Løsepengevirus sprer seg automatisk

(FORNEBU 13.mai 2017) Dataangrepene som har rammet sykehus i England, mobilnett i Spania, og tjenester i over 100 land, har spredd seg i høy hastighet. – Dersom en maskin blir infisert, sprer angrepet seg automatisk til alle sårbare maskiner som er på nettverket, sier Gunnar Ugland som er leder for Telenor sikkerhetssenter.

Telenors sikkerhetssenter driver en døgnkontinuerlig sikkerhetsovervåkning for Telenor Norge og flere norske virksomheter, ved å analysere nettrafikk for uønsket aktivitet.

- Vi advarte kundene våre om nye sårbarheter i Windows i april, og nå ser vi at cyberkriminelle utnytter den samme sårbarheten i et svært omfattende angrep. Spredningen skjer automatisk og i stor hastighet, sier Gunnar Ugland, leder for Telenor sikkerhetssenter (TSOC) i Arendal.

Dersom skadevaren lykkes i å komme på innsiden av et nettverk i en virksomhet vil den først spre seg på innsiden av virksomheten, men den vil også søke gjennom deler av internett for å prøve å spre seg ytterligere. Spredningen av det spesifikke viruset Wannacry er foreløpig stoppet, men det advares om at nye angrepsbølger kan komme.

- Det kan oppstå nye varianter som utnytter den samme svakheten. Vi vil anbefale på det sterkeste at alle sørger for å oppdatere sine Windows-programvarer, råder Gunnar Ugland.

Telenor Norge og deres virksomhetskunder er foreløpig ikke rammet av løsepengeviruset.

- Vi overvåker situasjonen kontinuerlig, og informerer kundene våre om nye tiltak som kan hindre de fra å bli rammet av nye angrep, forteller Ugland.

Les anbefalingene fra Nasjonal sikkerhetsmyndighet her:

SIKKERHETSLEDER: Gunnar Ugland er leder for Telenor sikkerhetssenter (TSOC).

Slik herjer viruset

Dersom man blir kompromittert vil svært mange filtyper bli kryptert, og gjøre videre arbeid på den aktuelle datamaskinen svært vanskelig. De som står bak krever mellom $300 og $600 for å låse opp igjen filene som blir kryptert.

Ormen som sprer løspengeviruset scanner stadig etter nye maskiner å spre seg til. Dette gjør den ved å sende ut programvare som ser etter maskiner som er sårbare. Dersom en sårbar maskin blir oppdaget, vil skadevaren bli sendt til maskinen. Hvis installeringen er vellykket, vil det åpnes opp en bakdør som igjen vil installere løsepengevirus på maskinen.

Skadebegrensning

Skadevaren har en innebygget "kill switch". Dersom den får kontakt med et bestemt domene vil den avslutte uten å forårsake skade. Dette domenet er nå gjort tilgjengelig av et sikkerhetsfirma, så hypotesen er at den verste spredningen er over. Usikkerhetsmomentet er om alle varianter av skadevaren benytter dette domenet som "kill switch". Dette vil de neste dagene vise.