Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.30

Citrix NetScaler under aktiv søk for CVE-2026-3055 (CVSS 9.3) . Fillesingsfeil i Smart Slider-plugin påvirker 500 000 WordPress-nettsteder. Ny Infinity Stealer-skadevare snapper opp macOS-data via ClickFix-lokkemidler. Telnyx PyPI-pakke utsatt for forsyningskjedeangrep.

---

Citrix NetScaler under aktiv søk for CVE-2026-3055 (CVSS 9.3)

En kritisk sårbarhet i Citrix NetScaler ADC og NetScaler Gateway, CVE‑2026‑3055 (CVSS 9.3), blir nå aktivt kartlagt av trusselaktører ifølge Defused Cyber og watchTowr. Feilen skyldes mangelfull input‑validering som kan føre til memory overread og lekkasje av sensitiv informasjon, men kan bare utnyttes dersom enheten er konfigurert som en SAML Identity Provider. Angripere analyserer nå autentiseringsmetoder via /cgi/GetAuthMethods for å avklare om systemer er sårbare. Citrix opplyser at flere versjoner før de nyeste patchene er berørt, og sikkerhetseksperter ber organisasjoner om å oppdatere umiddelbart før rekognosering går over til faktisk utnyttelse. Dette føyer seg inn i en rekke tidligere aktivt utnyttede NetScaler‑sårbarheter de siste årene.

Sårbarheter:

CVE-2026-3055

Referanser:

https://thehackernews.com/2026/03/citrix-netscaler-under-active-recon-for.html

Fillesingsfeil i Smart Slider-plugin påvirker 500 000 WordPress-nettsteder

En sårbarhet i WordPress‑utvidelsen Smart Slider 3 gjør at autentiserte brukere med kun abonnent‑rettigheter kan lese vilkårlige filer på serveren, inkludert sensitive filer som wp-config.php. Dette kan føre til tyveri av brukerdata og i verste fall full overtakelse av nettstedet. Feilen, CVE‑2026‑3098, berører alle versjoner opp til 3.5.1.33 og skyldes manglende rettighetssjekker i pluginens eksportfunksjon. En patch ble utgitt 24. mars, men rundt 500 000 nettsteder antas fortsatt å bruke en sårbar versjon. Website‑eiere anbefales å oppdatere pluginen umiddelbart.

Sårbarheter:

CVE-2026-3098

Referanser:

https://www.bleepingcomputer.com/news/security/file-read-flaw-in-smart-slider-plugin-impacts-500k-wordpress-sites/

Ny Infinity Stealer-skadevare snapper opp macOS-data via ClickFix-lokkemidler

Infinity Stealer er et nytt info‑stealende skadeprogram som retter seg mot macOS og bruker en Python‑payload kompilert til en ekte binærfil via Nuitka, noe som gjør analysen vanskeligere. Angrepet starter med en falsk Cloudflare‑lignende CAPTCHA (ClickFix‑teknikk) som lurer brukeren til å lime inn en Base64‑kodet kommando i Terminal for å omgå macOS‑beskyttelser. Denne kommandoen henter ned og kjører et Nuitka‑kompilert lastetrinn som igjen distribuerer hovedmalwaren. Infinity Stealer kan ta skjermbilder og stjele data fra nettlesere, macOS Keychain, kryptolommebøker og utviklerfiler. Forskere advarer om at dette viser at trusler mot macOS blir stadig mer avanserte, og brukere bør aldri kjøre Terminal‑kommandoer de ikke forstår.

Referanser:

https://www.bleepingcomputer.com/news/security/new-infinity-stealer-malware-grabs-macos-data-via-clickfix-lures/

Telnyx PyPI-pakke utsatt for forsyningskjedeangrep

Et forsyningskjedeangrep rammet Telnyx sitt Python SDK på PyPI, der ondsinnede versjoner (4.87.1 og 4.87.2) ble publisert med skjult bakdørkode. Den skadelige koden lastet ned malware som var kamuflert som en WAV-lydfil, noe som gjorde at angrepet var vanskeligere å oppdage. De kompromitterte pakkene er fjernet, og Telnyx bekrefter at deres egen infrastruktur ikke ble påvirket. Utviklere som har installert de berørte versjonene anbefales å nedgradere til versjon 4.87.0, anta kompromittering og dermed rotere nøkler som har vært tilgjengelige fra maskinen. Angrepet knyttes til gruppen TeamPCP, som også står bak nylige angrep mot Trivy, Checkmarx og LiteLLM.

Referanser:

https://telnyx.com/resources/telnyx-python-sdk-supply-chain-security-notice-march-2026 https://www.bleepingcomputer.com/news/security/backdoored-telnyx-pypi-package-pushes-malware-hidden-in-wav-audio/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.27

CISA advarer om aktivt utnyttet Code Injection sårbarhet i Langflow.

---

CISA advarer om aktivt utnyttet Code Injection sårbarhet i Langflow

CISA har lagt til en kritisk sårbarhet i Langflow i sitt Known Exploited Vulnerabilities (KEV) katalog etter bekreftet aktiv utnyttelse. Sårbarheten, CVE-2026-33017, er en kritisk "code injection" sårbarhet som lar uautentiserte angripere kjøre vilkårlig kode uten gyldige brukerdetaljer.

