Trusselbriefer

Microsoft har rettet en Windows-feil som allerede utnyttes for å omgå advarsler om farlige filer. Samtidig utnyttes nye sårbarheter i brannmurer, e-postfiltre og fjernsupportverktøy, og et innbrudd via FortiManager viser hvor sårbar en felles styringsløsning kan være.

Microsoft ga 13. oktober ut den største månedlige sikkerhetsoppdateringen selskapet noen gang har sluppet, med rundt 1 400 rettede sårbarheter. Én av dem utnyttes allerede. Feilen i Windows Shell lar angripere omgå Mark of the Web, som er merket Windows setter på filer fra internett for å kunne vise advarsler. En skadelig fil kan dermed åpnes uten de vanlige varslene. Angrepet krever at brukeren selv åpner filen, som typisk kommer på e-post eller i en chat. Samme dag fikk Windows 11 versjon 24H2 Home og Pro sin siste sikkerhetsoppdatering.

Flere sikkerhetsprodukter ble også angrepet denne uken. Palo Alto Networks bekreftet at en feil i administrasjonsgrensesnittet på brannmurene deres er utnyttet i et begrenset antall angrep. Cisco bekreftet at angripere kan ta full kontroll over e-postfilteret Secure Email Gateway ved å sende et vedlegg i en vanlig e-post. BeyondTrust rettet en feil i fjernsupportverktøyet Remote Support som har vært utnyttet siden august. CISA bekreftet også at sårbarhetene i backupløsningen AhsayCBS, som vi omtalte forrige uke, utnyttes.

Unit 42, som er forskningsenheten til Palo Alto Networks, publiserte en analyse av et innbrudd hos en telekomleverandør. Angriperne kom inn via FortiManager, den sentrale styringsløsningen for Fortinet-brannmurer. Derfra stjal de konfigurasjon og passord for over 500 FortiGate-brannmurer, også brannmurene til leverandørens kunder. Deretter installerte de skjult skadevare som bare ligger i minnet. Innbruddet skjedde i 2024, men analysen viser hvordan feilen ble brukt i praksis.

For norske SMB-er viser uken at brannmurer, e-postfiltre og fjernstyringsverktøy er blant de første målene angripere går etter. Saken med FortiManager viser også at leverandøren som drifter utstyret, kan bli inngangsporten.

Utnyttet sårbarhet i Windows: En feil lar skadelige filer åpnes uten de vanlige advarslene. Den rammer alle Windows-maskiner som ikke har fått oktoberoppdateringen.
Angrep på brannmurer fra Palo Alto Networks: Angripere med tilgang til administrasjonsgrensesnittet kan ta full kontroll over brannmuren. Risikoen er størst når grensesnittet kan nås fra internett.
E-postfilter fra Cisco overtatt via vedlegg: Én e-post med et spesiallaget vedlegg kan gi angripere full kontroll over e-postfilteret. Ingen bruker trenger å klikke på noe.
Fjernsupportverktøy utnyttet siden august: BeyondTrust Remote Support brukes av IT-avdelinger og leverandører. Sårbare installasjoner bør behandles som mulig kompromitterte.
Innbrudd via FortiManager: Angriperne fikk tilgang til over 500 brannmurer gjennom én felles styringsløsning. Saken er relevant for alle som får Fortinet-utstyr driftet av en leverandør.

Installer oktoberoppdateringene for Windows på alle maskiner
Oppgrader maskiner med Windows 11 24H2 Home eller Pro til en nyere versjon
Steng administrasjon av brannmurer for tilgang fra internett
Spør IT-leverandøren om FortiManager, brannmurer og e-postfilter er oppdatert
Kontroller at verktøy for fjernsupport er oppdatert eller fjernet
Unngå å åpne uventede vedlegg, også når Windows ikke viser advarsel

Vi vurderer at utstyr som skal beskytte virksomheten, fortsatt er et av de mest attraktive målene for angripere. Brannmurer, e-postfiltre og fjernsupportverktøy har høye rettigheter og står ofte direkte mot internett. Norske SMB-er bør vite hvilke slike løsninger de har, hvem som oppdaterer dem, og om administrasjonen kan nås utenfra.

Innbruddet via FortiManager viser at en felles styringsløsning hos en leverandør kan gi tilgang til mange kunder samtidig. Virksomheter bør spørre leverandørene sine hvordan slike systemer er sikret og fulgt opp. Det økende antallet sårbarheter som oppdages, også ved hjelp av KI, betyr flere oppdateringer fremover. Vi forventer at evnen til å prioritere og oppdatere raskt blir stadig viktigere.

