IT-Säkerhetsinformation

Ytterligare en sårbarhet i det vanligt förekommande Apache-biblioteket Log4j som används för loggning och spårbarhet har upptäckts Log4j (CVE-2021-45046) denna drabbar även version 2.15.0 som först släpptes för att åtgärda problemet.

En ny version har släppts och Log4j 2.17.0 är nu den senaste versionen.

IRT vill understryka allvarligheten i denna sårbarhet och påminna om att ni omedelbart bör inventera och gå igenom era applikationer och system för att utreda om ni har sårbarheten eller inte.
Detta kan vara lite ”knepigt” eftersom Log4j kan finnas inbyggd i olika komponenter. Sök information hos respektive tillverkare/leverantör som ni har för ERA system.

CERT.se har uppdaterat sin information och trycker hårdare på vikten av att åtgärda detta.
Det räcker alltså inte att ”bara vänta på en patch” utan aktiva åtgärder krävs omgående!

Kritisk sårbarhet Kritisk sårbarhet i vanligt förekommande Apache-biblioteket Log4j som används för loggning och spårbarhet.

IRT rekommenderar att ni omedelbart inventerar och går igenom era applikationer och system för att utreda om ni har sårbarheten eller inte.  Detta kan vara lite ”knepigt” eftersom Log4j kan finnas inbyggd i olika komponenter.  Sök information hos respektive tillverkare/leverantör som ni har för ERA system, alternativt ta del av generell information.

Mer information ang. Log4j finns på CERT.se https://cert.se/2021/12/kritisk-sarbarhet-i-apache-log4j

Från den 16 november kl 15.00 kommer bilagor i zip-format att automatiskt tas bort från e-post som skickas till din e-postadress.

Studenter, kollegor eller personer utanför Umeå universitet som skickar e-post med zip-filer kommer få ett meddelande som lyder ”zip-filer är för närvarande inte tillåtna som bilaga”.

Stoppet beror på att det pågår intrångsförsök på både nationell och global nivå genom att nyttja bilagor i e-posten. Leverantören för e-post arbetar på att ta fram en lösning så snart som möjligt.

I dagsläget påverkas bara bilagor som är skickade som zip-filer – inte andra typer av bilagor. Men det kan komma att förändras. Därför ber vi dig att vara uppmärksam på om du får e-post med bilagor som du inte förväntat dig, som har konstigt namngivna bilagor, eller på andra sätt väcker din misstänksamhet.

Vidarebefordra gärna dessa e-postmeddelanden till abuse@umu.se så hjälper IRT-funktionen på ITS att göra en bedömning. Ha även för vana att hålla dig uppdaterad via Driftinfo och IRT-bloggen.

Umeå universitets studenter har sin e-post via O365 och påverkas inte av samma temporära stopp i sin e-post. Däremot kommer bilagor i zip-format som de skickar till medarbetare under stoppet inte komma fram. Om de försöker skicka e-post med en zip-fil får de ett meddelande om att ”zip-filer är för närvarande inte tillåtna som bilaga.”

I dagsläget är det oklart hur länge det temporära stoppet behövs. Det beror framför allt på hur snabbt leverantören kan åtgärda den sårbarhet som används. Så fort en lösning för sårbarheten är tillgänglig kommer ITS installera dessa och stoppet kan hävas.

Kontakta Servicedesk, www.umu.se/servicedesk

Vi har under dagen sett några exempel på mail-lådor (inte på UmU) som blivit kapade, då troligen av någon trojan. Det är externa användare som har skickat mail till användare på UmU och det är gamla mailkonversationer som återanvänds. Även om det tydligt framgår att avsändaren är en helt annan person än den ursprungliga, så vill hackarna lura dig till att tro att du svarar på en gammal mail-tråd. I mailet finns en länk till en webb-sajt där du förväntas ladda ner en zip-fil. Gör inte det då den innehåller virus!