Feilen skyldes manglende tilgangskontroll og utilstrekkelig validering i plattformens håndtering av generert kode, noe som gjør det mulig å opprette og kjøre ondartede workflows direkte i systemet. Dette er spesielt kritisk fordi Langflow brukes til å bygge og orkestrere AI og LLM baserte systemer, og kompromittering kan føre til datatyveri, manipulering av prosesser og videre angrep inn i interne nettverk.

Sårbarheten er knyttet til flere alvorlige svakheter, inkludert manglende autentisering (CWE-306) og feil håndtering av kodeinjeksjon (CWE-94 og CWE-95).

Anbefaling:

Oppdater Langflow til nyeste versjon umiddelbart dersom patch er tilgjengelig. Følg CISA sine retningslinjer og sikre systemet innen fristen 8. april 2026. Dersom oppdatering ikke er mulig, implementer kompenserende tiltak i henhold til BOD 22-01, eller vurder å deaktivere eller fjerne Langflow fra miljøet midlertidig. Overvåk systemer for uautorisert aktivitet og begrens eksponering av tjenesten mot internett.

Sårbarheter:

CVE-2026-33017

Referanser:

https://cybersecuritynews.com/langflow-code-injection-vulnerability/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.25

LiteLLM PyPI skadevare stjeler sky-, krypto-, Slack- og Discord nøkler. Falske jobbtilbud via Google Forms sprer PureHVNC malware. APT-angrep retter seg mot RDP servere for vedvarende tilgang.

---

LiteLLM PyPI skadevare stjeler sky-, krypto-, Slack- og Discord nøkler

LiteLLM ble nylig kompromittert etter at en angriper tok over en vedlikeholders konto og lastet opp to ondsinnede versjoner (1.82.7 og 1.82.8) på PyPi. Disse versjonene inneholder en infostealer som forsøker å hente AWS-, GCP- og GitHub-nøkler, SSH-nøkler, kryptolommebøker og en rekke andre sensitive data. Skadelig programvare samlet inn og krypterte informasjon før den blir sendt til en ekstern C2-server, og inneholdt også en tredje nyttelast designet for vedvarende tilgang. Brukere som installerte LiteLLM i dette tidsrommet uten versjonspinning, risikerer å være rammet. Det anbefales å rotere alle nøkler umiddelbart og alltid pinne avhengigheter for å forhindre automatisk installasjon av kompromitterte versjoner.

Referanser:

https://www.ox.security/blog/litellm-malware-malicious-pypi-versions-steal-cloud-and-crypto-credentials/ https://www.bleepingcomputer.com/news/security/popular-litellm-pypi-package-compromised-in-teampcp-supply-chain-attack/ https://thehackernews.com/2026/03/teampcp-backdoors-litellm-versions.html

Falske jobbtilbud via Google Forms sprer PureHVNC malware

En pågående kampanje misbruker Google Forms til å spre PureHVNC Remote Access Trojan via falske jobbtilbud, prosjektforespørsler og forretningsdokumenter. Angrepet starter ved at brukere mottar en lenke til et troverdig Google Form, ofte distribuert via LinkedIn, hvor de blir bedt om å laste ned en ZIP-fil. Denne filen inneholder legitime dokumenter kombinert med ondsinnede filer som utnytter DLL hijacking for å starte en flertrinns infeksjonskjede som til slutt installerer PureHVNC.

Malwaren gir angripere full fjernkontroll over systemet, inkludert mulighet til å hente systeminformasjon, stjele data fra nettlesere, kryptolommebøker og applikasjoner som Telegram, samt installere ytterligere moduler og opprettholde vedvarende tilgang. Kampanjen skiller seg ut ved å bruke legitime tjenester som Google Forms, Dropbox og URL-forkortere for å omgå sikkerhetsmekanismer og øke troverdigheten.

Referanser:

https://cybersecuritynews.com/google-forms-job-lures-deliver-purehvnc/

APT-angrep retter seg mot RDP servere for vedvarende tilgang

Avanserte trusselaktører (APT-grupper) gjennomfører målrettede angrep mot RDP-servere ved å utnytte svake passord, feilkonfigurasjoner og manglende sikring av eksterne tilkoblinger. Angriperne bruker ofte brute force og credential stuffing for å få tilgang, før de etablerer vedvarende kontroll gjennom bakdører og legitime administrasjonsverktøy. Etter innlogging utføres rekognosering, lateral bevegelse i nettverket og installasjon av ytterligere malware eller ransomware.

Angrepene kjennetegnes ved bruk av stealth teknikker som legitime Windows verktøy, skjult trafikk og minimal synlig aktivitet for å unngå deteksjon. RDP fungerer som en kritisk inngangsport, og kompromitterte systemer brukes ofte videre til datatyveri eller som del av større angrepskampanjer.

