Årsöversikt 2012
Inledning År 2012 kommer att bli ihågkommen särskilt för blockeringsattacker. I december utsattes medierna för en i Finlands omständigheter exceptionellt omfattande blockeringsattack som slog ut Rundradions, Helsingin Sanomats, MTV 3:s och Nelonens webbplatser. I september hade Sanoma Oy:s webbtidningar utsatts för en attack. Fallen motiverades med utövarens strävan att få uppmärksamhet. Vid sidan av blockeringsattackerna sysselsattes Kommunikationsverkets CERT-FIenhet av sårbarheter i programvaror, dataintrång och infektioner från utpressningsprogram. Exempelvis namntjänsterna för domännamn (CC-TLD) som bygger på landskoder utsattes för attacker i både Europa och Asien. Även det skadliga utpressningsprogrammet Reveton som låser datorn gav upphov till ett stort antal kontakter och begäran om hjälp. Dessutom övervakade Kommunikationsverket både stormen annandag juls effekter och konsekvenserna av den rikliga ansamlingen av snö på träden i södra Finland, då naturens krafter orsakade avbrott och störningar i kommunikationsnätens och kommunikationstjänsternas funktioner. Totalt kontaktades CERT-FI 4 208 gånger, vilket motsvarar en ökning med 10 % från året 2011. Åter en gång gällde över hälften (2 486) av kontakterna skadliga program. Detta har varit en klar trend sedan 2006. CERT-FI behandlade 271 fall av dataintrång, vilket är ca 74 procent fler än året innan. I likhet med tidigare år har CERT-Fi fått uppgifter om observationer av kränkningar av informationssäkerheten av både inhemska och utländska samarbetspartners och av medborgarna. Med CERT-FI:n verktyg Autoreporter förmedlades uppgift om 184 000 fall av infektion från skadliga program och kränkning av informationssäkerheten i finländska datanät. Kränkningarna av informationssäkerheten år 2011 visar att internetbrottslingar aktivt använder sårbarheter i publicerings- och innehållsproduktionssystemen för www-sidor för sina attacker. I ouppdaterade system kan man genom att utnyttja sårbarheterna exempelvis klottra ned webbsidor eller sprida skadliga program via reklam på webbsidorna. CERT-FI publicerade flera sårbarhetsmeddelanden om reklamdistributionssystemet OpenX. Vad gäller publiceringssystemen upptäcktes upprepade sårbarheter exempelvis i Joomla, Wordpress och Drupal. Även risken för stöld av användar-id:n har ökat kännbart. Finland slapp betydande informationsläckor år 2012, men internationellt är stölder av lösenord och andra uppgifter vanliga. Ett bevis på detta är exempelvis de nätattacker som riktats mot banker och myndigheter i USA, och för vilka hackergrupperingen Anonymous har tagit ansvaret. Motivet till en riktad attack kan vara att stjäla konfidentiella uppgifter av ett företag eller en stat. De mest kända av de riktade attacker som offentliggjordes under 2012 var Flame samt Red October, som behandlades i medierna i slutet av året och vars Årsöversikt 1/2012 2
skador utreds fortfarande. Alla riktade attacker eller de skadliga program som använts i samband med dem har inte behandlats i medierna. Det bästa skyddet mot kränkningar av informationssäkerheten för vanliga användare är fortfarande att uppdatera datorn och operativsystemet regelbundet och att välja och förvara lösenorden på rätt sätt. Det är också viktigt att sköta om att datorn har ett uppdaterat antivirusprogram som upptäcker och avlägsnar kända skadliga program i tid. Landsdomäner intresserar internetbrottslingarna I fjol gjordes exceptionellt många attacker som påverkade landsdomäner (CC-TLD, Country Code Top Level Domain). Finlands domännamnssystem attackerades inte, men Pakistan (.pk), Rumänien (.ro), Serbien (.sr) och Irland (.ie) drabbades av attacker mot namntjänstsystemen för sina landskoder. Interna oroligheter i en stat kan leda till situationer i vilka landets internationella internetförbindelser avbyts eller blir avbrutna. Detta skedde under det två dagar långa avbrottet i Syrien, då rapporter erhölls om intensiva strider i landet. Bekräftade uppgifter om orsaken till avbrottet har inte getts, men fallet har likheter med avbrottet i webbförbindelserna i Egypten i januari 2011. Då beordrades operatörerna sannolikt att avsluta routningen