Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den CTO d. 1. april 2005.
Sygehusene i Vejle Amt, amtsgården og flere institutioner blev offer for en flittig orm, som antivirusproducenterne endnu ikke havde identificeret.
Det kræver mod at stå frem med navns nævnelse, når it-systemerne angribes af ondartet kode. Det kræver endnu mere mod, når angrebet lammer noget så sårbart som sygehuses it-systemer en hel nat og nogle institutioner i op til ti dage. Men for Vejle Amts Informatikafdeling og ledelse vejer hensynet til at kunne hjælpe andre allermest.
- Hvad vi måtte gennemleve i løbet af de ti dage, som oprydningen efter angrebet tog, og hvad vi har lært af det, kan måske gøre andre bedre rustet mod lignende problemer, siger amtets it-sikkerhedsansvarlige, netværkskonsulent Lars Hillerup.
Amtet blev offer for det, alle frygter: At blive ramt af ondartet kode, som der endnu ikke er taget højde for i antivirus-filtrene. Der gik næsten to dage, efter at ormen blev opdaget i Vejle amt, før leverandøren af amtets antivirusprodukt, verdens største antivirus-selskab Symantec, havde modgiften på plads.
Men den ulyksalige hændelse, der kostede mange penge i tabt produktivitet, har ifølge Lars Hillerup også en positiv side.
- Angrebet har synliggjort nødvendigheden af en dyberegående prioritering af Informatikafdelingens arbejde, så en minimal produktion kan holdes i gang, siger Lars Hillerup.
Prioriteringsarbejdet er svært, især på sygehusene, men der skal trækkes grænser, og det kræver fuld opbakning fra både den administrative og politiske ledelses side.
- Vi skal helt ned på detailniveau, såsom hvor få pc'er røntgenafdelingen kan nøjes med at få op at køre. Hvis alle skal op at køre, vil det gå ud over andre afdelinger.
Sygehusene var som nævnt nede en hel nat, og en halv dags produktion var tabt næste dag. Alle institutioner var lukket ned i to døgn - nogle af dem i ti døgn.
Prisen? Amtet har ikke regnet på produktionstabet og de øvrige omkostninger, men nu er en ny mission indledt. Den mission, der har fokus på, at det aldrig igen må gå så galt. Og på, at skulle man blive ramt igen, så afspejler redningsaktionen nøjagtig situationens alvor. Område for område, opgave for opgave, skal prioriteres. På sygehusene, på institutionerne, på amtsgården.
- Vi er for eksempel i gang med at opdele vores netværk i mindre segmenter, så vi i langt højere grad bliver i stand til at begrænse angrebene, fortæller Lars Hillerup.
Amtets ledelse kommer på hårdt arbejde, for det er dem, der skal tage stilling til, hvad der er absolut nødvendigt, og hvad der i en krisesituation kan undværes.
Hillerup giver et eksempel på den prioritering af hjælpeindsatsen, der skal ske.
- Man kunne spørge, hvilke funktioner har helt afgørende brug for adgang til mailsystemet, og hvilke funktioner kan nogenlunde opretholdes uden?
Boks:
Ti dage i ormens vold
5. januar varslede opkald fra to institutioner Informatikafdelingen om, at noget var galt. Den første henvendelse kom omkring klokken 14. Pc-brugerne fortalte, at der kom skærmbilleder op af en type, som absolut ikke var velkomne. Visse dokumenter kunne ikke findes frem, og svartiderne blev længere og længere.
Kl. 15.30 var netværket ubrugeligt. Ormen havde forårsaget, at der blev sendt så mange datapakker ud på nettet, at hele båndbredden var beslaglagt. Routerne, der sender pakkerne den rette vej, var lammede.
- Routingprotokoller gik ned, så routerne ikke kunne finde hinanden, forklarer Lars Hillerup.
Informatikafdelingen anmoder om støtte fra IBM, der har leveret netværksprodukterne, og som er samarbejdspartneren, når det gælder it-infrastruktur. Amtet har behov for hjælp til at få identificeret problemet.