Referanser:

https://cybersecuritynews.com/google-forms-job-lures-deliver-purehvnc/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.24

Kritisk sårbarhet i Oracle Fusion Middleware (CVE-2026-21992). Kritisk sårbarhet i Citrix NetScaler skaper risiko for minnelekkasje og uautorisert tilgang. Trivy supply-chain attack sprer seg til Docker og GitHub-repositorier.

---

Kritisk sårbarhet i Oracle Fusion Middleware (CVE-2026-21992)

CVE-2026-21992 er en kritisk sårbarhet i Oracle Fusion Middleware som har fått CVSS Base Score på 9.8. Sårbarheten gjelder spesifikt Oracle Identity Manager og Oracle Web Services Manager, og kan utnyttes av en uautentisert angriper med nettverkstilgang via HTTP. Vellykket utnyttelse kan føre til kompromittering av systemet, med potensielle konsekvenser som uautorisert tilgang og påvirkning av konfidensialitet, integritet eller tilgjengelighet. Kompleksiteten ved å utnytte sårbarheten er vurdert som lav og påvirker komponentene REST WebServices og Web Services Security.

Anbefaling:

Oracle anbefaler at berørte systemer oppdateres umiddelbart med tilgjengelige sikkerhetsoppdateringer fra deres offisielle sikkerhetsvarsler. I tillegg bør organisasjoner vurdere å begrense eksponering av berørte tjenester mot internett for å redusere risikoen for utnyttelse.

Sårbarheter:

CVE-2026-21992

Referanser:

https://www.oracle.com/security-alerts/alert-cve-2026-21992.html

Kritisk sårbarhet i Citrix NetScaler skaper risiko for minnelekkasje og uautorisert tilgang

Citrix advarer om en kritisk sårbarhet i Citrix NetScaler ADC og Gateway (CVE-2026-3055) som skyldes en out-of-bounds read-feil. Denne kan utnyttes av uautentiserte angripere for å lese sensitiv informasjon direkte fra minnet på berørte enheter når systemet er konfigurert med SAML-Identity Provider (IDP). Dette skyldes av utilstrekkelig validering av input i NetScaler ADC og NetScaler Gateway.

Sårbarheten vurderes som kritisk, med en CVSS-score på 9.3, og kan utnyttes uten behov for autentisering.

Anbefaling:

Citrix anbefaler at alle berørte systemer oppdateres umiddelbart til versjoner som inneholder sikkerhetsfikser. Organisasjoner bør prioritere systemer som er eksponert mot internett eller bruker SAML-IDP.

Sårbarheter:

CVE-2026-3055

Referanser:

https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696300

Trivy supply-chain attack sprer seg til Docker og GitHub-repositorier

Et pågående supply chain-angrep mot Trivy, et svært utbredt open source sikkerhetsverktøy fra Aqua Security har eskalert ved at angripergruppen TeamPCP har publisert ondsinnede Docker-images og kompromittert selskapets GitHub-organisasjon. Angriperne utnyttet tidligere kompromitterte legitimasjoner og mangelfull token-rotasjon for å få vedvarende tilgang, noe som gjorde det mulig å manipulere repositories og distribuere infostealer-malware via CI/CD pipelines. Spesielt ble Docker Hub-images med versjonene 0.69.5 og 0.69.6 publisert uten offisielle GitHub-releases, og inneholdt indikatorer på kompromittering.

Angrepet bygger videre på en tidligere kompromittering av Trivy sin build pipeline, hvor også versjon 0.69.4 og GitHub Actions ble manipulert. Angriperne injiserte credential-stealing kode som kunne hente ut sensitive data fra utviklingsmiljøer. Det understrekes at Docker-tags ikke er immutable, og at man derfor ikke kan stole blindt på versjonsnavn for integritet.

Anbefaling:

Organisasjoner bør umiddelbart unngå Trivy-versjonene 0.69.4, 0.69.5 og 0.69.6 og heller bruke kjente trygge versjoner som 0.69.3 eller tidligere. Det anbefales å verifisere integriteten til images via digest i stedet for tags, samt oppdatere til patched versjoner av relaterte GitHub Actions. I tillegg bør alle tokens og credentials roteres på en sikker og fullstendig måte, og systemer som kan ha vært eksponert må gjennomgås for kompromittering.

Referanser:

https://www.bleepingcomputer.com/news/security/trivy-supply-chain-attack-spreads-to-docker-github-repos/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.23

Trivy Supply Chain-angrep utløser selvspredende CanisterWorm på tvers av 47 npm-pakker.

---

Trivy Supply Chain-angrep utløser selvspredende CanisterWorm på tvers av 47 npm-pakker

Angriperne bak Trivy‑angrepet har kompromittert 47 npm‑pakker med en ny selvspredende skadevare kalt CanisterWorm. Skadevaren bruker en ICP-canister som et desentralisert kontrollpunkt for å hente kommandoer og nye payloads. Infiserte pakker installerer et Python-bakdørprogram som holder seg vedvarende via en systemd‑tjeneste. En nyere variant kan automatisk samle inn npm-tokens fra utviklere og CI‑miljøer og spre seg videre uten manuell innsats. Dette gjør at kompromitterte utviklere uvitende kan bli spredningspunkter, noe som forsterker rekkevidden dramatisk.

