09-02-2023

Til venstre: En mail tilsyneladende fra Nordea, hvor der anmodes om digital signering af dokumenter. Og til højre det websted, som linket i mailen fører til nu, efter at myndigheder i 13 lande har samarbejdet om at nedlukke webstedet.

Nordea og ransomware-forsøg

Den 24. januar 2023 modtog undertegnede den mail, du kan se øverst til venstre på smartphonen-billedet. Jeg gik på Nordeas hjemmeside, loggede på og fik at vide, at der ingen dokumenter var at underskrive! Jeg ventede heller ikke på noget dokument, der skulle underskrives.

Man kan lægge mærke til en række ting ved mailen:

1. Mit navn er ikke nævnt i mailen. Det er usædvanligt, hvis det er fra banken.
2. Der er et blåt link i mailen. Banker skriver ikke mails til deres websted, medmindre du selv aktivt har bedt om ét.
3. Da jeg holdt en finger oven på det blå link, viste den følgende webadresse: http://172.93.52.15:8000/das.php
4. I linket kan jeg se, at der står http:// og ikke https:// - det er altså ikke en beskyttet forbindelse, der opnås ved at trykke på linket. Det er bekymrende!
5. Desuden vises udelukkende en IP-adresse med tal i stedet for et domænenavn: 172.93.52.15. Det er usædvanligt, hvis det er en bank.
6. Et opslag på tjenesten netsite.dk/support/vaerktoejer/whois-opslag/ meddeler, at IP-adressen 172.93.52.15 tilhører en organisation i Californien, USA.

Man kan også simpelthen via Googles søgemaskine søge efter ”http://172.93.52.15:8000/das.php” og se, hvad der kommer ud af det herover.

Klikkes på det første billede til venstre, fås først en Twitter-konto (Gizmo @TeamDreier) og ved log-ind på Twitter kan findes pressemeddelelsen fra Europol om pågribelsen og nedlukningen af webstedet.

Pressemeddelelse fra Europol den 26. januar 2023 om sagen

Europol støttede de tyske, hollandske og amerikanske myndigheder med at fjerne infrastrukturen til den produktive HIVE-ransomware. Denne internationale operation involverede myndigheder fra i alt 13 lande (dog ikke Danmark pga. et retsligt forbehold). Retshåndhævelsen identificerede dekrypteringsnøglerne og delte dem med mange af ofrene, hvilket hjalp dem med at få adgang til deres data igen uden at betale de cyberkriminelle.

I 2022 er HIVE ransomware blevet identificeret som en stor trussel, da den er blevet brugt til at kompromittere og kryptere data og computersystemer hos store multinationale it- og olieselskaber i EU og USA. Siden juni 2021 er over 1.500 virksomheder fra over 80 lande verden over blevet ofre for HIVE-kriminelle og mistet næsten €100 millioner i løsesum. De kriminelle brugere af denne løsesumssoftware udførte selve cyberangrebene, mens HIVE-ransomwaren blev skabt, vedligeholdt og opdateret af uafhængige programudviklere. De kriminelle benyttede den dobbelte afpresningsmodel ransomware-as-a-service; først kopierede de dataene og derefter krypterede de filerne. Bagefter afpressede de ofrene for at få en løsesum for både at dekryptere filerne og for ikke at offentliggøre de stjålne data på Hive Leak Site. Når ofrene betalte, blev løsesummen delt mellem de kriminelle (som modtog 80 %) og udviklerne (som modtog 20 %).

Andre farlige ransomware-grupper har også anvendt denne såkaldte ransomware-as-a-service- (RaaS) model til at udføre angreb på højt niveau i de seneste par år. Dette har omfattet at bede om millioner af euro i løsepenge for at dekryptere berørte systemer, ofte i virksomheder, der vedligeholder kritiske infrastrukturer. Siden juni 2021 har kriminelle brugt HIVE-ransomware til at målrette en bred vifte af virksomheder og kritiske infrastruktursektorer, herunder offentlige faciliteter, telekommunikationsselskaber, produktionsvirksomheder, informationsteknologi, sundhedspleje og folkesundhed. I et større angreb målrettede HIVE-kriminelle et hospital, hvilket førte til alvorlige konsekvenser for, hvordan hospitalet kunne håndtere COVID-19-pandemien. På grund af angrebet måtte dette hospital ty til analoge metoder til behandling af eksisterende patienter og kunne ikke acceptere nye. 

