbefalinger-innenfor-digital-sikkerhet/fire-effektive-tiltak-mot-dataangrep

Lynraske hackere slo til mot tre norske bedrifter: – Inn og ut, ferdig kryptert på 25 minutter Felles for selskapene er at de manglet noe helt grunnleggende, forteller eksperten som har bistått etterpå.

100% av alle vellykkede angrep passerer forebyggende sikringstiltak. Tygg litt på den.

Du trenger å skape synlighet i informasjonssystemene for å ha evne til å oppdage og håndtere trusler som passerer de forebyggende sikringstiltakene. Det som er gledelig, er at du sannsynligvis allerede har en mengde sensorer som kan bidra til å skape synlighet.

Den virkelige utfordringen ligger i effektiv innsamling, lagring, analyse og presentasjon av data. Hva skal du samle på? Skal innkommende data raffineres eller anrikes før lagring? Hvor lenge skal data lagres? Hvordan skal data aksesseres? Hvilke krav skal stilles til tilgjengeligheten? Hvordan skal løsningen integreres med systemer for trusseldeteksjon? Hva med forholdet til GDPR?

Secunor kan bistå virksomheten i arbeidet med sikkerhetsovervåkning, fra behovsavklaring til implementasjon. Ta kontakt for en uforpliktende prat om behovet for sikkerhetsovervåkning.

Secunor: Sikkerhetsovervåkning 100% av alle vellykkede angrep passerer sikringstiltakene. Det er gode grunner for å lagre brannmurens logg over trafikk som ikke tillates, men det er ikke der man finner spor av hendelsen når den …