Referanser:

https://thehackernews.com/2026/03/trivy-supply-chain-attack-triggers-self.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.20

Kritisk Magento-sårbarhet muliggjør uautentisert RCE via filopplasting.

---

Kritisk Magento-sårbarhet muliggjør uautentisert RCE via filopplasting

Sansec beskriver en ny kritisk Magento/Adobe Commerce-sårbarhet kalt PolyShell, som lar angripere laste opp ondsinnet kode forkledd som bildefiler via REST API. Dette kan åpne opp risiko for uautentisert ekstern kjøring av kode og kontoovertakelse, avhengig av webserverkonfigurasjonen.

Nesten alle produksjonsversjoner av Magento 2 er berørt, med unntak av pre-release patch 2.4.9-alpha3 og nyere. Sansec skriver at de ikke har observert aktiv utnyttelse av denne sårbarheten, men forventer at angrep kommer til å oppstå i nær tid.

Anbefaling:

Det er foreløpig ikke utgitt en offisiell fiks for Magento versjoner i produksjon, men Sansec anbefaler blant annet å begrense tilgang til opplastingskatalogen for å hindre kjøring av potensielt ondsinnede filer.

Referanser:

https://sansec.io/research/magento-polyshell

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.19

Kritisk Telnetd sårbarhet gir uautentisert root RCE i GNU InetUtils. Ubuntu sårbarhet (CVE-2026-3888) kan gi lokal root-tilgang via namespace-feil. Kritisk sårbarhet i UniFi Network Application.

---

Kritisk Telnetd sårbarhet gir uautentisert root RCE i GNU InetUtils

En kritisk sårbarhet i GNU InetUtils telnetd, identifisert som CVE-2026-32746 (CVSS 9.8), gjør det mulig for en uautentisert ekstern angriper å oppnå "remote code execution" (RCE) som root. Feilen skyldes en "out-of-bounds write" i håndteringen av "LINEMODE SLC suboption", som fører til buffer overflow under Telnet protokollens handshake før autentisering. Angrepet krever kun én tilkobling til port 23, uten bruk av påloggingsinformasjon eller brukerinteraksjon. Sårbarheten påvirker alle versjoner opp til og med 2.7, og det finnes foreløpig ingen patch, men en forventes innen 1. april 2026. Vellykket utnyttelse kan gi full systemkontroll og åpne for bakdører, datatyveri og videre spredning i nettverk.

Anbefaling:

Deaktiver Telnet tjenesten dersom den ikke er nødvendig. Dersom den må brukes, kjør den uten root rettigheter. Blokker port 23 både på nettverksnivå og host basert brannmur, og begrens tilgang til kun nødvendige systemer. Isoler Telnet tjenester i egne nettverkssoner. Følg med på og installer patch så snart den blir tilgjengelig.

Sårbarheter:

CVE-2026-32746

Referanser:

https://thehackernews.com/2026/03/critical-telnetd-flaw-cve-2026-32746.html

Ubuntu sårbarhet (CVE-2026-3888) kan gi lokal root-tilgang via namespace-feil

En ny sårbarhet i Ubuntu identifisert som CVE-2026-3888 gjør det mulig for lokale angripere å eskalere privilegier til root gjennom feil håndtering av user namespaces i Linux-kjernen. Problemet oppstår når systemet feilaktig tillater tilgang til ressurser på tvers av namespace-grenser, noe som kan utnyttes til å oppnå høyere privilegier. Sårbarheten påvirker flere Ubuntu-versjoner og krever at angriperen allerede har lokal tilgang til systemet, men gir deretter full kontroll over maskinen.

Det er publisert proof-of-concept kode som demonstrerer hvordan sårbarheten kan utnyttes i praksis, noe som øker risikoen for aktiv utnyttelse. Canonical har bekreftet problemet og har gitt ut sikkerhetsoppdateringer for berørte versjoner av Ubuntu.

Anbefaling:

Oppdater Ubuntu-systemer til nyeste sikkerhetsoppdateringer umiddelbart. Deaktiver user namespaces dersom det ikke er nødvendig i miljøet. Begrens lokal tilgang til systemer og bruk prinsippet om minste privilegium. Overvåk systemer for mistenkelig aktivitet og forsøk på privilege escalation

Sårbarheter:

CVE-2026-3888

Referanser:

https://thehackernews.com/2026/03/ubuntu-cve-2026-3888-bug-lets-attackers.html

Kritisk sårbarhet i UniFi Network Application

Det er oppdaget to alvorlige sikkerhetssårbarheter i UniFi Network Application fra Ubiquiti, hvor den mest kritiske har fått en CVSS-score på 10.0.

Den første sårbarheten (CVE-2026-22557) er en såkalt path traversal-feil som kan utnyttes av en angriper med nettverkstilgang. Denne gir mulighet til å lese og manipulere filer på det underliggende systemet, og i verste fall oppnå tilgang til kontoer.

Den andre sårbarheten (CVE-2026-22558) gjelder en NoSQL injection-feil. Denne krever at angriperen allerede har autentisert tilgang, men kan føre til eskalering av privilegier.