FBI advarer om at angripere fortsatt bryter seg inn i Fortinet-brannmurer med stjålne passord og stenger eierne ute. Samtidig utnyttes en feil i en backupløsning som ikke er rettet, og myndigheter i sju land advarer mot angrep på gammel, uoppdatert programvare.

Ukens viktigste sak for norske virksomheter er FortiBleed. FBI og US Secret Service advarte 6. oktober om at kampanjen fortsatt er aktiv. Angripere logger inn på Fortinet-brannmurer og VPN-løsninger som er tilgjengelige fra internett, ved hjelp av lekkede og gjenbrukte passord. Kampanjen utnytter ingen sårbarhet, så en oppdatering alene løser ikke problemet. Inne på brannmuren oppretter angriperne egne administratorkontoer, og i noen tilfeller sletter eller endrer de eierens kontoer slik at virksomheten blir stengt ute. Tilgangen er solgt videre til løsepengegrupper.

Angripere utnytter også to sårbarheter i backupløsningen AhsayCBS, som er mye brukt av IT-leverandører. Det finnes foreløpig ingen rettelse, og angriperne har installert bakdører og programvare for kryptoutvinning. Citrix har varslet om enda en kritisk feil i NetScaler. Denne er ikke kjent utnyttet, men kommer etter flere uker med aktive angrep mot det samme produktet.

Myndigheter i sju land publiserte 8. oktober en felles advarsel om en kinesisk aktør som angriper virksomheter verden over. Aktøren utnytter blant annet sårbarheter som er opptil elleve år gamle og passordangrep mot Microsoft 365 og Exchange. Samme dag beslagla FBI infrastruktur som ble brukt til angrepene.

Oktober er nasjonal sikkerhetsmåned. En ny norsk undersøkelse viser at mer enn én av fire tar sjanser på nett som de vet er risikable, og at 42 prosent av ansatte i små bedrifter bruker åpne KI-verktøy i jobben. For norske SMB-er viser uken at passord, gammelt utstyr og vaner hos de ansatte er like viktige som nye sårbarheter.

FortiBleed fortsatt aktiv: Angripere bruker stjålne passord mot Fortinet-brannmurer og VPN, oppretter egne administratorkontoer og selger tilgangen til løsepengegrupper. Fortinet er svært utbredt i Norge.
Uløst sårbarhet i backupløsningen AhsayCBS: Angripere tar kontroll over backupservere uten å logge inn. Backup er ofte siste skanse mot løsepengevirus.
Ny kritisk feil i Citrix NetScaler: Feilen er ikke kjent utnyttet, men produktet har vært under kontinuerlig angrep de siste ukene.
Felles advarsel fra sju land om kinesisk aktør: Angrepene bruker gamle sårbarheter og passordangrep mot Microsoft 365 og Exchange. Uoppdaterte systemer er et lett mål.
Norsk undersøkelse om sikkerhetskultur: Mange tar bevisste sjanser på nett, og bruken av åpne KI-verktøy i små bedrifter er utbredt.

Bytt alle administrator- og VPN-passord på Fortinet-brannmurer
Kontroller at brannmuren ikke har ukjente administratorkontoer
Steng administrasjon av brannmur og backup fra internett
Krev MFA på all fjerntilgang og alle administratorkontoer
Spør IT-leverandøren om dere bruker AhsayCBS til backup
Fjern eller oppdater gammel programvare som fortsatt er i drift

Vi vurderer at stjålne passord er en like stor trussel som nye sårbarheter for norske SMB-er. FortiBleed viser at angripere kan overta brannmuren uten å utnytte en eneste feil, og at en oppdatering ikke hjelper hvis passordet allerede er kjent. Virksomheter bør bytte passord på utstyr som står mot internett, fjerne tilgang til administrasjon utenfra og kreve MFA. De bør også sikre at de kan nå brannmuren selv om kontoene blir endret.

Backupløsninger og gammel programvare blir i økende grad mål for angrep. Virksomheter bør vite hvem som drifter backupen, og om den er skilt fra resten av nettverket. Vi forventer at angrep der passord og tilganger blir solgt videre til løsepengegrupper, fortsetter de kommende ukene.