- Vi begyndte at isolere enheder - pillede routerne af for at finde ud af, hvor angrebet kommer fra. Og vi fik sat filtre op, der gav os en indikation af, hvad der skete, siger Lars Hillerup.
Hen under aftenen stod det klart, at der var tale om et angreb med ondartet kode, men angrebet ramte ikke alle servere.
Amtet greb ind for at forhindre, at koden smittede udadtil. Den ondartede kode tæppebombarderer TCP port 445 med datapakker, så amtet lukkede den port af for alle eksterne lokationer. Porten benyttes af Microsoft Directory Services og dermed til at give adgang til diskdrev og andre netværks ressourcer.
Filer med obskure navne, såsom "lick my pussy", opdages på nogle af serverne. Man ser også, at Windows Update-moduler er udskiftet, så trafikken ender på helt andre sider.
Koden blev identificeret som en orm - altså et program, der spreder sig selv, som ikke er afhængig af et værtsprogram. Ormen er ukendt for amtets antivirusprodukt Norton Antivirus fra Symantec.
Informatikafdelingen udviklede en rutine til at få fjernet ormene, hvor de forekom, men de dukkede op igen. Først da man får opdateret de inficerede computere med patches fra Microsoft, batter det.
Firmaet Virus112, hvis tjeneste amtet abonnerer på, kontaktes. Formålet er at få fundet navnet på ormen og dermed kuren, såfremt den foreligger. Men da amtet ikke har tegnet abonnement på 24-timers service mødes man blot af en telefonsvarer, der oplyser, hvornår kontoret åbner næste dag.
Klokken seks om morgenen, torsdag den 6. havde afdelingen stort set styr på amtets basis-serverfarm, og der var fortsat slukket for mindre vigtige servere. Nye folk mødte klokken otte, og de fik ansvaret for at informere sygehusene og institutionerne om status. De sørgede også for at lægge en vejledning på intranettet, så man lokalt kunne undersøge, om man var ramt.
- Men allerede torsdag morgen var ormen muteret, og den kom ud i nye versioner, hvor filerne hed noget andet, og de begyndte at skjule sig. Pc-brugerne meldte om samme problemer, som dem, der ramte os onsdag, og måleudstyret, der var sat på nettet bekræftede, at der igen var ormeangreb i gang, fortæller Lars Hillerup.
Nu havde amtet imidlertid metoden på plads. De muterede orme opførte sig grundlæggende set som den oprindelige.
- Når vi opdagede, at der blev sendt unødig meget trafik mod port 445, vidste vi, at det var galt. Vi havde opbygget en struktur, der gjorde, at vi kunne identificere, hvad der er servere og hvad der er arbejdsstationer, så vi kunne give besked om at få slukket for den pågældende maskine, siger Lars Hillerup.
Ved 10-tiden blev amtet kontaktet af Virus112, der fik tilsendt dokumentation af koden. Tilbagemeldingen lød, at ormen var ukendt "for otte ud af ti antivirusfiltre". Produktet, som amtet bruger, Norton Antivirus fra Symantec, er blandt dem, der ikke kendte ormen.
Ved 13-tiden var situationen stabil. Det stod også klart, at visse servere var immune over for smitte. Det var serverne, der kører Microsoft Windows 2003 Active Directory (styring af, hvem der har adgang til hvad).
- Vi havde koblet Microsoft Update-serveren til Active Directory for at være i stand til at presse softwareopdateringer ud. Tidligere oplevede vi, at brugerne i stor stil sagde nej til en opdatering, når de på skærmen fik besked om, at en sådan var parat. Nu kunne brugerne ikke sige nej, forklarer Lars Hillerup.
Amtet stod imidlertid i en situation, som mange andre genkender. Maskinparken var som et kludetæppe. Mange maskiner var forsynet med ældre software, som ikke kunne benytte sig af Active Directory. Der var således en del computere med Windows 98, Windows NT og Windows 2000. Der fandtes tilmed enkelte med Windows 95. Active Directory kom først til, da Windows 2000 var sendt på markedet, og det var som del af en såkaldt Service Pack.
- Vi er i gang med at opgradere til Windows XP, men man konverterer ikke amtets 10.000 maskiner på en dag, siger Lars Hillerup.