Exempel på hur ett sådant mail kan se ut, men både avsändare och länk till zip-fil varierar:

Om du får ett sådant mail slänger du det direkt i papperskorgen.
Vi på IRT svarar gärna om du har fler frågor kring detta: irt@umu.se

Några exempel på vad som ligger i dagens skörd av phishing-mejl. Bägge exemplen har något gemensamt: De vill få dig stressad, känna att något är fel på din mejl/mobiltelefon och vem vill att något av detta ska sluta fungera? Låt dig aldrig stressa av sådana här mejl, utan kontakta istället IRT (irt@umu.se) om du är tveksam på om det är en korrekt uppmaning eller inte.

Det första exemplet kommer från en användare som troligen svarat på ett likadant brev redan och då fått sitt användarnamn och lösenord stulet och använt för att i sin tur skicka spam. Detta är ett klassiskt phishing-mejl som enkelt kan avslöjas genom att kontrollera avsändaren och om du mot förmodan ändå klickat på länken så hamnar du på ett standardformulär hos en gratistjänst som inte ser ut att ha något med UmU att göra.

Det andra exemplet vill att du ska svara på deras brev och svarsadressen indikerar att det handlar om något sorts bitcoin-scam. Även detta är ett tydligt exempel på när avsändaren och svarsadress borde ge dig röd varningsflagg. Nu utger sig visserligen den som skickade mailet att vara en hackare och då är det knappast korrekta adresser som använts, men att någon skulle lyckas placera en ”Trojan Horse Virus” på alla dina elektroniska enheter låter helt orimligt och som en typisk Google translate.

Har du också fått ett oönskat mejl i din inbox som ser ut att ha skickats till en lista som heter ”medical@blueeyesintelligence.org”? Du har troligen inte fått bara ett enda mejl av denna sort utan ett stort antal i din mejlbox. Rubriken innehåller orden: ”INVITATION FOR ORIGINAL ARTICLE SUBMISSION IN THE JOURNAL | Medical”. Avsändaren är någon helt okänd person som endast har kommenterat ordet ”STOP” i meddelandet eller ber om att få slippa dessa mejl. Vad är nu detta?

Detta handlar om en epost-lista som löpt amok. Eller rättare sagt: En avsändare som använder sig av en epost-lista på helt fel sätt. Tyvärr är det så att vem som helst kan skapa en epost-lista med vilka epost-adresser som helst. Du har säkert varit med om att du plötsligt fått mejl från något som ser ut som en seriös aktör, som tycker att de har någon sorts relation till dig och därmed har du hamnat på deras utskickslista. I detta fall har ”blueeyesintelligence.org” adderat en stor mängd epost-adresser från universitet och högskolor över hela världen. Hur många går inte att veta, men med tanken på antalet svarsmejl som kommer in så handlar det om minst 10.000-tals.

Huruvida denna sajt är seriös eller inte, tänker jag inte försöka göra en bedömning av. Det vi kan konstatera är att de inte hanterar sin marknadsföring på ett seriöst sätt, då de dels adderat personer som inte bett om det och dels satt upp en epost-lista på helt fel sätt. De många människor som kommit med på listan försöker avregistrera sig från listan genom att svara med ordet ”STOP”. Och då går det ut även till alla andra. Några av mottagarna är ärendehanteringssystem och hanterare för frånvaromeddelanden, som också de glatt genererar ytterliga svar till listan.

Det har varit svårt för oss att stoppa dessa mejl automatiskt, då de första svaren som kom alla var från olika avsändare till flera mottagare på UmU. Rubriken har en hel del vanliga ord som kan förekomma även i helt legitima mejl, så risken hade varit att vi hade stoppat även andra mejl, som någon verkligen vill ha. Det vi gjorde var att vi försökte skicka alla dylika mejl till spam-karantänen. Då får du som mottagaren ett meddelande om detta och kan själv avgöra om du vill läsa det eller inte. Du kan då också se om det kommit även legitima mejl i din spam-karantän. Denna metod slutade efter en dag att fungera och mejlen började istället ha sajtens namn som avsändare. Det gjorde att vi via vårt centrala antispam-system kunde stoppa just dessa mail redan innan de landade hos en mottagare på UmU.

