Dette vet vi om angrepet mot Norge

Klokka to onsdag morgen begynte et massivt angrep mot norske nettsider. En rekke statlige nettsteder og infrastruktur var under angrep.

En drøy time senere tar den pro-russiske trusselaktøren Killnet æren for angrepet.

Digi.no oppsummerer det vi vet om angrepet til nå.

Prorussisk aktør

Killnet er en trusselaktør som driver med tjenestenektangrep, også kalt DDoS (Distributed denial of service).

Gruppa dukket første gang opp på Telegram 23. januar i år. Etter at krigen i Ukraina brøt ut, har gruppa blitt mer synlig.

Den 1. mars delte gruppa en video på Twitter der de erklærte at de støtter Russiske myndigheter, videoen ble først delt på Telegram, og så distribuert av tredjeparter til Twitter.

Mens gruppa som gjerne beskrives som motparten, IT Army of Ukraine, åpent tar oppdrag fra ukrainske myndigheter, ser Killnet ut til å ha en løsere tilknytning til russiske myndigheter.

Killnet har, etter at de fortalte om sin støtte til Russland, angrepet flere Ukraina-vennlige nettsider og nettsider til land som har innført sanksjoner mot Russland.

Ikke hacking

Gruppa kan strengt tatt ikke kalles en hackergruppe, siden de kun gjennomfører tjenestenektangrep, en type angrep som ikke krever mye forkunnskaper å gjennomføre.

Et tjenestenektangrep (Dos) er å, med vilje, sende mye trafikk til et nettsted, til nettstedet ikke klarer å håndtere trafikken.

Når angrepet sender mer trafikk enn nettstedet klarer å håndtere, er det ikke lenger mulig å komme inn på nettstedet. På samme måte som trafikken går saktere på bilveien når det er mange biler, og stopper helt når det er flere biler på en gang enn veien er beregnet for, gir et tjenestenektangrep full stans i trafikken. Ingen skal klare å komme frem til nettstedet.

For å gjennomføre et tjenestenektangrep trenger man, enten litt datakunnskaper og en datamaskin der du sender trafikk via kommandolinjene, eller det kan gjøres ved å laste ned et program der du bare kan skrive inn hvem du vil angripe og det gjør all jobben for deg.

Et distribuert tjenestenektangrep (DDoS) er mer effektivt, og skjer ved hjelp av mange slavemaskiner som er infisert med et program som lar angriperens bruke maskinene for å gjennomføre angrep. Her bruker angriperen et program som sender en kommando til alle slavene, og kan gjennomføre et tjenestenektangrep på enda større skala.

Det er med andre ord ikke avanserte angrep det er snakk om, og ingen data er stjålet eller manipulert.

Forsvarseksperter har stemplet angrepene som «hærverk».

– Det var et angrep på enkeltnettsider som ikke ser ut til å ha ført til ødeleggelser. Det har vært korte nedstengninger, sa Statsminister Jonas Gahr Støre til NTB om angrepet.

Startet en time før Killnet gikk ut om angrepet

Klokken 03.15 onsdag morgen gikk Killnet ut med en lang liste over hvilke nettsteder som skulle angripes. Hensikten med å legge ut denne typen lister, er å oppfordre andre til å angripe nettsidene, og slik øke trykket, og nedetiden til ofrene.

Men når Killnett annonserte angrepene og ba følgerne angripe, hadde angrepene allerede pågått en time.

Blant målene var politiet, og gruppa angrep nettsiden politiet.no, og ingen spesifikk portal. Politiet bekreftet i en pressemelding at de var under angrep.

I perioder var nettsidene til BankID nede. Men angrepet rammet kun bankid.no, og ikke selve infrastrukturen til BankID.

BankID bekreftet til TV2 at de hadde et pågående tjenestenektangrep mot seg.

Norsk infrastruktur var viktig mål for trusselaktørene, Altinn, ID-porten, Digitaliseringsdirektoratet og UDI bekreftet at de ble angrepet.

Arbeidstilsynets nettsider, og litauiske nettsiden norvegija.org som gir tips og råd om flytting, arbeid og byråkrati i Norge på Litauisk, var tidvis nede som følge av angrepet.

Til TV2 informerte både Digitaliseringsdirektoratet og Norsk Tipping, som styrer ID-tjenesten Buypass, at angrepet startet kl. 2 natt til onsdag.

Tar ikke æren for angrep på norske medier

På ettermiddagen onsdag ble også flere norske mediehus rammet av tjenestenektangrep.

VG opplevde i perioder at sider med nyheter om Russland ble utilgjengelige, og NRK meldte om ustabilitet.