av trafiken utomlands. I Syrien hade internetförbindelserna övertagits genom att annonseringen av BGP-rutter utomlands avslutades. I praktiken innebar detta att kontakter från utlandet till nätverk i Syrien inte hittade fram. Internetavbrottet anges också ha stört mobiltelefonförbindelserna. I Egyptens fall utnyttjade webbrottslingarna avbrottet. De lyckades överta adresser som administrerades av operatörer i landet och använda dem för sina egna syften, såsom exempelvis för att skicka skräppost eller skadliga program. Enligt uppgift orsakade avbrottet i Syrien inte en likadan situation, även om tecken på detta fanns. Attackerare har styrt användare till olovligt omskrivna sidor Ett gemensamt drag för blockeringsattackerna och dataintrången under årets senare del var att de i regel riktades mot objekt med hög profil såsom Google, Apple, Yahoo och Microsoft. Användarna av dessa webbtjänster styrdes till nedklottrade webbplatser med olika innehåll. Attackerarna hade fått åtkomst till webbplatser som bygger på landskoder efter att de hackat namntjänstuppgifterna för den registrerare som ansvarar för landskoderna. Enligt rapporter som erhållits från objekten begränsades skadorna till att webbsidorna blev nedklottrade. Skadorna var små men skulle ha kunnat bli allvarligare om attackerarna hade styrt webbtjänsternas användare till en webbplats som sprider skadliga program eller till phishing-sidor som fiskar efter e-postkoder. Årsöversikt 1/2012 3
Även finländska webbsidor har attackerats Attacker mot operatörers domännamnssystem (DNS) har rapporterats även i Finland. Attackerna har i de flesta fall dock förblivit försök. Attackerna har drabbat endast kunderna till den attackerade operatören. För de så kallade rotnamnservrarna för de finska.fi-domännamnen svarar Kommunikationsverket. Fi-rotnamnservrarna är placerade på olika håll i världen och därför är det svårt att skada eller helt stoppa deras tekniska funktion. Dataintrång i publiceringssystem Attacker mot nätservrar kan orsaka hotande situationer. Ett exempel på detta var ett dataintrång 27.11.2012, som ledde till att flera.fi-webbplatser för kunder till operatören webhotelli.fi blev olovligt omskrivna. Enligt operatörens meddelande (30.11.2012) hade attacken riktats mot sårbara Wordpress- och Joomla-baserade sidor. Kända sårbarheter hos allmänt använda publiceringssystem har utnyttjats återkommande gånger vid dataintrång i www-servrar. Situationen har varit oförändrad i flera år. År 2012 informerade CERT-FI både i Tietoturva nyt!- och i sårbarhetsmeddelandena om flera dataintrångsfall som riktats mot publiceringssystem. De senaste händelserna som CERT-FI fått kännedom om har observerats i systemen Joomla, OpenX, Wordpress och Drupal. Enligt CERT-FI:s uppgifter har dataintrången observerats i system vilkas programvaror inte har uppdaterats regelbundet eller vars lösenord har varit lätta att ta reda på. Attackeraren redigerar olovligt www-sidor och sprider skadliga program De flesta offentliga webbplatser uppdateras och upprätthålls med publiceringssystem. Genom dem kan attackerare söka uppmärksamhet genom att sprida osakligt innehåll, skada administratörens rykte genom att olovligt redigera sidorna, infektera datorer med skadliga program genom reklamlänkar eller utnyttja servern för blockeringsattacker. I anslutning till de senaste händelserna övertogs Joomla-servrar för blockeringsattacker, spreds skadliga program i reklamlänkar via OpenX och nedklottrades innehållet på webbplatser. CERT-FI informerar användarna om hur publiceringssystem kan administreras tryggt CERT-FI har rapporterat om sårbarheter i publiceringssystem och om dataintrång i systemen via dem. I sina meddelanden har CERT-FI beskrivit åtgärder med vilka ett dataintrång i systemet kan observeras och dess följder åtgärdas. CERT-FI:s mål är att öka kunskaperna hos dem som använder publiceringssystem om riskerna för att systemen blir utnyttjade så att de ska kunna förebygga dataintrång. Detta görs med klara och tydliga anvisningar om hur man ska skydda sig mot dataintrång. CERT-FI har publicerat en anvisning om valet av programplattform och Årsöversikt 1/2012 4
