Dolt i vanliga verktyg: så tar sig angriparna in i ditt nätverk
Vanliga fjärrstyrningsverktyg utnyttjas som smygvägar in i ditt nätverk.
Fjärrstyrning förvandlad till smittospridare
Det börjar oskyldigt nog: ett telefonsamtal från någon som utger sig för att vara teknisk support. Offret övertygtas att öppna Microsofts inbyggda fjärrstyrningsverktyg Quick Assist — och därifrån tar det bara några minuter innan angriparen har full kontroll. Det är startpunkten för den attackkampanj som cybersäkerhetsföretaget Huntress har identifierat och som inleddes i slutet av augusti.
Det som gör kampanjen tekniskt intressant — och skrämmande — är vad som händer härnäst. Angriparen installerar en manipulerad version av det legitima fjärrstyrningsverktyget ScreenConnect och kör fem skadliga skript skrivna i VBScript. Dessa skript är utformade för att kartlägga systemet, förbereda ytterligare kod och kringgå Windows inbyggda behörighetsskydd. Men det stannar inte vid den första datorn.
De manipulerade klienterna sprider sig vidare till andra ScreenConnect-instanser i samma nätverk. Angriparna skapar även registernycklar för att säkerställa att den skadliga koden startar automatiskt vid varje omstart — en klassisk teknik för att uppnå uthållighet. Beteendet liknar, enligt Huntress, hur klassiska datormaskar fungerar: en gång inne rör sig hotet lateralt och självständigt genom nätverket.
Det är en påminnelse om att social manipulation fortfarande är den enklaste vägen in. Tekniken är inte ny, men kombinationen av ett legitimt och välkänt verktyg med maskliknande spridningsförmåga höjer hotbilden markant.
Nordkorea gömmer sig i infrastrukturen
På andra sidan jordklotet, men lika relevant för globalt verksamma företag, rapporterar säkerhetsföretaget Rapid7 om ett betydligt mer avancerat angrepp. Nordkoreanskt kopplade hotaktörer har riktat sofistikerade spionverktyg mot bil- och medieföretag i Sydkorea — och metoderna är närmast kirurgiska i sin precision.
Angreppsverktygen är byggda för Linux och utformade för långvarig underrättelseinhämtning. Kärnan är en bakdörr kallad ted backdoor som inte installeras som ett fristående program — den kompileras direkt in i källkoden för lastbalanseraren HAProxy, ett verktyg som hanterar nätverkstrafik i stor skala. Därtill används manipulerade versioner av systemverktyg som sshd, crond och polkitd — program som finns på nästan varje Linux-server och som traditionella övervakningssystem sällan ifrågasätter.
Resultatet är ett angrepp som bokstavligen gömmer sig i offrets egen infrastruktur. Angriparna kan avlyssna nätverkstrafik, stjäla inloggningsuppgifter och injicera skadlig kod i webbflöden — allt utan att väcka misstankar. Dessutom används ett fjärrstyrningsverktyg baserat på curl, kallat CurlRAT, som var tolfte timme kontaktar en styrserver för att hämta krypterade instruktioner.
Intrånget inleddes genom en säkerhetsbrist i en inloggningsportal för gruppprogramvara. Därifrån spred sig angriparna med hjälp av stulna uppgifter till interna system — ett mönster vi känner igen från många av de senaste årens stora dataintrång.
Vad svenska företag bör göra nu
De två kampanjerna är olika i sin natur men delar viktiga lärdomar. Några konkreta åtgärder som följer av veckans rapporter:
- Granska fjärrstyrningsverktyg — kontrollera vilka versioner av ScreenConnect, Quick Assist och liknande program som finns i era miljöer och varifrån de installerats.
- Validera systemverktyg på Linux-servrar — kontrollsummor och integritetsgranskning av systemfiler som
sshdochcrondbör ingå i rutinen. - Utbilda personalen i social manipulation — det räcker med ett samtal för att öppna dörren. Strikta rutiner kring teknisk support minskar risken avsevärt.
- Segmentera nätverket — maskliknande spridning förutsätter att systemen kan nå varandra. Nätverkssegmentering begränsar skadan när ett system väl är komprometterat.
- Övervaka utgående trafik — CurlRAT kommunicerar regelbundet med externa servrar. Avvikande utgående anslutningar bör flaggas automatiskt.
Ingen av dessa åtgärder kräver enorma investeringar. De flesta handlar om grundläggande säkerhetshygien — men den glöms bort förvånansvärt ofta.
Vår analys
Det som slår mig när jag läser de här två rapporterna parallellt är hur väl angriparna förstår sina verktygs ekosystem. Att bädda in en bakdörr direkt i HAProxy-källkoden är inte ett slumpartat val — det är ett aktivt beslut att utnyttja det förtroende som infrastrukturverktyg åtnjuter. På samma sätt är valet av ScreenConnect som spridningsvektor logiskt: verktyget finns redan i miljön, det är vitlistat och det förväntas kommunicera utåt.
Detta är en tydlig trend: framtidens angrepp kommer inte att se ut som virus från 2005. De kommer att se ut som legitim programvara, för det är exakt vad de delvis är.
För AI-området är detta också relevant. När vi bygger automatiserade system och agenter som kommunicerar med externa tjänster ökar angreppsytan. Att integrera säkerhetstänk redan i designfasen — inte som ett efterhandsgrepp — blir allt viktigare. Utvecklingen leder mot en värld där integritetsgranskning av programvara måste vara kontinuerlig, inte periodisk.