Falske browser-opdateringer spreder russisk malware til europæiske firmaer

En ny analyse fra Arctic Wolf viser, hvordan russiske hackere udnytter falske software-opdateringer til at ramme virksomheder, der støtter Ukraine

12. december 2025 Lars Bennetzen Nye nyheder, Nyhedsbrev, Tophistorier
Illustration: Gemini (AI)

Det kræver blot et enkelt klik på en tilsyneladende legitim browser-opdatering, før virksomhedens it-systemer er kompromitteret. Sådan lyder advarslen i en ny sikkerhedsanalyse fra it-sikkerhedsvirksomheden Arctic Wolf. Analysen blotlægger en ny tendens, hvor russisk-tilknyttede hackergrupper misbruger helt almindelige, men kompromitterede hjemmesider til at sprede avanceret malware.

Angrebsmetoden benytter sig af den såkaldte SocGholish-malware. Teknikken går ud på at narre brugere, der forsøger at opretholde god it-hygiejne ved at holde deres software opdateret. Når brugeren besøger en kompromitteret hjemmeside, præsenteres de for en pop-up om, at deres browser skal opdateres.

Klikker medarbejderen på opdateringen, aktiveres SocGholish-malwaren, hvilket giver angriberne adgang til systemet. Ifølge analysen forsøger bagmændene herefter at installere den russisk-støttede RomCom-gruppes avancerede ’Mythic Agent’-loader. Det er første gang, denne specifikke loader er observeret i forbindelse med SocGholish-angreb.

Norden er i skudlinjen

Selvom metoden umiddelbart ligner et bredt masseangreb, dækker den over en målrettet strategi. RomCom-gruppens malware aktiveres kun, hvis den genkender et specifikt mål. Det betyder, at angriberne kan skjule præcisionsangreb i store, globale kampagner.

Analysen peger på, at europæiske og nordamerikanske virksomheder er de primære mål. Særligt udsat er organisationer, der direkte eller indirekte kan linkes til støtte af Ukraine. Rapporten fremhæver en hændelse hos et amerikansk ingeniørfirma, der havde samarbejdet med en by med tætte forbindelser til Ukraine.

Dette gør truslen aktuel for nordiske virksomheder og offentlige instanser, hvor mange siden 2022 har leveret rådgivning og bistand til Ukraine.

Angreb eskalerer på under 30 minutter

En af de mest kritiske faktorer ved denne angrebsform er hastigheden. Rapporten dokumenterer, at der kan gå under 30 minutter fra brugeren klikker på den falske opdatering, til hackerne har etableret fuld fjernadgang og installeret yderligere skadelig kode.

Operatøren bag SocGholish, kendt som TA569, fungerer ofte som en digital mellemmand, der videresælger adgangen til kompromitterede systemer til andre kriminelle grupper, herunder ransomware-aktører.

Tekniske foranstaltninger er nødvendige

Kombinationen af statslige aktører og økonomisk motiverede kriminelle stiller ifølge analysen nye krav til virksomhedernes forsvar. Arctic Wolf anbefaler en række konkrete tiltag for at dæmme op for truslen:

Tekniske tiltag:

  • Sørg for, at softwareopdateringer udelukkende installeres via centrale eller officielle kanaler, og aldrig gennem browservinduer.
  • Implementér overvågning af mistænkelig aktivitet på klienter, såsom usædvanlige netværksforbindelser og automatiseret script-kørsel.
  • Benyt avancerede endpoint-løsninger til at opdage forsøg på installation af skjult malware.

Bruger- og proceskontroller:

  • Begræns rettighederne, så medarbejdere ikke kan installere software fra ikke-godkendte kilder.
  • Etablér faste procedurer for håndtering af opdateringsbeskeder.
  • Iværksæt løbende awareness-træning, så medarbejdere bliver bedre til at spotte falske opdateringer.

