Tjenestenektangrepet mot de digitale offentlige tjenestene Digdir administrerer, ser ut til å være avsluttet. Det melder Digitaliseringsdirektoratet (Digdir) på sine hjemmesider.
– Teknikerne våre forteller at det ikke har vært angrepsaktivitet siden klokka 19.30 i går kveld. Men det har også tidligere vært pauser i angrepet, og vi har derfor hatt is i magen, og opprettholdt beredskapen gjennom natten, sier Digdirs pressevakt, Are Kvistad til Digi.
Han legger til at tjenester fremdeles kan oppleves ustabile, på grunn av følgefeil etter angrepet som varte i to og et halvt døgn.
De første problemene ble meldt klokka 03.38 natt til mandag.
Sier tiltak har virket
Dette angrepet var det tredje angrepet mot Digdirs driftsleverandør Vivicta siden slutten av juni.
På spørsmål om Digdir har innført tiltak eller rutiner, eller endringer i maskinparken som gjør at et nytt Ddos-angrep vil være lettere å håndtere, skriver Kvistad:
– Vi ser at tiltakene som vi har gjort, basert på erfaringer fra tidligere angrep, gjør oss mer robuste. Det resulterte i at vi under de siste dagers angrep i stort har holdt systemene tilgjengelige under hele perioden.
Vi jobber løpende med sikkerhet og tar med oss erfaringer og læring også fra disse hendelsene. Sammen med driftsleverandør og andre samarbeidspartnere jobber vi videre med å sikre fortsatt god motstandsdyktighet mot tjenestenektangrep og andre typer angrep, legger han til.
Ses i sammenheng
Kripos har allerede startet etterforskning av angrepene, etter at de mottok anmeldelse fra Digdir og Vivicta tidligere i sommer.
– Det er i etterforskningen naturlig å se de angrepene i sammenheng med det pågående forholdet, skriver Birgitte Valen, politiadvokat i Kripos til Digi.
Når vi spør Kripos om de tidligere har etterforsket Ddos-angrep, og om en slik etterforskning i så fall har ført til at angripere er blitt indentifiserte og stilt til ansvar, viser Kripos' pressevakt Lisa Svelander til aksjonen Kripos deltok i i april i år.
Da ledet Europol en operasjon sammen med politimyndigheter fra 21 land, hvor man i løpet av en uke sendte ut mer enn 75.000 advarsler til brukere av Ddos-tjenester, gjennomførte 23 pågripelser, tok ut 25 ransakingsbeslutninger og stengte 53 domener.
20 ulovlige tjenester ble forstyrret eller tatt ned, og servere, databaser og annen teknisk infrastruktur ble beslaglagt i aksjonen som rettet seg mot personer som kjøper eller bruker ulovlige tjenester for å gjennomføre distribuerte tjenestenektangrep (Ddos-angrep) mot virksomheter og privatpersoner.
– Mer enn innleid tjeneste
Mens angrepet har pågått har flere ment at det må være statlige aktører som står bak, mens andre har sagt at det like gjerne kan være utført «fra gutterommet».
Teknologidirektør André Schackt i Telenor Cyberdefence sier til Digi at selv om man skal være forsiktig med attribusjon i saker som dette så er det ganske trygt å anta at vi er forbi stadiet for «script-kiddies», aktivisme eller utpressing.
– Et angrep som vedvarer på tredje døgnet er normalt ressurskraftig og målrettet, og det å holde et volumetrisk angrep gående såpass lenge krever noe mer enn en leid DDoS-tjeneste, med andre ord noen med en enten et stort, geografisk distribuert botnet, eller en betydelig, egenkontrollert infrastruktur, skriver han i en epost til Digi.
– Hvis det stammer fra botnet må angriper være i stand til å rotere på kildene til angrepet etter hvert som filtre og rensemekanismer innføres av mitigerende parter, og/eller jevnlig finne måter å komme seg rundt de mitigerende tiltakene.
Professor i cybersikkerhet Audun Jøsang ved Universitetet i Oslo sier til Digi at KI-utviklingen har gjort det vesentlig enklere å utføre storskala cyberangrep.
Angrep som før krevde mye organisering og statlig finansiering, kan nå utføres med vesentlig mindre ressurser, mener han.
– De som før bare var amatører, kan ved hjelp av KI-verktøy bli like avanserte som statlige aktører, stadfester Jøsang og fortsetter:
– Trusseltrykket vil bare øke fremover, og det kommer bare til å bli verre og verre.
Da Digi intervjuet Schackt om Ddos-angrep etter det forrige angrepet mot Digdir-tjenestene i begynnelsen av august, sa han at selv om det ikke krever mye å sette i gang slike angrep, løper angriperen en risiko som vokser jo lenger man holder på.
– Ddos-angripere har gjerne skaffet seg tilgang til en stor mengde PC-er og datamaskiner og bruker dette botnettet til å sende de store mengdene trafikk som trengs for å overbelaste målet for angrepet. Men jo lenger angrepet pågår, jo mer av infrastrukturen din røper du. Holder du et angrep i gang veldig lenge, vil de som drifter nettverkene du utnytter til angrepet ditt, oppdage hva du holder på med og prøve å stoppe deg.
En klype salt
Onsdag hevdet en russisk gruppe, som også tidligere har sagt de står bak Ddos-angrep, at det er de som har angrepet Digdir-tjenestene, fordi Norge søndag inngikk en partnerskapsavtale med Ukraina.
Når vi spør Schackt om hvor sikkert det er at en slik «tilståelse» er reell, og om utspillet kan være et ledd i en angripers ønske om å skape blest og forvirring, svarer han:
– Dette er et veldig grumsete vann, så man kan ikke være sikker på noe som helst. I denne saken er det viktig å presisere at det gruppen har gjort, er å «erklære krig» – ikke ta på seg skylden for angrepet. Det har hendt at trusselaktører har lagt ut «bevis» på at det er de som står bak, men uten noe slikt skal man ta det meste med en klype salt. Det er også vanskelig å slå fast hva motivet kan være, selv om Russland er kjent for å være en aktør som i stor grad driver med påvirkningskampanjer.
Hackergruppe hevder å stå bak Digdir-angrep – ekspert tviler
