It-sikkerhedsvirksomhed: Statslige ip-adresser i WannaCry-data
Den danske it-sikkerhedsvirksomhed CSIS er stødt på to ip-adresser hos en organisation under den danske stat i forbindelse med en analyse af data fra WannaCry-hackerangrebet.
Det er dog ikke nødvendigvis det samme som, at statslige systemer er blevet inficerede i forbindelse med hackerangrebet, der har krypteret data på computersystemer verden over de seneste dage. Mere om det længere nede.
»Hvis man kigger på de to ip-adresser, som rapporterer tilbage, så afslører det i hvert fald, at det er noget, som tilhører staten,« siger Peter Kruse, partner i CSIS.
Han fortæller, at ip-adresserne ligger tæt op ad hinanden talmæssigt, og at et whois-lookup på ip-adresserne returnerer navnet på den samme statslige organisation. Peter Kruse ønsker dog ikke at oplyse navnet på organisationen.
De to ip-adresser har CSIS fundet ved at analysere danske ip-adresser fra et datasæt, der stammer fra en person kendt som MalwareTech. Det er kaldenavnet for den it-sikkerhedsforsker, der i første omgang registrerede et internetdomæne, som fik malwaren til at stoppe sin hærgen.
Domæne-funktionaliteten har ageret kill switch. Det fungerer kort fortalt på den måde, at hvis malwaren kalder op til domænet, og domænet er registreret og returnerer et svar, så kører ransomware-delen ikke. Så da MalwareTech identificerede og registrere domænet lagde det en dæmper på malwaren.
Nok ikke 402 inficerede computere
De ip-adresser, som Peter Kruse og CSIS har kigget i, stammer fra forespørgsler op mod kill-switch-domænet, som den danske virksomhed har modtaget fra MalwareTech.
Ud af disse data har CSIS foreløbigt identificeret 402 danske ip-adresser. Det er dog ikke det samme som, at der med sikkerhed er 402 computere i Danmark, som er ramt af WannaCry.
Peter Kruse påpeger, at der bag de enkelte ip-adresser som følge af NAT-teknologi kan gemme sig adskillige computere. Så det reelle antal inficerede enheder i Danmark kan være langt større end 402.
Derudover så er en dansk ip-adresse i datasættet ikke ensbetydende med, at der har kørt ransomware i det bagvedliggende system. Hvis malwaren er eksekveret efter MalwareTech, registrerede domænet - det skete i sidste uge - så vil ransomware-delen af malwaren i udgangspunktet ikke køre.
Ifølge Peter Kruse kan der dog være situationer, hvor svaret fra kill-switch-domænet glipper, så ransomwaren kører alligevel.
»Der kan være forskellige omstændigheder, der gør, at den alligevel kan køre. Der er nogle særlige dele af koden, som gør, at den kan risikere ikke at få det rigtige svar tilbage.«
Ikke alene er de 402 danske ip-adresser, som CSIS foreløbigt har gravet frem, ikke ensbetydende med ransomware på de bagvedliggende systemer, det er slet ikke sikkert, systemerne overhovedet er blevet inficerede med malware.
Kan stamme fra et menneske
Godt nok er det i udgangspunktet inficering af WannaCry-malwaren, der resulterer i, at en computer forsøger at kontakte kill-switch-domænet, men trafikken kan også stamme fra et menneske.
Eksempelvis kunne det være en nysgerrig bruger, der har læst om domænet i nyhedsdækningen og klikker sig ind på det. Trafikken kan også stamme fra en it-sikkerhedsforsker, der er ved at undersøge malwaren i et sikret sandbox-miljø.
Peter Kruse medgiver, at der er en fejlmargen forbundet med data af den type, som stammer fra forespørgslerne til kill-switch-domænet.
Og i den forbindelse kan Peter Kruse heller ikke udelukke, at en del af de 402 danske ip-adresser, CSIS har identificeret i forbindelse med WannaCry-angrebet, ikke nødvendigvis er resultatet af et succesfuldt malware-angreb.
»Det kan være forespørgsler, der kommer fra research, og det kan være forespørgsler, der kommer fra sandboxes,« siger han.
Version2 har været i kontakt med Center for Cybersikkerhed (CFCS) i forhold til de to ip-adresser under staten, som CSIS er stødt på i WannaCry-dataene. CFCS har ikke umiddelbart nogen kommentarer desangående.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