Hur har detta kunnat ske? När du skapar en epost-lista så kan du sätta upp den på flera olika sätt. En vanlig funktion för en epost-lista är att den fungerar som en diskussionsgrupp. Då kan alla medlemmar posta till listan antingen direkt eller att inläggen går via en moderator. Om du vill göra ett utskick till många människor så är det också lämpligt att skapa en epost-lista, men då ser du till att det inte går att svara till listan, utan alla mejl till listan går till listans ägare. I detta fall så har alltså avsändaren skapat en diskussionslista som är helt omodererad och precis allt skickas vidare till precis alla mottagare på listan.

Om du nu trots allt blir nyfiken på det här med epost-listor och vill använda dem på ett bra sätt, så tillhandahåller UmU tjänsten SYMPA.
Välkommen att kontakta oss.

Vi har vant oss vid att det kommer phishing-mejl som säger att vår brevlåda är full eller att vårt konto kommer att avslutas. Gärna då mitt i semestern så att vi känner att vi måste agera omedelbart. Vi hamnar då ofta på ett formulär som ser ut som inloggningen till vår webmail på Umeå universitet.

I dagarna har det dykt upp en ny variant: Vem av oss är inte nyfikna på vår nya lön? Detta har spammarna tagit fasta på och skickar därför ett phishing-mejl som ger sken av att ge upplysning om just vår nya lön. Klickar du på länken så hamnar du på en inloggning som även denna ser ut som en kopia av vår web-mail och det är inte UmU som tar emot din inloggning utan en phishing-sajt som samlar på sig användare och lösenord, för att sedan använda det vidare. Får det ett liknande mail som det nedan, så kasta det direkt i papperskorgen.

Skulle du av misstag ha klickat på länken och även angett ditt lösenord, så ska du omedelbart byta lösenordet till ditt UmU-ID. Om du behöver assistans med detta, så kan Servicedesk på ITS guida dig rätt.
Kontrollera också ditt konto via webmail.umu.se så att det ser OK ut, dvs inga nya filter (som skickar alla inkommande mail till papperskorgen t.ex), att de mail som ska ligga i inkorgen ligger kvar och inga nya signaturer har skapats.

Detta är ett phishing-mejl – Klicka inte på länken!
This is a phishing mail – Don´t follow the link!

Det registreras 100.000-tals nya domäner på internet varje dag. En stor del används för helt legitima syften. Vi som har ett väldigt kort domännamn (umu) kan tyvärr lätt få oss en namne under någon annan av de dryga 1500 officiella toppdomänerna. Vår domän heter ”umu.se” men surfar du till umu.com så kommer du till en kommunikationsplattform som vi inte alls har något att göra med. När vi har bara en 3-bokstavsförkortning är risken stor att någon annan ute i världen tänker att det är en bra idé att registrera domänen ”umu.*”

Tyvärr så finns det inte bara goda syften med att registrera en domän som bokstäverna ”umu”. De finns de som registrerar något som innehåller ”umu” enbart för att lura dig som användare med att du har hamnat på en UmU-relaterad sajt. Ofta handlar det om att de vill lura dig att tro att du egentligen hamnat på inloggningen till vår webmail (eller någon annan tjänst) och de kan då få tag i både din användare och tillhörande lösenord. Det kan också handla om att någon försöker kopiera en forskningsrelaterad sida och på sätt få lura dit besökare och då få kontakt med forskare och kunna stjäla deras material. Ibland använder man också dessa falska domäner som avsändare på bedrägeri-mail för att lura mottagaren. Ytterligare ett trick är att försöka lägga in ”umu” tillsammans med ”se” för att lura ögat att du kommit till en svensk toppdomän. Ex på detta skulle kunna vara umu-se.*

Så se upp när du är ute och surfar att den domän du surfar till verkligen är rätt domän. Och ser du någon sajt som är misstänkt så kontaktar du abuse@umu.se så får vi försöka stänga ner sajten.

Detta är ett phishing-mejl – KLICKA INTE PÅ LÄNKEN!
This is a phishing mail – DON’T FOLLOW THE LINK!