Flere versjoner av UniFi Network Application er berørt, inkludert versjon 10.1.85 og tidligere. Også release candidate-versjoner og UniFi Express-enheter er påvirket.

Ubiquiti anbefaler at brukere oppdaterer til følgende versjoner så snart som mulig:

• UniFi Network Application 10.1.89 eller nyere

• Release Candidate 10.2.97 eller nyere

• UniFi Express firmware 4.0.13 eller nyere

Sårbarhetene understreker viktigheten av jevnlige oppdateringer og god tilgangskontroll i nettverksmiljøer.

Sårbarheter:

CVE-2026-22557CVE-2026-22558

Referanser:

https://community.ui.com/releases/Security-Advisory-Bulletin-062-062/c29719c0-405e-4d4a-8f26-e343e99f931b

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.18

Apple slipper første bakgrunnsoppdatering for sikkerhet for å fikse WebKit-sårbarhet.

---

Apple slipper første bakgrunnsoppdatering for sikkerhet for å fikse WebKit-sårbarhet

Apple har introdusert en ny type sikkerhetsoppdatering som installeres automatisk i bakgrunnen uten full OS oppdatering, kalt “Rapid Security Response” eller lignende mekanisme. Denne første oppdateringen adresserer en sårbarhet i WebKit, nettlesermotoren som brukes av Safari og alle nettlesere på iOS og iPadOS. Feilen kunne utnyttes gjennom ondsinnet webinnhold og føre til minnekorrupsjon eller potensielt kjøring av vilkårlig kode. Apple har ikke bekreftet aktiv utnyttelse i dette tilfellet, men lignende WebKit-sårbarheter har tidligere blitt brukt i målrettede angrep.

Oppdateringen distribueres automatisk til nyere enheter og kan installeres raskere enn tradisjonelle OS-oppdateringer. Formålet er å redusere tiden brukere er sårbare for kritiske feil, spesielt i komponenter som WebKit som eksponeres direkte via nettinnhold.

Anbefaling:

Brukere bør sørge for at automatiske oppdateringer er aktivert slik at bakgrunnsoppdateringer installeres umiddelbart. Det anbefales også å starte enheten på nytt ved behov for å sikre at oppdateringen er aktiv. Organisasjoner bør overvåke at enheter faktisk mottar disse oppdateringene og ikke kun baserer seg på tradisjonelle OS-patcher.

Referanser:

https://www.bleepingcomputer.com/news/security/apple-pushes-first-background-security-improvements-update-to-fix-webkit-flaw/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.17

GlassWorm angrep bruker stjålne GitHub tokens for å tvinge skadelig programvare inn i Python repoer.

---

GlassWorm angrep bruker stjålne GitHub tokens for å tvinge skadelig programvare inn i Python repoer

GlassWorm kampanjen har utviklet en ny angrepsmetode kalt ForceMemo, hvor angripere bruker stjålne GitHub tokens til å få tilgang til utviklerkontoer og injisere skadelig kode i Python repositorier. Angrepet innebærer at angriperne rebaser legitime commits med ondsinnet kode og deretter force pusher dette til hovedbranchen samtidig som original commit informasjonen som melding der forfatter og dato beholdes. Dette gjør angrepet svært vanskelig å oppdage siden det ikke etterlater synlige spor som pull requests eller endringshistorikk i GitHub grensesnittet.

Kampanjen har vært aktiv siden minst 8. mars 2026, og benytter også en C2 infrastruktur knyttet til kryptotransaksjoner hvor payload URLer oppdateres hyppig. Dette er første kjente supply chain angrep som bruker denne typen historikkmanipulasjon for å skjule ondsinnede endringer.

Anbefaling:

Organisasjoner bør rotere alle GitHub tokens og andre kompromitterte brukerdetaljer umiddelbart. Det anbefales også å overvåke repositories for uautoriserte force pushes, implementere strengere tilgangskontroll og bruke sikkerhetsverktøy som kan oppdage uvanlige endringer i commit historikk. Videre bør man aktivere logging og varsling for kontoaktivitet og sikre bruk av multifaktorautentisering for utviklerkontoer.

Referanser:

https://thehackernews.com/2026/03/glassworm-attack-uses-stolen-github.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.16

Falske enterprise VPN-nettsteder brukt til å stjele VPN-legitimasjon. ClickFix-kampanjer sprer MacSync macOS-infostealer via falske AI-verktøyinstallatører.

---

Falske enterprise VPN-nettsteder brukt til å stjele VPN-legitimasjon

En trusselaktør identifisert som Storm-2561 distribuerer falske nedlastinger av populære enterprise VPN-klienter for å stjele VPN-legitimasjon fra brukere. Angriperne bruker SEO-forgiftning for å manipulere søkeresultater slik at brukere som søker etter VPN-klienter blir sendt til falske nettsteder som etterligner legitime leverandører som Ivanti, Cisco og Fortinet.

Den falske klienten viser et troverdig påloggingsvindu der brukeren blir bedt å oppgi VPN-brukernavn og passord. Disse opplysningene sendes så til den ondsinnede aktørens infrastruktur. I tillegg kan skadevaren stjele lokal VPN-konfigurasjon som er lagret i "connectionstore.dat" filen.