trygg administration av tjänsten (1/2011). Anvisningar har också getts till administratörer av reklamplattformen OpenX (4/2012). Blockeringsattacker mot webbplatser Attacker mot tjänster som tillhandahålls på webben blev flera gånger föremål för medieuppmärksamhet både i Finland och i utlandet under den senare delen av 2012. Den största uppmärksamheten fick den serie av blockeringsattacker som riktades mot betydande inhemska nyhetssidor i mellandagarna 25 28.12.2012. Som helhet är detta den mest omfattande serie av blockeringsattacker som någonsin ägt rum i Finland. Attacken riktades mot MTV3, Nelonen, YLE, Helsingin Sanomat, Ilta-Sanomat, Iltalehti och webbplatsen Amppari, som samlar nyheter. Av objektens likartade karaktär, likheterna i attackernas tekniska genomförande och attackernas tidpunkt att döma utfördes alla attacker sannolikt av samma förövare. I september drabbades Sanoma Oy:s webbnyheter (Helsingin Sanomat och Ilta- Sanomat) av en blockeringsattack. I oktober skedde en flera dagar lång serie av blockeringsattacker även i Sverige. Attackerna riktades mot nyhetstjänster, banker och den offentliga förvaltningens servrar, inklusive Sveriges CERT-SE. Grupperingen Anonymous tog ansvaret för attackerna. Som motiv till gärningarna angavs viljan att stöda Julen Assange och protestera mot förhindrandet av PirateBays verksamhet. Gärningarnas motiv, genomförande och följder Motivet för blockeringsattacker är ofta att väcka uppmärksamhet. Det kan handla om att en enskild aktör vill ha uppmärksamhet, visa sitt kunnande eller lyfta fram en mer omfattande samhällsfråga. Attacken kan utföras så att tjänsten i fråga överbelastas genom att samtidigt rikta flera förbindelser mot den eller genom att utsätta datakommunikationsförbindelsens kapacitet för en stor trafikvolym. Det kan också finnas sårbarheter i serverns programvara eller webbsidornas genomförande som exponerar servern för överbelastning. De blockeringsattacker mot finländska tjänster som CERT-FI utrett under den senaste tiden har genomförts genom att använda ett nätverk av sammankopplade datorer (botnät) eller hackade servar som samtidigt tar kontakt med samma objekt med hjälp av en falsifierad källadress. Till följd av blockeringsattacken blir användningen av tjänsten förhindrad eller avsevärt långsammare. Webbsidorna laddas inte och det är inte möjligt att logga in på webbtjänsterna (såsom banktjänster). Förebyggande och avvärjning av attacker Internetbrottslingar använder falsifierade källadresser, vilket gör det svårare att avvärja blockeringsattacker. Leverantören av internetförbindelser kan kontrollera adresserna för den utgående trafiken från nätet och förhindra att förfalskade adresser kommer ut, dvs. begränsa utgående trafik från nätet som sannolikt är avsedd att vara skadlig. En stor del av världens webboperatörer har implementerat de Årsöversikt 1/2012 5
rekommenderade filtreringarna, men det finns fortfarande också många nätverk som inte filtreras. I Finland ska leverantörer av internetförbindelser iaktta föreskriften om filtrering. Enligt föreskriften ska man från kundanslutningarna filtrera bort sådan trafik som har en annan källadress än den adress som är avsedd för kundanslutningen. Därför är det svårt att genomföra en blockeringsattack med förfalskade källadresser från Finland. Då en blockeringsattack riktar sig mot en tjänst på webben (t.ex. www-sidor, nättjänster) är det väsentligt att upptäcka attacken i tid och förhindra att den skadliga trafiken når servern. Då tjänstens kapacitet har dimensionerats för måttliga ökningar och serviceutbudet har decentraliserats strukturellt, kan man reagera snabbare och effektivare på blockeringsattackernas effekter. De teleföretag som administrerar kommunikationsnäten i Finland ska i enlighet med Kommunikationsverkets föreskrifter ha teknisk beredskap att filtrera skadlig trafik som riktas mot nätet. Riktade infektioner med skadliga program En riktad attack är en kränkning av informationssäkerheten som riktas mot en bestämd aktör eller en grupp av aktörer och som beaktar objektets särdrag. Attackeraren väljer ut sitt objekt omsorgsfullt utifrån objektets betydelse, datamaterial som objektet