NotPetya & Mærsk (2017): Da en regnskabsopdatering lagde verdens største rederi ned på 7 minutter

1. "Patient Zero": Ingen klikkede på et fup-link

Når vi hører om store cyberangreb, er den første tanke ofte, at en medarbejder er kommet til at åbne en mistænkelig vedhæftet fil i en phishing-mail. Men ved NotPetya var årsagen en anden.

Angrebet var et Supply Chain-angreb (forsyningskædeangreb), hvor angriberne kompromitterer et legitimt program hos selve softwareproducenten:

• For at drive forretning i Ukraine skulle virksomheder i landet indberette skat og afgifter digitalt via et udbredt ukrainsk regnskabsprogram ved navn M.E.Doc.
• Russiske militærhackere var i foråret 2017 brudt ind hos selskabet bag M.E.Doc og havde placeret en skjult bagdør (trojansk hest) i programmets officielle opdateringsserver.
• På Mærsks lokalkontor i den ukrainske havneby Odessa stod én enkelt computer, hvor økonomichefen havde fået installeret M.E.Doc. Da opdateringsserveren hos M.E.Doc den 27. juni sendte den kompromitterede opdatering ud, fik NotPetya direkte adgang til Mærsks interne virksomhedsnetværk.

2. Hvordan kunne én computer smitte 45.000 maskiner på 7 minutter?

Det, der gjorde NotPetya så ødelæggende, var måden, skadevaren bevægede sig videre på. Den ventede ikke på, at nogen sendte en fil videre, men spredte sig automatisk gennem netværket ved at kombinere to forskellige angrebsteknikker:

Våben 1: Det lækkede NSA-exploit (EternalBlue)

Det første værktøj var exploitet EternalBlue – et indbrudsværktøj oprindeligt udviklet af den amerikanske efterretningstjeneste NSA (og brugt en måned tidligere i WannaCry-angrebet). EternalBlue udnyttede en sårbarhed i Windows' fildelingsprotokol (SMBv1), så NotPetya automatisk kunne sprede sig til computere på netværket, der manglede forårets sikkerhedsopdatering (patch).

Våben 2: Adgangskoder i arbejdshukommelsen (Mimikatz)

Men hvad så med de computere og servere hos Mærsk, der var fuldt opdaterede mod EternalBlue? Det var her, NotPetyas anden del – værktøjet Mimikatz – blev afgørende.

Når en bruger eller en it-administrator er logget ind på en Windows-maskine, ligger deres adgangsoplysninger midlertidigt i computerens arbejdshukommelse (RAM). Så snart NotPetya fik fodfæste på én uopdateret computer, udlæste den adgangskoderne fra arbejdshukommelsen. Hvis en systemadministrator med brede rettigheder var logget ind på maskinen, kunne NotPetya genbruge administratorens login til at logge ind på nabocomputere og centrale servere – selv dem, der var fuldt opdaterede.

Tænk på det som et lejlighedskompleks: En indbrudstyv behøver kun at finde ét enkelt kældervindue, der ikke er skiftet (en uopdateret PC med EternalBlue). Hvis viceværten har efterladt sit hovednøglebundt på bordet i kælderen (administratorkoder i RAM), kan tyven bagefter gå op gennem trappeopgangen og låse sig ind gennem de nye sikkerhedsdøre i resten af bygningen.

3. Forklædt som ransomware – men bygget til at slette data

Da computerne hos Mærsk (og hos en række andre internationale koncerner som medicinalfirmaet Merck, fragtselskabet FedEx/TNT og Mondelēz) genstartede, viste de i første omgang en falsk besked, der til forveksling lignede Windows' egen diskreparation (Repairing file system on C:). Mange ansatte lod derfor tålmodigt maskinen køre videre i den tro, at Windows blot var ved at rette en fejl efter en genstart.

I virkeligheden var programmet i fuld gang med at låse harddisken. Kort efter skiftede skærmen til en rød tekst med krav om 300 dollars i Bitcoin for at udlevere nøglen.

Men da sikkerhedsforskere hos bl.a. Kaspersky og Comae analyserede koden bag NotPetya, opdagede de en afgørende detalje: Selvom NotPetya på overfladen lignede en ældre kendt ransomware ved navn Petya, havde bagmændene bevidst ødelagt muligheden for at gendanne harddiskens hovedregister (Master Boot Record).