For å skjule angrepet viser installasjonsprogrammet en feilmelding etter tyveriet og viser frem instruksjoner for å laste ned den legitime VPN-klienten. Dermed kan kompromitteringen bli misforstått som en teknisk feil og gå ubemerket.

Referanser:

https://www.microsoft.com/en-us/security/blog/2026/03/12/storm-2561-uses-seo-poisoning-to-distribute-fake-vpn-clients-for-credential-theft/

ClickFix-kampanjer sprer MacSync macOS-infostealer via falske AI-verktøyinstallatører

Tre separate ClickFix-kampanjer er avdekket som distribusjonsvektor for en macOS-informasjonstyver kalt MacSync. I motsetning til tradisjonelle utnyttelsesbaserte angrep er metoden helt avhengig av brukerinteraksjon – vanligvis i form av kopiering og kjøring av kommandoer – noe som gjør den særlig effektiv mot brukere som ikke er klar over konsekvensene av å kjøre ukjente og obfuskerte terminalkommandoer.

Det er foreløpig ukjent om kampanjene er utført av samme trusselaktør. Tre distinkte kampanjer er dokumentert:

November 2025: En kampanje som brukte OpenAI Atlas-nettleseren som lokkemat, distribuert via sponsede søkeresultater på Google, ledet brukere til en falsk Google Sites-URL med en nedlastingsknapp. Ved klikk ble det vist instruksjoner om å åpne Terminal og lime inn en kommando, som lastet ned et shellscript. Shellscriptet ba brukeren om systempassordet og kjørte deretter MacSync med brukernivå-tillatelser.

Desember 2025: En malvertising-kampanje som utnyttet sponsede lenker knyttet til søk som «how to clean up your Mac» på Google, ledet brukere til delte samtaler på det legitime OpenAI ChatGPT-nettstedet for å gi inntrykk av at lenkene var trygge. ChatGPT-samtalene omdirigerte ofrene til ondartede GitHub-inspirerte landingssider som lurte brukere til å kjøre ondartede kommandoer i Terminal.

Februar 2026: En kampanje rettet mot Belgia, India og deler av Nord- og Sør-Amerika, som distribuerte en ny variant av MacSync via ClickFix-lokkemat. Den nyeste iterasjonen støtter dynamiske AppleScript-nyttelaster og kjøring i minnet for å omgå statisk analyse, adferdsdetektion og komplisere hendelseshåndtering.

Shellscriptet som kjøres etter terminalkommandoen, kontakter en hardkodet server og henter den ondartede AppleScript-nyttelasten, og sletter samtidig spor etter datatyveriet. Den ondartede programvaren er utstyrt for å høste et bredt spekter av data fra kompromitterte enheter, inkludert legitimasjonsdata, filer, nøkkelringdatabaser og seed-fraser fra kryptovaluta-lommebøker.

Funnene indikerer at trusselaktørene tilpasser metoden for å holde seg ett skritt foran sikkerhetsverktøy, og utnytter tilliten brukere har til ChatGPT-samtaler for å overbevise dem om å kjøre ondartede kommandoer. Den nyeste varianten representerer sannsynligvis en tilpasning fra skadevare-utvikleren for å opprettholde effektiviteten mot oppdaterte OS- og programvaresikkerhetstiltak.

I de siste månedene har ClickFix-kampanjer brukt legitime plattformer som Cloudflare Pages, Squarespace og Tencent EdgeOne til å hoste falske installasjonsanvisninger for utviklerverktøy som Anthropics Claude Code. URL-ene distribueres via ondsinnte søkemotorannonser.

Brukere anbefales å utvise forsiktighet ved nedlasting av programvare, opprettholde en null-tillit-tankegang, bruke anerkjent sikkerhetsprogramvare og holde seg oppdatert på de nyeste phishing- og ClickFix-taktikkene som benyttes av ondsinnede aktører. Viktig å merke seg er at selv klarerte nettsteder kan kompromitteres og brukes mot intetanende besøkende.

Referanser:

https://thehackernews.com/2026/03/clickfix-campaigns-spread-macsync-macos.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.13

To nye aktivt utnyttede Nulldagssårbarheter i Chrome, hasteoppdatering er sendt ut. . Apple Utgir Sikkerhetsoppdateringer for Eldre iOS Enheter etter Coruna WebKit Utnyttelse.

---

To nye aktivt utnyttede Nulldagssårbarheter i Chrome, hasteoppdatering er sendt ut.

Google har sendt ut en hasteoppdatering etter å ha oppdaget to alvorlige nulldagssårbarheter i Chrome som er under aktiv utnyttelse.

Den første ligger i grafikkbiblioteket Skia og kan gjøre det mulig for angripere å kjøre vilkårlig kode, mens den andre befinner seg i V8‑motoren som håndterer JavaScript. Google holder tilbake tekniske detaljer til de fleste brukerne har oppdatert.

Dette er den andre og tredje aktivt utnyttede nulldagssårbarhetene Google har fikset i Chrome så langt i 2026.