Angripere misbrukte en bedrifts lovlige tilgang til det danske folkeregisteret og hentet ut opplysninger om 8,8 millioner personer. Samtidig utnyttes en ny feil i Citrix NetScaler, og falske robotsjekker lurer brukere til å installere skadevare selv.

Ukens mest alvorlige sak i Norden er innbruddet i det danske folkeregisteret (CPR). Angripere misbrukte en liten dansk bedrifts lovlige tilgang til registeret og hentet ut navn, adresser og personnummer for rundt 8,8 millioner personer. Angrepet foregikk i september og ble oppdaget 2. oktober. Danske myndigheter advarer nå mot svindel der kriminelle bruker de stjålne opplysningene for å virke troverdige.

Citrix har sluppet en ny nødoppdatering for NetScaler. Angripere utnytter en feil i løsninger som bruker SAML, en standard for felles pålogging. Virksomheter som oppdaterte forrige uke, må derfor oppdatere på nytt. Atlassian har rettet en kritisk feil i åtte selvdriftede produkter, blant annet Jira og Confluence. Feilen lar uvedkommende lese filer uten å logge inn. Atlassian har ikke sett tegn til at den utnyttes, og skyversjonene er allerede rettet. ASUS har også sluppet nye fastvareoppdateringer for rutere.

Microsoft har beskrevet en ny variant av ClickFix. Det er en teknikk der brukeren lures til å lime inn og kjøre en kommando, ofte via en falsk robotsjekk (CAPTCHA). I den nye varianten ligger den skadelige koden allerede skjult i nettleserens hurtigbuffer før brukeren gjør noe. Målet er å stjele passord. I Storbritannia økte summene som ble stjålet via kapring av e-post- og sosiale mediekontoer fra 1,2 til 6,3 millioner pund på ett år.

For norske SMB-er viser uken at tilgangen leverandører og samarbeidspartnere har, kan bli misbrukt. I tillegg kan personopplysninger som allerede er lekket, gjøre svindelforsøk langt mer overbevisende.

Innbrudd i det danske folkeregisteret: En bedrifts lovlige tilgang ble misbrukt til å hente opplysninger om 8,8 millioner personer. Leverandørtilganger kan bli det svakeste leddet også i nordiske virksomheter.
Ny utnyttet feil i Citrix NetScaler: Løsninger med SAML-pålogging angripes. Virksomheter som oppdaterte forrige uke, må oppdatere på nytt.
Kritisk sårbarhet i Atlassian Jira og Confluence: Gjelder selvdriftede installasjoner. Feilen utnyttes ikke ennå, men lignende feil hos Atlassian har tidligere blitt utnyttet raskt.
ClickFix med skadevare i nettleserens hurtigbuffer: En falsk robotsjekk lurer brukeren til å starte skadevare som stjeler passord. Angrepet starter fra nettsider som er hacket.
Kraftig økning i kapring av kontoer: Britiske tall viser at svindel via kapret e-post og sosiale medier har økt kraftig. Myndighetene anbefaler å gå over til passkeys.

Gjennomgå hvilke leverandører som har tilgang til virksomhetens systemer og data
Oppdater Citrix NetScaler på nytt hvis SAML-pålogging er i bruk
Oppdater selvdriftede Jira-, Confluence- og Bitbucket-installasjoner
Lim aldri inn kommandoer fra nettsider, selv om de ber om robotsjekk
Oppdater rutere og bytt standardpassord for administrasjon
Ta i bruk passkeys der det er mulig

Vi vurderer at innbruddet i det danske folkeregisteret viser en risiko mange norske SMB-er undervurderer: tilganger som er gitt til andre. Angriperne trengte ingen sårbarhet. De brukte en lovlig tilgang hos en liten bedrift. Virksomheter bør vite hvilke leverandører som har tilgang til systemene deres, hva tilgangen omfatter, og om den fortsatt trengs. Uvanlig mange oppslag eller nedlastinger bør gi et varsel.

Svindlere får stadig lettere tilgang til opplysninger som navn, adresse og personnummer. Det gjør phishing og telefonsvindel mer troverdig. At noen kjenner til opplysningene dine, beviser ikke at de er den de utgir seg for å være. Vi forventer flere angrep der brukeren lures til å gjøre jobben selv, for eksempel med ClickFix. Opplæring og passordfri innlogging bør derfor prioriteres.