innehar och andra motsvarande faktorer. Attackerarens motiv kan vara exempelvis att stjäla konfidentiella uppgifter av företag eller stater. Beroende på valet av objekt kan framgångsrika attacker orsaka betydande skador. I slutet av maj publicerade informationssäkerhetsbolaget Kaspersky information om ett mycket avancerat skadligt program som bolaget upptäckt. Programmet kallas Flame, Flamer eller Skywiper. Flame är ett fjärrstyrt skadligt program som stjäl uppgifter. Det antas ha utvecklats för underrättelseändamål. Det samlar inte bara in system- och nätdata från den angripna datorn, utan också användarens inloggningsdata, skärmutskrifter, video- och ljudklipp, fillistor samt dokument och bildfiler som sparats med olika tillämpningar. Dessutom undersöker programmet filernas metadata, såsom upphovsmän till dokument och platsinformation för bilder. Flame kan också följa upp den utgående e-posttrafiken från datorn. Enligt de senaste uppgifterna har den som skapat det skadliga programmet gett de återstående Flameprogrammen kommandot att avlägsna sig själva från de angripna datorerna, uppenbarligen för att göra det svårare att undersöka programmen mer ingående. I januari 2013 publicerade det ryska informationssäkerhetsbolaget Kaspersky Lab en rapport om spionprogrammet Red October. Flera hundra infekterade datorer har identifierats runt om i världen. Syftet med det skadliga programmet har varit att stjäla filer från målorganisationen. CERT-FI har skickat varningar för riktade skadliga program sedan 2006. I de mest betydande riktade attackerna under de senaste åren har använts de skadliga programmen Stuxnet (2010) ja Ghostnet (2009). Årsöversikt 1/2012 6
Skadorna till följd av en riktad attack är desto mindre, ju tidigare attacken blir upptäckt. Detta är möjligt exempelvis genom att följa upp logguppgifterna eller avvikande funktioner för system. Java-sårbarhet Under 2012 publicerade CERT-FI flera artiklar med en direkt eller indirekt anknytning till sårbarheter i Oracle Javas exekveringsmiljö. Under året åtgärdades 62 sårbarheter i Java. Av dem var 25 sådana kritiska sårbarheter som kan leda till att datorn omedelbart blir infekterad då man surfar på webben, om sårbarheterna inte åtgärdas. Flera kritiska sårbarheter användes i stor utsträckning för att sprida skadliga program. Problemet beror på att skadlig programkod kommer in i datorn via ett Java-tillägg (plugin) som installerats i webbläsaren. Skadlig programkod som uttryckligen utnyttjar sårbarheterna i Java har också påträffats på många finländska www-sidor. Den skadliga koden har i allmänhet införts på webbsidan exempelvis via en sårbarhet i publiceringssystemet som möjliggör en SQL-injektion. Skadlig kod har också spritts ut via tredje parters annonser som visas på sidan. Java är oberoende av operativsystemet, vilket innebär att sårbarheter i programmet kan utnyttjas i mycket stor utsträckning. Med hjälp av sårbarheterna har i huvudsak utpressningsprogram och skadliga program som stjäl uppgifter (t.ex. Pony, ZeuS och Citadel) distribuerats till Windows-datorer. Operativsystemet Mac OS X har i sin tur drabbats av trojanen Flashback, som också distribueras med hjälp av Java-sårbarheter. Det bästa sättet att skydda sig mot sårbarheter i Java är att helt avlägsna Javatillägget från webbläsaren. CERT-FI publicerade i augusti en Tietoturva nyt!- nyhet om hur denna åtgärd utförs i olika webbläsare. Om det av någon orsak inte är möjligt att avlägsna Java från datorn, kan man skydda sig mot utnyttjandet av sårbarheten med tillägg som förhindrar användningen av Java (t.ex. NoScript för Firefox och ScriptSafe för Chrome). Skadligt program som låser datorn drabbar fortfarande många Den 8 mars 2012 publicerade CERT-FI för första gången en Tietoturva nyt!- nyhet om ett utpressningsprogram som kräver pengar i polisens namn. Olika versioner av samma skadliga program, Reveton, har orsakat bekymmer för många datoranvändare i Finland under årets senare hälft. Också under första delen av 2013 har CERT-FI har mottagit en stor mängd förfrågningar, hjälpbegäran och observationer gällande nya versioner av det skadliga programmet. Det är inte ett meddelande från polisen, betala därför inte Programmet är en så kallad ransomware, dvs. ett skadligt program som används för att få pengar av datoranvändaren. I den version som har förekommit i Finland har användarna fått instruktionen att betala utpressningsbeloppet via det internationella betalsystemet Paysafecard. Olika versioner av utpressningsprogrammet har också Årsöversikt 1/2012 7
