Detaljer om IT-angreppet mot Transportstyrelsen

Transportstyrelsen angreps igår medvetet och riktat i ett IT-angrepp med skadlig kod. Här följer detaljer om hur angreppet gick till och vad det fick och får för konsekvenser.

Under veckan har ett antal myndigheter, företag och organisationer utsatts för det som hävdas vara IT-haverier. Enligt uppgifter från trovärdiga källor är flera av dessa i själva verket IT-angrepp, även om man angett andra orsaker, t ex solstorm som makalöst dåligt bortförklaring för att Luftfartsverkets flygledning fick problem. Det finns fler och mer insatta aktörer, som inte kan namnges, som avfärdar Luftfartsverkets påståenden om solstorm. 

Angreppen har varit av olika art och kan både handla om intrång över Internet eller fysiska störningar, som exempelvis kabelbrott.

Bland de drabbade denna vecka hittas Kriminalvården, Swedbank, Luftfartsverket, ICA:s distributionssystem och Transportstyrelsen. På sina håll gapar åtminstone färskvarudiskar tomma hos en del ICA-butiker.

Angreppet mot Transportstyrelsen var specifikt och riktat mot myndigheten. Huruvida det handlar om illvilliga hackers, främmande makt eller någon som fått betala ockeravgifter som förseningsavgift går förstås inte att avgöra.

IT-angreppet mot Transportstyrelsen skedde genom att ett tjugotal anställda fick ett e-brev från [email protected]. E-brevet innehöll en bilaga, som var skadlig kod (trojan/virus) och när ett antal av mottagarna öppnade bilagan smittades deras datorer av viruset.

Exempel på hur ett avbrott kan se ut.

Det är mycket enkelt att förfalska avsändare av E-post, om man själv har kontroll över en SMTP-server som godtar detta. Avsändaren var utanför Transportstyrelsen, men såg ut att komma från info.

Viruset började kryptera innehållet på datorernas hårddiskar, och spreds även internt inom Transportstyrelsen. Efter ett tag började även en central filserver (“G:”) att krypteras, med ungefär en mapp i minuten. Den centrala filservern stängdes förstås ner, men stora delar av servern blev krypterad och systemet är nere tills vidare.

De verksamhetskritiska registersystemen drabbades dock inte, då de fortfarande kör på gamla stordatorer, men håller på att migreras till Windows-miljö. Hade angreppet skett längre fram i tiden kunde även registersystemen slagits ut.

Myndigheten har nu förbjudit de anställda att använda sina datorer utanför myndighetens lokaler, t ex vid arbete hemifrån. Man får inte längre heller ta med sig datorer till jobbet eller motsvarande. Individer vars tjänst gör att de måste ta med sig datorer in eller ut från myndigheten behöver framöver tillstånd från IT-säkerhetsansvarig.

Mottagarna av det ursprungliga mailet har fått sina användarkonton låsta och datorer omhändertagna.

Dock var attackvektorn alltså riktad förfalskad e-post till specifika individer på Transportstyrelsen.

Angreppet har polisanmälts.

Även fler myndigheter och system har enligt uppgift upplevt angrepp, men det är inte alltid angriparen hittar sårbarheter.

I andra nyheter har en sprängladdning ombord på en fjärrstyrd undervattensfarkost avsedd för att detonera minor hittats på Nordstream-pipelinen, samtidigt som Sverige håller en beredskapsövning på Gotland. Jag återkommer med ett Midvintermörkerbingo senare under dagen.

Tillägg: Hackare tar på sig angreppen mot Swedbank och idag även mot Nordea, som vars Internetbank eller hemsida gått ner. Nordea brukar dock regelbundet gå ner varje månad runt den 25:e, så det är mer att betrakta som en icke-nyhet om sajten ligger nere.