Den "identifikationskode", som offeret fik vist på skærmen og skulle sende til hackerne efter betaling, var i virkeligheden bare tilfældigt genererede tegn. Selv hvis man betalte løsesummen, var det teknisk umuligt at låse computeren op igen. NotPetya var ikke skabt for at tjene penge, men var en destruktiv "wiper" (slette-malware), der blot lignede ransomware.

4. Strømafbrydelsen i Ghana: Den eneste overlevende kopi

Konsekvenserne ude i den fysiske verden viste sig med det samme. I 17 af Mærsks store containerterminaler – fra Rotterdam til New Jersey – gik kranerne og de automatiske portsystemer i stå, fordi ingen længere kunne se, hvilke containere der skulle på hvilke skibe. Uden for havnene hobede lastbilerne sig op i kilometerlange køer, mens Mærsks ansatte måtte koordinere skibslaster via private Gmail-konti, Excel-ark og WhatsApp på deres telefoner.

Imens sad Mærsks it-afdeling i et krisecenter i England med et alvorligt problem: De kunne ikke bare genindlæse serverne fra almindelige backups, fordi virksomhedens centrale bruger- og rettighedskatalog – Active Directory – var slettet.

Active Directory er det centrale kartotek på såkaldte domænecontrollere, der holder styr på alle medarbejdere, adgangskoder, rettigheder og hvilke servere der må tale sammen. Mærsk havde omkring 150 sådanne domænecontrollere fordelt over hele verden, sat op til løbende at synkronisere med hinanden i realtid.

Netop fordi de alle var forbundet, havde NotPetya overskrevet samtlige 150 domænecontrollere samtidig – og de eksisterende sikkerhedskopier af dem var enten ramt eller ufuldstændige. Uden en intakt kopi af Active Directory ville det tage måneder at opbygge Mærsks it-systemer fra bunden.

It-afdelingen kontaktede derfor Mærsk-kontorer verden over for at undersøge, om en eneste server var gået fri. På et kontor i Ghana fandt de løsningen: En lokal strømafbrydelse havde slukket kontorets server kort før angrebet tirsdag eftermiddag, så maskinen var afkoblet fra netværket, da NotPetya ramte.

Da den lokale it-medarbejder i Ghana ikke havde britisk visum, arrangerede Mærsk en overdragelse undervejs: Medarbejderen fløj fra Ghana til lufthavnen i Lagos i Nigeria, hvor han overrakte harddiskene til en kollega med visum til Storbritannien, som derefter tog natflyet til London. Ud fra denne ene overlevende kopi lykkedes det i løbet af ti døgn at genopbygge 4.000 servere og klargøre 45.000 computere.

5. Perspektivering: Hvad lærte man af NotPetya?

NotPetya blev et vendepunkt i moderne it-sikkerhed, fordi forløbet tydeliggjorde tre grundlæggende svagheder, som både virksomheder og privatpersoner kan lære af:

• Et "fladt" netværk gør spredning let: Før 2017 var mange virksomhedsnetværk indrettet, så computere på tværs af lande og afdelinger frit kunne kontakte hinanden internt. I dag arbejder man med Zero Trust og netværkssegmentering (opdeling i adskilte zoner, ligesom vandtætte skotter i et skib), så et indbrud ét sted ikke kan sprede sig til resten af organisationen. Derhjemme kan du bruge samme princip ved at placere smart-home-enheder og gæster på et separat Gæste-Wi-Fi.
• Synkronisering er ikke en backup: Mærsks domænecontrollere synkroniserede automatisk med hinanden – og synkroniserede derfor også selve ødelæggelsen. Det samme gælder for private, der kun gemmer deres billeder i en synkroniseret mappe (som OneDrive eller Dropbox) uden en adskilt, offline 3-2-1-backup.
• Begræns brugen af administrator-rettigheder: Kombinationen af en uopdateret maskine og brede administrator-rettigheder gjorde det muligt for skadevaren at vandre videre til opdaterede systemer. Både på arbejdspladsen og på privat-PC'en bør man følge princippet om færrest mulige rettigheder kombineret med løbende sikkerhedsopdateringer (patches).