Malware

Malware er en samlebetegnelse for skadelig software, der er skrevet til at skade, forstyrre eller skaffe uautoriseret adgang til computersystemer og netværk. Ordet er en sammentrækning af det engelske “malicious software”, og det dækker over flere undertyper, herunder virus, orme, trojanske heste, ransomware og spyware. Cyberkriminelle bruger malware til at stjæle data, afpresse penge fra ofre eller skaffe sig uautoriseret adgang til systemer og ressourcer.

Et typisk forløb kan starte med, at en medarbejder modtager en mail med en vedhæftet fil, der ligner en almindelig faktura.

Åbnes filen, installeres malwaren stille i baggrunden, og angriberen får dermed en indgang til virksomhedens netværk, uden at nogen umiddelbart lægger mærke til det.

De vigtigste typer af malware

Malwaretyperne beskriver ikke primært, hvad koden gør af skade, men hvordan den opfører sig og spreder sig. Den skelnen har betydning for, hvordan man forsvarer sig imod den.

• Virus: kode der hægter sig på en fil eller et program og først spreder sig, når filen åbnes, kopieres eller deles.
• Orm: spreder sig selv gennem netværket, uden at en bruger behøver åbne noget.
• Trojansk hest: udgiver sig for at være legitim software. De trojanske heste narrer brugeren til selv at installere dem, hvilket er kernen i angrebet.
• Ransomware: krypterer filer på den inficerede enhed og kræver løsesum for at genoprette adgangen.
• Spyware: indsamler oplysninger i det skjulte, f.eks. tastetryk, skærmbilleder eller gemte adgangskoder. Læs mere om spyware og hvordan det adskiller sig fra andre typer.
• Keylogger: en undertype, der specifikt registrerer alt, hvad der tastes på enheden. Keyloggers kan bruges til at opsnappe adgangskoder og kortoplysninger.
• Loader: har kun én opgave, nemlig at hente den egentlige malware ned senere. Ofte er det en loader, der lander på maskinen først.
• Rootkit: skjuler sig i systemets dybere lag, så almindelige værktøjer ikke kan se, at den er der, og kan derfor ligge udetekteret i lang tid.

I nogle tilfælde bliver en inficeret enhed en del af et større netværk af kompromitterede maskiner, hvor malware på tusindvis af enheder fjernstyres samlet, f.eks. til at gennemføre DDoS-angreb mod en virksomheds hjemmeside eller tjenester.

Sådan spreder malware sig

Phishing er sjældent bare “en metode blandt flere” – en mail med en vedhæftet fil eller et link er stadig en af de mest almindelige veje ind i danske virksomheder og hjem. Andre typiske spredningsveje er falske eller kompromitterede websider, hvor et download starter uden en tydelig accept, samt systemer med kendte sårbarheder, der ikke er blevet opdateret. Angribere udnytter ofte en zero-day sårbarhed, altså en fejl i software, som leverandøren endnu ikke har rettet, fordi der her ikke findes en kendt løsning at beskytte sig med. Legitime softwareopdateringer fra en kompromitteret leverandør og USB-medier kan også fungere som spredningsvej, om end det sidste er sjældnere i dag end tidligere.

Hvorfor antivirus alene ikke altid er nok

Klassisk antivirus genkender kendte skadelige filer ud fra en signatur, en slags digitalt fingeraftryk. Det virker godt mod kendte trusler, men mindre godt, når angriberen ændrer filen let, pakker den anderledes, eller helt undgår at bruge en selvstændig fil.

Denne sidste teknik, kaldet “living off the land”, bruger værktøjer der i forvejen findes på maskinen, f.eks. PowerShell og administrative scripts, og er svær at fange med signaturer alene, fordi hvert enkelt værktøj i sig selv er legitimt.

Derfor suppleres antivirus i stigende grad med adfærdsbaseret detektion, der ser på, hvad der reelt sker på maskinen: hvilke processer der starter hinanden, og om noget forsøger at kommunikere med et ukendt netværk på usædvanlige tidspunkter.

En almindelig antivirus software kan stadig opdage mange kendte trusler, men beskyttelsen afhænger af, at programmet holdes opdateret, og at det suppleres med andre foranstaltninger.

Sådan beskytter du dig mod malware

Der findes ikke én løsning, der alene garanterer beskyttelse, men flere lag af sikkerhed reducerer risikoen mærkbart. Følgende tiltag går igen i de fleste anbefalinger:

• Installer en anerkendt antivirus software, og hold den opdateret – to overlappende antivirusprogrammer bør undgås, da de ofte kommer i konflikt og kan belaste systemets ydeevne unødigt.
• Opdater operativsystem og applikationer løbende, så kendte sikkerhedshuller lukkes.
• Brug en firewall til at blokere uautoriseret netværkstrafik.
• Aktivér to-faktor-autentificering på vigtige konti, så et stjålet kodeord alene ikke er nok til at give adgang.
• Begræns brugen af administratorrettigheder i det daglige arbejde, da meget malware er afhængig af rettigheder, den ikke burde have.
• Undgå at klikke på mistænkelige links, og vær forsigtig med at downloade filer fra ukendte kilder.

Backup er en vigtig sidste forsvarslinje, men kun hvis den er indrettet rigtigt. En cloud-backup, der synkroniserer automatisk, kan blive kompromitteret sammen med resten af systemet, hvis ransomwaren når at kryptere eller inficere de synkroniserede filer.

Det anbefales derfor at have mindst én backup, der ligger offline eller på anden vis er adskilt fra det daglige produktionsmiljø, og at man med jævne mellemrum tester, om filerne faktisk kan gendannes.

Data, der ikke er sikkerhedskopieret på denne måde, er mere udsatte, hvis et ransomwareangreb først rammer. Kryptering af følsomme data kan desuden gøre det sværere for en angriber at udnytte stjålne oplysninger – du kan læse mere om, hvordan man kryptere data.

Tegn på malwareinfektion, og hvad du bør gøre

Der findes ingen udtømmende liste over symptomer, men nogle mønstre er værd at reagere på: en enhed der pludselig er markant langsommere, programmer der starter uden årsag, sikkerhedssoftware der er slået fra uden forklaring, uventede pop op-vinduer, ukendte brugerkonti eller udgående netværkstrafik på tidspunkter, hvor ingen arbejder.

Et enkelt tegn behøver ikke betyde noget alvorligt, men flere af dem samtidig bør tages seriøst. Ved målrettede angreb kan der gå uger fra første adgang til der sker noget synligt, hvilket især gælder rootkits og loadere, der netop er designet til at undgå opmærksomhed.

Hvis du har mistanke om en infektion, bør du stoppe med at bruge dine online konti fra den mistænkte enhed, skifte adgangskoder fra en anden, sikker enhed og køre en fuld scanning med opdateret antivirus software.

Er infektionen alvorlig, eller drejer det sig om en virksomhedscomputer, kan det være nødvendigt at isolere enheden fra netværket og søge hjælp fra teknisk support, inden man forsøger at rydde op selv. Betaling af en eventuel løsesum ved et ransomwareangreb er ingen garanti for, at data bliver gendannet eller ikke misbruges yderligere.

Til selve fjernelsen findes flere kommercielle værktøjer, f.eks. Malwarebytes og SpyHunter, der begge tilbyder scanning og automatisk fjernelse af trojanske heste og ransomware. Hvor effektive de er i en given situation, afhænger af malwaretypen og hvor langt infektionen er kommet, så det er en god idé at sammenholde egne erfaringer med aktuelle, uafhængige tests, før man vælger et produkt.