Relaterede Artikler

Nyheder fra gl. site

Danske virksomheder rammes af Emotets genfødsel

16. december 2021 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Check Point Software Technologies kunne for nylig fortælle, at det berygtede botnet Emotet er genopstået. Nu viser den seneste Global Threat Index-rapport fra Check Point Research, at Emotet er strøget direkte ind på listen som den femte største cybertrussel mod danske virksomheder. Emotet-malware har således ramt 3 pct. at alle danske virksomheder i november. På verdensplan er det blot 1,7 pct., der er blevet ramt af Emotet. Ifølge Check Point Software Technologies bliver Emotet lige nu spredt via phishing e-mails, som lokker medarbejderne til at åbne inficerede filer, der udgiver sig for at være legitime word-, excel- og Zip-filer.   Emotet er et af de største botnets nogensinde og er til dels skyld i den eksplosion af ransomwareangreb, vi har set de sidste par år. Derfor er det også dybt bekymrende, at Emotet er tilbage med så voldsom styrke, at de går direkte ind som den femte største cybertrussel mod danske virksomheder. Vi ved, at Emotets malware bliver spredt via vedhæftninger i phishing e-mails, men senest har vi set, at det også spredes via installationsfiler, der udgiver sig for at være software fra Adobe. Derfor er det vigtigt, at virksomheder er på forkant med cybertruslerne, og ikke mindst uddanner deres medarbejdere i at spotte ondsindede mails og filer. Niels Zimmer Pousen, Head of Security Engineering hos Check Point Software Technologies i Danmark Den største cybertrussel mod danske virksomheder er, ifølge Check Point Research, Formbook, der i november ramte 4,36 pct. af alle danske virksomheder.
Nyheder fra gl. site

AI bruges stadig mere i kampen mod cybertrusler

26. april 2022 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Antallet af cybertrusler er eksploderet under pandemien. Således har 72 procent af danske virksomheder oplevet et stigende antal e-mailtrusler i løbet af det seneste år – og for at imødekomme truslerne tyr stadig flere virksomheder til kunstig intelligens (AI) og maskinlæring (ML). Globalt bruger 46 procent af de adspurgte virksomheder i dag de to teknologier, der både kan hjælpe med at opdage og håndtere trusler såsom malware, spam, zero-day exploits og angreb ved hjælp af social engineering. Det er en stigning på 8 procentpoint i forhold til sidste år. Når det kommer til Danmark, viser undersøgelsen, at hele 52 procent af de adspurgte virksomheder bruger teknologierne, mens 42 procent forventer at gøre brug af teknologierne inden for det kommende år. Cyberkriminelle udnytter klassiske adfærdsmønstre, psykologi og teknologi til at gøre deres angreb sværere at identificere og forhindre. Kunstig intelligens er blevet et effektivt modsvar for virksomheder, da det kan spotte trusler og angreb tidligt ud fra eksempelvis stavefejl, mistænkelige vedhæftninger og ved at analysere forholdet mellem afsender og modtager; fx ved at se på, om afsenderen har været i kontakt med nogen i organisationen før, eller om mailen kommer ud af det blå. Nogle cyberkriminelle bruger også deepfakes, og her kan kunstig intelligens opdage de falske videoer ved at analysere billeder og lyd. Teknologien kan betegnes som virksomheders første forsvarslinje, der fanger uregelmæssigheder hurtigere og mere effektivt end mennesker. Elaine Lee, dataforsker i Mimecasts Cybergraph-team Udviklingen går langsommere end ventet Sammenlignet med tilsvarende undersøgelse fra sidste år er det tydeligt, …. (læs mere her)
Nyheder fra gl. site

Spion-malware bliver stadig mere populært hos hackerne

18. juni 2019 Lars Bennetzen Nyheder fra gl. site, Nyhedsbrev, Sikkerhed, Tophistorier
Hackere benytter i stigende grad modulær kode til at trænge igennem virksomheders it-sikkerhedsløsninger. Det kan man læse i en ny rapport fra it-sikkerhedsvirksomheden Barracuda, der har registreret 150.000 angreb rettet mod deres kunder siden januar, hvor angriberne har sendt malware med modulær opbygning. Modulære malware adskiller sig fra traditionel malware, fordi den spionerer i modtagerens system, inden et angreb lanceres. Formålet er at indsamle informationer om systemet og dets sikkerhedsløsninger, som sendes tilbage til hackeren eller en server, som derefter sammensætter en ny målrettet kode, der kan omgå virksomhedens forsvar. På den måde justerer hackeren cyberangrebet baseret på de forsvar og systemer, som offeret har og derved øges risikoen for indtrængen og skade: Ved først at indsamle informationer om systemet, kan angrebet planlægges og styres på en helt anden måde end ved et traditionelt angreb, som typisk indebærer, at den samme kode udsendes til et stort antal modtagere. Den nye tendens viser, at ophavsmændene bliver mere strukturerede og målrettede, hvilket stiller større krav til de udsatte virksomhederPeter Gustafsson, ansvarlig for Barracuda Networks i Norden. Kendte eksempler på modulære malware er Emotet, CoreBot og TrickBot, som bl.a. bruges til at sende modtageren til en falsk hjemmeside fx en netbank. Når modtageren indtaster login-oplysninger, bliver disse sendt videre til hackeren, mens malwaren sørger for, at ofret logges ind på sin rigtige netbank. På denne måde forbliver ofret intetanende, og hackeren kan nu sælge oplysningerne eller begå økonomisk kriminalitet på et senere tidspunkt. Kunstig intelligens og menneskelig viden som forsvar Ifølge Peter Gustafsson …. (læs mere her)