Anbefaling:

Det anbefales å oppdatere Chrome til nyeste versjon så raskt som mulig.

Sårbarheter:

CVE-2026-3909CVE-2026-3910

Referanser:

https://www.bleepingcomputer.com/news/google/google-fixes-two-new-chrome-zero-days-exploited-in-attacks/ https://chromereleases.googleblog.com/2026/03/stable-channel-update-for-desktop_12.html

Apple Utgir Sikkerhetsoppdateringer for Eldre iOS Enheter etter Coruna WebKit Utnyttelse

Apple har publisert sikkerhetsoppdateringer for eldre versjoner av iOS og iPadOS etter at sårbarheten CVE-2023-43010 ble identifisert som brukt i Coruna exploit kit. Feilen ligger i WebKit og kan føre til minnekorrupsjon når ondsinnet webinnhold behandles, noe som potensielt kan åpne for videre utnyttelse av systemet. Sårbarheten ble opprinnelig fikset i iOS 17.2, iPadOS 17.2, macOS Sonoma 14.2 og Safari 17.2, men Apple har nå backportet oppdateringen til eldre enheter som ikke kan oppgraderes til nyere iOS versjoner. Oppdateringene gjelder spesielt iOS 15.8.7 / iPadOS 15.8.7 og iOS 16.7.15 / iPadOS 16.7.15, som dekker eldre enheter som blant annet iPhone 6s, iPhone 7, iPhone SE (1. generasjon), iPhone 8, iPhone X og flere iPad modeller. Samtidig inkluderer iOS 15.8.7 også patcher for ytterligere tre sårbarheter knyttet til Coruna exploit kjeden.

Anbefaling:

Oppdater iOS og iPadOS til nyeste tilgjengelige versjon for enheten så raskt som mulig. Organisasjoner bør sørge for at også eldre Apple enheter mottar tilgjengelige sikkerhetsoppdateringer, eller fases ut dersom de ikke lenger får patcher. Brukere bør også være forsiktige med å åpne ukjente lenker eller besøke mistenkelige nettsider siden WebKit sårbarheter kan utnyttes via spesiallaget webinnhold.

Sårbarheter:

CVE-2023-43010CVE-2023-41974CVE-2024-23222CVE-2023-43000

Referanser:

https://thehackernews.com/2026/03/apple-issues-security-updates-for-older.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.11

HPE advarer om flere alvorlige svakheter i Aruba Networking AOS-CX. Microsoft månedlig sikkerhetsoppdatering med 79 sårbarheter, Tirsdag – mars 2026.

---

HPE advarer om flere alvorlige svakheter i Aruba Networking AOS-CX

HPE har publisert sikkerhetsoppdateringer for flere sårbarheter i Aruba AOS-CX. Den mest alvorlige med CVSS score 9.8 kan gjøre det mulig for en uautentisert angriper å omgå autentisering i web-grensesnittet og potensielt tilbakestille admin passord. Andre sårbarheter inkluderer blant annet kommandoinjeksjon via CLI, og en åpen omdirigering sårbarhet i web-grensesnittet. Berørte versjoner er AOS-CX 10.17, 10.16, 10.13 og 10.10. Foreløpig finnes det ingen kjente aktive utnyttelser av svakhetene.

Anbefaling:

For å håndtere sårbarhetene i de berørte programvarene anbefales det å oppgradere HPE Networking AOS-CX til en av følgende versjoner: 10.17.1001+, 10.16.1030+, 10.13.1161+, 10.10.1180+.

Sårbarheter:

CVE-2026-23813CVE-2026-23814CVE-2026-23815CVE-2026-23816CVE-2026-23817

Referanser:

https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05027en_us&docLocale=en_US

Microsoft månedlig sikkerhetsoppdatering med 79 sårbarheter, Tirsdag – Mars 2026

Microsoft har utgitt sin månedlige sikkerhetsoppdatering for mars 2026. Denne inkluderer sikkerhetsoppdateringer som retter 79 sårbarheter som blant annet omfatter 2 offentlig avdekkede nulldagssårbarheter. Svakheten med høyest base CVSS score er CVE-2026-21536 med en score på 9.8. CVE-2026-21536 omfatter en svakhet i Microsoft Devices Pricing Program som kan tillate ekstern kjøring av kode. Det er ikke blitt avdekket noe misbruk av denne svakheten.

Anbefaling:

Microsoft anbefaler å installere disse oppdateringene så snart som mulig.

Sårbarheter:

CVE-2026-21536

Referanser:

https://msrc.microsoft.com/update-guide/releaseNote/2026-Mar

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.09

Ny Variant av ClickFix Kampanje Lurer Windows brukere til å Starte Windows Terminal og Installere Lumma Infostealer. Falsk CleanMyMac nettside sprer Shub Stealer og stjeler Kryptovaluta Wallets på macOS. Falske installasjons guider for Claude Code sprer infostealer i InstallFix angrep.