Angripere utnytter nå kritiske sårbarheter i Citrix NetScaler og SharePoint Server. Samtidig fortsetter phishing mot Microsoft 365 der angripere utgir seg for å være IT-support og kommer seg forbi tofaktorautentisering.

Forrige uke handlet i stor grad om sårbarheter i løsninger som er tilgjengelige fra internett. Citrix bekreftet 27. september at angripere utnytter to kritiske sårbarheter i NetScaler ADC og NetScaler Gateway. Begge er nulldagssårbarheter, altså feil som angripere tok i bruk før leverandøren hadde en rettelse klar. Den ene rammer alle installasjoner med standardoppsett og lar en angriper kjøre kommandoer uten å logge inn. Mange bruker NetScaler til VPN og fjernaksess. Et innbrudd her kan derfor gi angriperen direkte adgang til det interne nettverket.

Microsoft bekreftet samme uke at angripere utnytter en sårbarhet i SharePoint Server. Microsoft rettet feilen i augustoppdateringene. Angrepene startet kort tid etter at tekniske detaljer ble publisert, og det er observert forsøk på å installere bakdører. En bakdør er skjult programvare som gir angriperen tilgang også senere. Virksomheter som drifter SharePoint på egne servere og ikke har installert oppdateringene, er utsatt. CISA meldte også om aktiv utnyttelse av en sårbarhet i Adobe Commerce og Magento, som mange nettbutikker bruker.

Angrep mot identiteter i Microsoft 365 fortsetter. Angripere ringer eller sender SMS og utgir seg for å være IT-support. De ber den ansatte oppdatere MFA- eller passkey-innstillinger og sender vedkommende videre til falske innloggingssider. Brukeren gjennomfører en vanlig innlogging, men angriperen får en gyldig økt og kan legge inn sine egne innloggingsmetoder. Da hjelper det ikke alltid å bytte passord.

For norske SMB-er viser dette at tiden fra en sårbarhet blir kjent til den utnyttes, nå ofte måles i dager. Virksomheter uten fast rutine for oppdatering av internetteksponert utstyr, og uten oversikt over hvem som kan logge inn i Microsoft 365, står mest utsatt.

Nulldagssårbarheter i Citrix NetScaler: Angripere utnytter to kritiske feil i løsninger for VPN og fjernaksess. Den ene rammer alle standardinstallasjoner og krever ingen innlogging.
SharePoint Server utnyttes aktivt: Virksomheter som ikke har installert Microsofts augustoppdateringer, risikerer at angripere kjører kode og installerer bakdører på serveren.
Angrep mot nettbutikker på Adobe Commerce og Magento: En aktivt utnyttet feil kan gi angripere tilgang til kundekontoer og persondata. Det kan utløse meldeplikt til Datatilsynet.
Falsk IT-support rettet mot Microsoft 365: Angripere ringer eller sender SMS om MFA og passkeys. Målet er å overta kontoer til tross for tofaktorautentisering.
Phishing-tjenester som slår av sterk innlogging: Kriminelle phishing-verktøy tvinger brukere over på svakere innloggingsmetoder og stjeler deretter innloggede økter i Microsoft 365.

Oppdater Citrix NetScaler umiddelbart og undersøk om enheten er kompromittert
Installer augustoppdateringene for SharePoint Server hvis dere drifter dette selv
Kontroller at nettbutikker på Adobe Commerce eller Magento er oppdatert
Avvis henvendelser om MFA eller passkeys som kommer via telefon eller SMS
Gjennomgå nylig registrerte innloggingsmetoder i Microsoft 365
Blokker device code-innlogging i Microsoft 365 der det ikke er behov for det

Vi vurderer at utstyr og tjenester som er tilgjengelige fra internett, er den største umiddelbare risikoen for norske SMB-er nå. Angripere tar i bruk nye sårbarheter i løpet av dager, og noen ganger før det finnes en rettelse. Virksomheter bør vite hvilke systemer som er eksponert, og ha en fast rutine for å oppdatere dem raskt. Der det er mistanke om innbrudd, bør man undersøke systemet før man oppdaterer, slik at spor ikke går tapt.

Vi ser også at sterkere innlogging ikke stopper angrep alene når angriperen lurer brukeren til å godkjenne tilgangen selv. Ansatte må vite hvordan ekte IT-henvendelser kommer, og virksomheten bør følge med på nye innloggingsmetoder og uvanlige pålogginger. Vi forventer at sosial manipulering rettet mot MFA og passkeys vil fortsette, og at angrep på VPN- og fjernaksessløsninger vil holde seg på et høyt nivå.