De kriminelle brugere angreb virksomheder på forskellige måder. Nogle HIVE-aktører fik adgang til ofrets netværk ved at bruge enkeltfaktor-login via Remote Desktop Protocol, virtuelle private netværk og andre eksterne netværksforbindelsesprotokoller. I andre tilfælde omgik HIVE-aktører multifaktorautentificering og fik adgang ved at udnytte sårbarheder. Dette gjorde det muligt for ondsindede cyberkriminelle at logge ind uden en prompt om brugerens anden autentificeringsfaktor ved at ændre brugernavnets store og små bogstaver. Nogle HIVE-aktører fik også indledende adgang til ofrets netværk ved at distribuere phishing-e-mails med ondsindede vedhæftede filer og ved at udnytte sårbarhederne i operativsystemerne på de angrebne enheder.

Omkring €120 millioner sparet takket være afbødende indsats

Europol strømlinede indsatsen med andre EU-lande for at begrænse antallet af ofre, hvilket forhindrede private virksomheder i at blive ofre for HIVE-ransomware. Politimyndigheder leverede dekrypteringsnøglen til virksomheder, der var blevet kompromitteret, for at hjælpe dem med at dekryptere deres data uden at betale løsesum. Denne indsats har forhindret betaling af mere end $130 millioner, eller hvad der svarer til omkring €120 millioner i løsepenge.

Europol lettede informationsudvekslingen, støttede koordineringen af ​​operationen og finansierede operationelle møder i Portugal og Nederlandene. Europol ydede også analytisk støtte til at knytte tilgængelige data til forskellige straffesager inden for og uden for EU og støttede efterforskningen gennem kryptovaluta, malware, dekryptering og retsmedicinske analyser.

På aktionsdagene udsendte Europol fire eksperter til at hjælpe med at koordinere aktiviteterne på stedet. Europol støttede de involverede retshåndhævende myndigheder ved at koordinere analysen af ​​kryptovaluta og malware, krydstjekke operationelle oplysninger mod Europols databaser, yderligere operationelle analyser og retsmedicinsk støtte. Analyse af disse data og andre relaterede sager forventes at udløse yderligere efterforskningsaktiviteter. Joint Cybercrime Action Taskforce (J-CAT) hos Europol støttede også operationen. Dette stående operationelle team består af cyberkriminalitetsforbindelsesofficerer fra forskellige lande, som arbejder med højprofilerede cyberkriminalitetsefterforskningsenheder.

Kom og modtag hjælp hos de fire frivillige i PC-mødestedet

Folkepensionister, førtidspensionister, efterlønsmodtagere, selvpensionererede og seniorpensionister er alle velkomne i PC-mødestedet i Høje Gladsaxe, som du kan finde adressen til her.

Vi holder åbent om onsdagen mellem kl. 13 og 16.

Kom med dit eget udstyr - smartphone, tablet, PC eller Mac - eller benyt vores stationære Windows-PC. Vi stiller Wi-Fi til rådighed for dig til dit eget udstyr.

Der er ikke noget medlemskab eller kontingent. Du behøver ikke engang at tilmelde dig på forhånd. Hvis du deltager i vores kaffepause i løbet at de tre åbningstimer, koster det dog 10 kr. for kaffe, the og brød. Men du er ikke forpligtet til at være med.

Med venlig hilsen

Lars Laursen, frivillig i PC-mødestedet.

Om PC-mødestedet

Du kan læse mere om PC-mødestedets aktiviteter og artikler på datastuens to blogge her:

• Læs om PC-mødestedet
• Vores blog om PC og Mac
• Vores blog om Smartphones og tablets

Oversigt