Killnett har imidlertid ikke tatt på seg ansvaret for angrepene mot vg.no, nrk.no eller Schibsted-konsernet.

Angrepene skjedde etter at Killnet på sin offisielle Telegram-kanal, rett før klokken fire onsdag, la ut meldingen "stopp angrepet".

Det er derfor ikke klart hvilken trusselaktør som står bak angrepet på norske medier.

Influenser-angrep

Det er ikke uvanlig at trusselaktører bruker tjenestenektangrep politisk, for å skape oppmerksomhet om en bestemt sak. Angrepet mot Norge onsdag ser også ut til å være et slikt «influenser-angrep».

Killnet oppga på en av sine offisielle Telegram-kanaler at motivet for angrepet var Norges nei til unntak fra sanksjonene for å frakte varer til Svalbard.

Gruvesamfunnet får vanligvis russiske varer fraktet bilveien over Storskog til Tromsø, og derfra med fly til Svalbard. Denne reiseruta ble stengt som del av sanksjonene mot Russland, for å legge press på landet i solidaritet med Ukraina.

Den 15. juni avslo Utenriksdepartementet en søknad om unntak fra sanksjonene, fra det russiske gruveselskapet Arktikugol.

Svalbardtraktaten

Også russiske toppolitikere ser avslaget som brudd på Svalbardtraktaten.

– Norske myndigheter prøver å la russiske gruvearbeidere stå uten mat, noe som i seg selv er umoralsk. Dette bryter med menneskerettighetene og humanismens prinsipper, skriver Konstantin Kosatsjev, leder for utenrikskomiteen i det russiske overhuset, på sin Telegramkanal litt over klokken syv onsdag morgen. Fem timer etter at angrepet var i gang.

Han viser til Svalbardtrakten, og anklager Norge for å systematisk bryte avtalen med Russland.

I artikkel 3 i Svalbardtraktaten, er nemlig fri ferdsel, og retten til å legge til i norske havner sikret for russerne, mener Kosatsjev.

«Alle de høie kontraherende parters undersåtter skal i farvannene, fjordene og havnene innen de områder som er nevnt i artikkel 1 ha like rett til adgang og ophold – uten hensyn til grunn eller formål; de skal der kunne drive uhindret allslags maritim-, industri-, bergverks- og handelsvirksomhet på fullstendig like fot, forutsatt at de retter sig efter de stedlige lover og forskrifter.» heter det i traktaten.

Lar seg ikke skremme til å endre vedtak

Om Killnet lyktes med å skaffe oppmerksomhet om problemstillingen, er det lite som tyder på at norske politikere lar seg skremme til å endre vedtaket.

NSM er i stand til å håndtere denne typen angrep, mener justisministeren.

– Et sånt angrep er helt uakseptabelt. I tiden etter Russlands invasjon av Ukraina har vi befunnet oss i et annet trusselbilde og en annen sikkerhetspolitisk situasjonen i verden rundt oss, sa justisminister Emilie Enger Mehl under en pressekonferanse onsdag kveld.

Det er lite trolig at norske politikere vil gi flere unntak fra sanksjonene etter angrepene.

Tror på flere angrep

Nasjonal sikkerhetsmyndighet (NSM) mener norske virksomheter må forvente flere slike angrep.

– Vi må vente en videre eskalering av trusselbildet vi har sett mot norske virksomheter, sa NSM-direktør Sofie Nystrøm til NTB onsdag.

NSM er bekymret, spesielt for de små og mellomstore bedriftene, som ikke har hatt samme oppmerksomhet rundt sikkerhet.

I et blogginnlegg fra 20. mai advarer NSM mot russiske angrep, og anbefaler alle nettstedeiere å ta kontakt med leverandørene sine av datasenter- og skytjenester, og andre nett- og server-tjenester, for å få hjelp til å unngå og håndtere distribuerte tjenestenektangrep.

Trusler mot Stoltenberg

Flere norske medier meldte om trusler mot Jens Stoltenberg i forbindelse med angrepet.

Killnet skal ha delt bilder av passet til Stoltenberg, sammen med teksten «Jeg glemte å introdusere deg for vår fiende nummer 1 – Jens Stoltenberg. Denne djevelen vil svare for ethvert liv til en russisk soldat. Og også hans familie, hans barnebarn og hans støttespillere vil svare.».

Bildet var tydelig manipulert, og Nato bekreftet tidlig at passet var falskt.

Bildet kan spores tilbake til kommentarfeltet i en av Telegramkanalene Killnet oppgir som offisiell kanal. Der ble bildene delt den 26. juni, tre dager før angrepet.

Personen som har lagt ut bildet har administrator-rettigheter til kanalen, så det er sannsynlig at hen er medlem av gruppa.