Flere angrep mot norske tjenester og et høyt antall aktivt utnyttede sårbarheter preger uken. Samtidig advarer myndighetene om at virksomheter må være bedre forberedt på driftsforstyrrelser og bortfall av digitale tjenester.

Denne uken er det ikke én enkelt hendelse som dominerer trusselbildet. I stedet ser vi en utvikling der digitale tjenester utsettes for økende press fra flere kanter samtidig. Tjenestenektangrep mot norske virksomheter og offentlige tjenester har fått stor oppmerksomhet de siste ukene, og Norske myndigheter og sikkerhetsmiljøer anbefaler at virksomheter styrker beredskap og motstandsdyktighet mot tjenestenektangrep.

Mange virksomheter har de siste årene prioritert beskyttelse av data og brukerkontoer. Det er fortsatt viktig, men ukens hendelser viser at tilgjengelighet også er en kritisk del av sikkerhetsarbeidet. Når nettsider, kundeportaler, VPN-løsninger eller andre nettbaserte tjenester blir utilgjengelige, kan konsekvensene være betydelige selv om ingen data kommer på avveie.

Samtidig står flere sårbarheter i utbredte produkter på listen over aktivt utnyttede svakheter. Dette gjelder blant annet løsninger for nettverksstyring, e-postsikkerhet, fjernadministrasjon og programvareutvikling. Fellesnevneren er at produktene ofte har høy tillit og omfattende tilgang i virksomhetens miljø, noe som kan gi store konsekvenser dersom de kompromitteres.

Et annet tydelig utviklingstrekk er økt bruk av automatisering og kunstig intelligens i angrep. Dette gjør at angripere kan identifisere sårbarheter og gjennomføre angrep raskere enn tidligere. For norske SMB-er betyr det at tiden mellom offentlig kjent sårbarhet og reell risiko fortsetter å bli kortere.

NSM varsler om tjenestenektangrep: Norske virksomheter oppfordres til å styrke beredskap og motstandsdyktighet mot DDoS-angrep.
Angrep mot norske nettjenester: Flere offentlige og samfunnskritiske tjenester har opplevd driftsforstyrrelser de siste ukene.
ScreenConnect under aktiv utnyttelse: Sårbarheten rammer en løsning som benyttes bredt til fjernsupport og administrasjon.
Alvorlige Cisco-sårbarheter: Kritiske svakheter i sikkerhets- og e-postløsninger utnyttes aktivt.
AI øker angrepstempoet: Automatiserte verktøy gjør kartlegging og utnyttelse av sårbarheter raskere.
Flere utviklingsplattformer rammes: GitLab og andre utviklingsverktøy er blant produktene med nye aktivt utnyttede sårbarheter.

Kartlegg tjenester som er eksponert mot internett
Installer sikkerhetsoppdateringer uten unødig forsinkelse
Kontroller at MFA er aktivert på alle kritiske kontoer
Gjennomgå beredskapsplaner for bortfall av tjenester
Test sikkerhetskopier og gjenopprettingsrutiner
Avklar ansvar og kontaktpunkter hos leverandører

Vi vurderer at tilgjengelighet og robusthet fortjener større oppmerksomhet enn mange virksomheter gir området i dag. Selv om datainnbrudd og ransomware fortsatt representerer en betydelig risiko, viser utviklingen de siste ukene at bortfall av digitale tjenester kan påvirke drift, kundeleveranser og kommunikasjon på kort tid. Virksomheter bør derfor behandle kontinuitet og tilgjengelighet som en del av sitt sikkerhetsarbeid, ikke bare som et driftsspørsmål.

Vi vurderer også at virksomheter bør prioritere oversikt over internett-eksponerte tjenester, raske sikkerhetsoppdateringer og tydelige avtaler med eksterne leverandører. Kombinasjonen av aktivt utnyttede sårbarheter og økt grad av automatiserte angrep gjør at forsinkelser i oppdateringsarbeidet kan få større konsekvenser enn tidligere. Særlig løsninger for fjernadministrasjon, identitetshåndtering og nettverkskontroll bør vies ekstra oppmerksomhet i tiden fremover.