Der er altså tale om det klassiske problem. Maskiner med ældre software, der burde været "lappet" med patch på patch fra Microsoft igennem en årrække, er ikke fuldt ud up to date. Overblikket er glippet.
Omkring kl. 23 meldte Symantec, at kuren mod ormen var parat, og opdateringerne kunne påbegyndes. Symantec kaldte ormen for W32.Spybot.HUR.
Men det tog tid at få opdateringerne på plads. Nye servere blev inficeret og skulle opdateres med Microsoft-patches og opdateret antivirus.
Først ti dage efter angrebet satte ind, kunne Informatikafdelingen ånde lettet op. Mission Completed.
Boks:
Angrebet time for time
Onsdag, den 5. januar
Kl. 12.00 To institutioner melder om problemer
Kl. 12.30 Vejle Sygehus melder om symptomer, der kan tyde på et virusangreb.
Kl. 13.00 Symptomerne begynder at kunne mærkes på Amtsgården.
Kl. 14.00 Informatikafdelingen lukker forbindelsen til og fra internettet, og der lukkes for en række segmenter i det interne netværk.
Kl. 15.30 Informatikafdelingen anmoder om hjælp fra IBM
Kl. 18.00 Alle forbindelser til sygehusene og de øvrige institutioner afbrydes for at få isoleret problemet.
Kl. 19.00 Alt tyder på et ormeangreb, men visse Windowsservere er ikke ramt.
Kl. 21.00 Undersøgelsen viser, at det er en orm, der forårsager problemerne. Orm på orm fjernes, men dukker op igen.
Kl. 23.30 En fuld opdatering af de ramte Windows-pc'er med patches fra Microsoft forhindrer, at ormene dukker op igen.
Torsdag, den 6. januar
Kl. 05.00 Rensning af de vigtigste servere er sket. Mindre vigtige servere forbliver slukket.
Kl. 07.30 Vejledning i fjernelse af ormen lægges på intranettet.
Kl. 08.00 Bruger på Amtsgården melder om problemer af samme art, som dem, der opstod dagen før. Udstyr til måling og sporing af aktivitet på amtsnettet, viser igen tegn på ormeangreb.
Kl. 10.00 Virus112 oplyser, at ormen er ukendt i otte ud af ti antivirus-produkter. Amtet bruger Norton antivirus, der er blandt de otte.
Kl. 13.00 Tilstanden hos Amtsgården vurderes som stabil. Det står nu klart, at de servere, der er tilknyttet Amtsgårdens Active Directory (Microsoft) ikke blev ramt, idet disse servere opdateres automatisk med patches via Windows Update.
Kl. 23.00 Symantec er klar med opdateringen af Norton Antivirus, der fanger ormen, som Symantec navngiver W32.Spybot.HUR.
Fredag den 7. januar
Opdateringer med patch og antivirus samt "brandslukning", når ormen dukker op igen.
Lørdag den 8. januar
til fredag den 14. januar
Rensning, når ormen igen dukker op. Nye varianter af ormen ses også.
Boks:
Ormen bag angrebet
En orm er et program (eller flere), der reproducerer og spreder sig på uafhængig vis, i modsætning til en virus, hvis spredning er afhængig af et værtsprogram.
Ormen, der ramte Vejle Amt den 5. januar, havde til formål at lamme netværket. Den anvendte teknik kaldes et Denial of Service-angreb, der går ud på at sende så mange datapakker af sted, at routerne mister orienteringen og melder pas. Ormen rummede også funktioner til installation af en såkaldt bagdør på de inficerede computere til senere misbrug.
Antivirusfirmaet Symantec navngav den 7. januar ormen W32.Spybot.HUR (orm får typisk forskellige navne hos de forskellige sikkerhedsfirmaer).
Den ondartede kode slår til mod netværk, der er beskyttet af svage passwords heriblandt "123456", "win2000" og "administrator". Den benytter sig af TCP-port 3515 og udnytter ifølge Symantec svagheder i de fleste Windows-produkter. Microsoft havde imidlertid offentliggjort udbedringer af de udnyttede svagheder, inden ormen slog til.