distribuerats på andra håll i Europa och Australien. I Europa har uppgifter om motsvarande observationer kommit åtminstone från Tyskland och Storbritannien. Överallt har användaren fått utpressningsmeddelandet på datorskärmen på sitt eget modersmål. En ny version av det skadliga programmet som CERT-FI har undersökt laddades ned på datorn på grund av en föråldrar Java-exekveringsmiljö. Mac-datorer i botnät I början av april upptäcktes ett botnät med cirka 600 000 slavdatorer som använde operativsystemet Apple Max OS X. Det skadliga programmet Flashback, som stjäl information, spreds i huvudsak via hackade webbplatser. Till botnätet tillhörde som värst nästan 300 finländska Mac-datorer. Namnservrar används för attacker År 2012 användes DNS-namnservrar för att förstärka blockeringsattacker särskilt med namntjänstfrågor av ANY-typ. För att avvärja attacker kan serverns administratör begränsa svaren på återkommande DNS-förfrågningar som kommer från en enskild IP-adress eller ett enskilt adressblock eller göra svaren långsammare. CERT-FI Autoreporter-systemet CERT-FI Autoreporter är en tjänst som CERT-FI producerat sedan 2006. Tjänsten samlar automatiskt observationer om skadliga program och kränkningar av informationssäkerheten i finländska nätverk och rapporterar om dem till nätverkens administratörer. I takt med systemets utveckling har också den interna statistikföringen effektiverats och underlättats. En nyhet i anslutning till statistikföringen är att observationer som gått genom systemet publiceras som öppen data. År 2012 behandlade systemet automatiskt drygt 184 000 rapporter. Siffran är 6 % mindre än 2011. En stor del av observationerna under 2012 handlade om övertagna datorer som infekterats med skadliga program och som kopplats till ett botnät. Maskar och försöken till skanning av nätverk har antalsmässigt förblivit ett marginellt fenomen. Fel och störningar Med tanke på störningar i kommunikationsnäten och -tjänsterna var 2012 i huvudsak ett lugnt år, trots naturfenomenen i början av året. Teleföretag skickade 17 gånger brådskande anmälningar om allvarliga störningar till Kommunikationsverket. De omfattade störningar i samtals- och internetförbindelsetjänster samt i tv- och radiotjänster. Tidvis förekom störningar också i e-posttjänsterna. Störningarna ägde i huvudsak rum nattetid och fick inga betydande konsekvenser för kunderna. Årsöversikt 1/2012 8
Början av året präglades av naturfenomen Under mellandagarna julen 2011 drabbades skogarna i södra Finland av en kraftig storm, som påverkade kommunikationsnätens funktion i flera dagar. I mitten av januari ansamlades det rikligt med snö i träden, vilket orsakade ytterligare elavbrott. I sydöstra Finland omfattade effekterna även eldistributionen till mobiltelefonnätens basstationer och därigenom också samtliga ledande mobiltelefonnätoperatörernas tjänster. Störningar åtgärdas snabbt Av de till sin varaktighet betydande störningarna blev endast 3 över 6 timmar långa, medan 40 procent av alla störningar reparerades under en timme från deras början. Störningarna orsakades oftast av ändringsarbeten i nätverken. Var fjärde störningssituation berodde på nätverksuppdateringar, programvarufel eller konfigureringsproblem. Orsakerna till de störningar som rapporterats till Kommunikationsverket har dock varierat, och det är inte möjligt att särskilja en betydande enskild faktor som orsakat störningar under 2012. Granskade över en tidsperiod på flera år har de viktigaste orsakerna till störningarna varit avbrott i det allmänna elnätverket till följd av naturfenomen (stormar, snöbildning på träden). Elavbrott som orsakar störningar förekommer inte särskilt ofta, men på grund av störningarnas varaktighet har de betydande effekter. Årsöversikt 1/2012 9
Årsöversikt 1/2012 10