Flere aktivt utnyttede sårbarheter i utbredte IT-løsninger preget uken. Samtidig viser vishing-kampanjer, KI-drevne angrep og norske hendelser behovet for raske oppdateringer og tydelig beredskap.

Denne uken ble det registrert flere aktivt utnyttede sårbarheter i løsninger som brukes av norske virksomheter. Blant de mest relevante var feil i Fortinet, Citrix NetScaler, ConnectWise ScreenConnect, Windows og Chromium-baserte nettlesere som Chrome og Edge. Sårbarhetene kan blant annet gi angripere mulighet til å omgå innlogging, kjøre kode eller utvide tilgangen til berørte systemer.

Samtidig fortsetter sosial manipulering å være en sentral angrepsmetode. ShinyHunters gjennomførte målrettede vishing-kampanjer, altså telefonsvindel, der personer utga seg for å være IT-support. Målet var å lure ansatte til å gi fra seg innloggingsinformasjon til skytjenester. Denne metoden kan ramme virksomheter uavhengig av størrelse og bransje.

Flere dokumenterte hendelser viser også hvordan kunstig intelligens brukes til å automatisere deler av cyberangrep. Verktøyene ble brukt til å bygge om skadevare, omgå sikkerhetskontroller og samle inn tilgangsinformasjon raskere. Utviklingen kan gjøre angrep mer effektive og redusere tiden virksomheter har til å oppdage og begrense dem.

Granskingen etter datainnbruddet i Lørenskog kommune viste samtidig betydningen av rask reaksjon og tydelig ansvarsfordeling. Kommunen brukte 26 dager fra det første varselet til det første tiltaket. Rapporten peker på manglende kompetanse og uklare ansvarsforhold mellom kommunen og leverandørene.

Aktivt utnyttede sårbarheter i sentrale IT-løsninger: Fortinet, Citrix, ScreenConnect, Windows og Chromium var blant de berørte.
Vishing mot skytjenester: ShinyHunters brukte falsk IT-support for å forsøke å stjele innloggingsinformasjon.
KI gjør angrep raskere: Aktører brukte kunstig intelligens til skadevareutvikling og innsamling av tilgangsdata.
Lørenskog kommune reagerte sent på varsler: Det gikk 26 dager fra første varsel til første tiltak.
Fjernaksessløsninger ble aktivt utnyttet: Flere av ukens sårbarheter rammet systemer for ekstern tilgang og IT-drift.
Microsoft 365-kontoer ble forsøkt kompromittert: En falsk innloggingsmekanisme ble brukt til å stjele tilgangsnøkler.

Installer tilgjengelige sikkerhetsoppdateringer
Kontroller at nettlesere oppdateres automatisk
Bekreft identiteten til personer som ber om tilgang
Gjennomgå rutinene for håndtering av sikkerhetsvarsler
Kontroller tilganger og pålogginger i Microsoft 365
Avklar sikkerhetsansvaret med virksomhetens IT-leverandører

Vi vurderer at ukens trusselbilde særlig viser behovet for raske oppdateringer og tydelig håndtering av sikkerhetsvarsler. Aktiv utnyttelse av feil i nettlesere, fjernaksess og nettverksløsninger betyr at kjente svakheter kan få praktiske konsekvenser før virksomheten rekker å reagere. Norske SMB-er bør derfor ha oversikt over hvilke systemer de bruker og hvem som følger opp sikkerhetsoppdateringer.

Samtidig blir kombinasjonen av sosial manipulering og KI-drevet automatisering viktigere. Virksomheter bør prioritere kontroll av uventede henvendelser, tydelig ansvarsfordeling og rask eskalering av varsler. Utviklingen viser at sikkerhet ikke bare er et teknisk spørsmål, men også avhenger av gode rutiner, bevisste ansatte og klare avtaler med eksterne leverandører.

Aktivt utnyttede svakheter i vanlige nettlesere og kontorsystemer preger uken. Samtidig viser et KI-støttet løsepengevirusangrep hvor raskt kjente angrepsmetoder kan automatiseres.

Ukens trusselbilde preges av flere aktivt utnyttede sårbarheter som berører løsninger mange norske virksomheter benytter daglig. Særlig skiller svakheten i Chromium seg ut, ettersom nettlesermotoren brukes av både Chrome, Edge og flere andre nettlesere. En vellykket utnyttelse kan gi en angriper mulighet til å kjøre skadelig kode når en bruker besøker en manipulert nettside, noe som gjør dette relevant for virksomheter på tvers av bransjer og størrelser.

Samtidig ble flere nye sårbarheter lagt til CISAs liste over kjente og aktivt utnyttede svakheter. Blant disse finner vi PaperCut NG/MF, som er utbredt i norske kontormiljøer, samt løsninger for fjerntilgang, telefoni, utvikling og automatisering. Fellesnevneren for mange av funnene denne uken er at angriperne lykkes ved å utnytte kjente og dokumenterte svakheter som ikke er oppdatert eller lukket.

En av ukens mest interessante utviklinger kommer fra en hendelse analysert av Unit 42, der en løsepengevirusaktør brukte avanserte KI-modeller og automatiserte angrepsrammeverk til å gjennomføre et komplett innbrudd på under ti timer. Selve teknikkene var kjente, men automatiseringen gjorde det mulig å gjennomføre et angrepstempo som tidligere ville krevd et større team og betydelig mer tid.

Flere internasjonale hendelser viser også at både kriminelle og statstilknyttede aktører fortsatt oppnår resultater gjennom eldre, upatchede systemer. Dette understreker betydningen av grunnleggende sikkerhetsarbeid. Samtidig peker utviklingen mot at cybersikkerhet i økende grad blir et ledelses- og styreansvar, i takt med forventningene som følger av det kommende NIS2-regelverket.

Aktivt utnyttet Chromium-sårbarhet: Berører Chrome, Edge og andre nettlesere som brukes av de fleste norske virksomheter.
PaperCut-sårbarheter under aktiv utnyttelse: Relevant for norske kontormiljøer som benytter PaperCut til utskriftsstyring.
KI gjør angrep raskere: Et dokumentert løsepengevirusangrep viste hvordan kjente teknikker kan automatiseres og gjennomføres på langt kortere tid.
Kjente sårbarheter fortsatt hovedinngang: Flere av ukens hendelser skyldes svakheter som har vært kjent over tid, men ikke er blitt utbedret.
NIS2 flytter sikkerhet til ledelsesnivå: Cybersikkerhet blir i økende grad et styre- og ledelsesansvar, ikke bare et IT-ansvar.
Flere virksomhetskritiske systemer rammet: Nye aktivt utnyttede sårbarheter er identifisert i løsninger for fjerntilgang, telefoni og intern infrastruktur.

Oppdater Chrome, Edge og andre Chromium-baserte nettlesere.
Kontroller om virksomheten bruker PaperCut NG/MF.
Installer sikkerhetsoppdateringer på internett-tilgjengelige systemer.
Sjekk om SonicWall SMA1000 eller Sangoma Switchvox er i bruk.
Ta digital sikkerhet inn i ledelsens og styrets risikovurderinger.

Hos mange norske virksomheter opplever vi at de største risikoene fortsatt ligger i det grunnleggende. De fleste dataangrep starter ikke med avanserte teknikker, men med kjente sårbarheter som ikke er oppdatert, eller systemer som har blitt stående eksponert over tid. Ukens funn understøtter nettopp dette bildet.

Det som bekymrer oss mest denne uken er ikke nødvendigvis de enkelte sårbarhetene, men hastigheten angriperne nå kan operere med. Når kunstig intelligens og automatisering tas i bruk, reduseres tiden mellom et første innbrudd og videre spredning i virksomheten betydelig. Dette stiller større krav til oversikt, oppdateringsrutiner og evnen til å oppdage avvik tidlig.

For ledere betyr dette at cybersikkerhet ikke lenger kan betraktes som et rent IT-spørsmål. Ledelsen bør jevnlig få oversikt over virksomhetens mest kritiske systemer, status på sikkerhetsoppdateringer og hvilke tjenester som er tilgjengelige fra internett. God sikkerhet handler i stor grad om styring, prioritering og oppfølging av kjente risikoområder.

Vår anbefaling er derfor å bruke denne uken til å kontrollere at oppdateringsrutinene fungerer som forventet, og å sikre at ansvar og eierskap til virksomhetens digitale risiko er tydelig forankret i ledelsen. Erfaringen viser at dette ofte gir større effekt enn enkeltstående sikkerhetstiltak eller nye teknologiske investeringer.

Dette skjedde denne uken.

Dette bør dere gjøre nå.

Hva betyr dette for dere?

Tidligere trusselbriefer.

Vet du hvor virksomheten er mest utsatt?