---

Ny Variant av ClickFix Kampanje Lurer Windows brukere til å Starte Windows Terminal og Installere Lumma Infostealer

Microsoft Threat Intelligence har oppdaget en ny variant av ClickFix svindelen der angripere manipulerer Windows brukere til å starte Windows Terminal via hurtigtasten Windows + X → I og deretter lime inn en kommando som egentlig installerer malware. Kampanjen ble observert i februar 2026 og er en videreutvikling av tidligere ClickFix angrep som vanligvis brukte Win + R og Run dialogen. Ved å bruke Windows Terminal, som er et legitimt administrasjonsverktøy, prøver angriperne å unngå sikkerhetsdeteksjon siden aktiviteten ser mer normal ut i systemlogger. Kommandoen som ofrene limer inn er en sterkt kodet PowerShell kommando som starter en kompleks infeksjonskjede. I ett scenario lastes en omdøpt versjon av 7-Zip ned sammen med et komprimert malware payload som deretter etablerer persistens, legger til unntak i Microsoft Defender og samler system og nettleserdata. Til slutt installeres Lumma Stealer, en infostealer skadevare som injiserer seg i Chrome og Edge for å stjele lagrede passord og andre nettleserdata.

Anbefalinger: Brukere bør aldri kopiere og kjøre kommandoer fra nettsteder i Windows Terminal, PowerShell eller Run dialogen uten å forstå hva kommandoen gjør.

Organisasjoner bør implementere overvåking av PowerShell og terminalaktivitet, blokkere mistenkelige skript og styrke brukeropplæring rundt sosial manipulering (Social Engineering) og falske verifiseringssider.

Referanser:

https://www.theregister.com/2026/03/06/microsoft_spots_clickfix_campaign_abusing/

Falsk CleanMyMac nettside sprer Shub Stealer og stjeler Kryptovaluta Wallets på macOS

Sikkerhetsforskere fra Malwarebytes har oppdaget en ny kampanje der angripere har opprettet en falsk nettside som utgir seg for å være CleanMyMac, et populært macOS optimaliseringsverktøy. Brukere som besøker siden blir lokket til å laste ned en tilsynelatende legitim installasjonsfil, men installasjonen inneholder i stedet malware. Når filen kjøres installeres Shub Stealer, en infostealer som kan hente sensitiv informasjon fra systemet, inkludert nettleserdata og lagrede legitimasjonsopplysninger. Skadevare pakken inneholder også en bakdør som spesifikt retter seg mot kryptovaluta wallets, hvor angriperne forsøker å stjele eller omdirigere kryptotransaksjoner ved å manipulere wallet relaterte data og prosesser. Kampanjen utnytter at CleanMyMac er et velkjent verktøy blant macOS brukere, noe som gjør det lettere å lure ofre til å installere programvaren uten å mistenke noe.

Referanser:

https://www.malwarebytes.com/blog/threat-intel/2026/03/fake-cleanmymac-site-installs-shub-stealer-and-backdoors-crypto-wallets

Falske installasjons guider for Claude Code sprer infostealer i InstallFix angrep

Sikkerhetsforskere fra Push Security har avdekket en ny sosial manipuleringsteknikk kalt InstallFix. Dette er en videreutvikling av ClickFix angrep, hvor angripere lager falske installasjonsguider for populære CLI verktøy. I kampanjen kopierer angripere installasjonssiden til Claude Code, et CLI-verktøy fra Anthropic, og distribuerer siden via sponsede Google annonser som dukker opp når brukere søker etter installasjon av verktøyet. Den falske siden er nesten identisk med den legitime og inneholder legitime lenker til den offisielle siden, men installasjonskommandoene er manipulert slik at de laster ned og kjører skadevare fra malisiøse servere.

Når brukere kopierer og kjører installasjonskommandoene i terminal eller kommandolinje, starter kommandoene blant annet Windows verktøyet mshta.exe for å hente en fjern HTA payload som installerer infostealeren Amatera. Denne skadevaren kan stjele passord, nettlesercookies, sesjonstokener og systeminformasjon. Kampanjen er vanskelig å oppdage fordi falske sider hostes på legitime plattformer som Cloudflare Pages, Squarespace og Tencent EdgeOne.

Referanser:

https://www.bleepingcomputer.com/news/security/fake-claude-code-install-guides-push-infostealers-in-installfix-attacks/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.09

Ny Variant av ClickFix Kampanje Lurer Windows brukere til å Starte Windows Terminal og Installere Lumma Infostealer. Falsk CleanMyMac nettside sprer Shub Stealer og stjeler Kryptovaluta Wallets på macOS. Falske installasjons guider for Claude Code sprer infostealer i InstallFix angrep.

---

Ny Variant av ClickFix Kampanje Lurer Windows brukere til å Starte Windows Terminal og Installere Lumma Infostealer

Microsoft Threat Intelligence har oppdaget en ny variant av ClickFix svindelen der angripere manipulerer Windows brukere til å starte Windows Terminal via hurtigtasten Windows + X → I og deretter lime inn en kommando som egentlig installerer malware. Kampanjen ble observert i februar 2026 og er en videreutvikling av tidligere ClickFix angrep som vanligvis brukte Win + R og Run dialogen. Ved å bruke Windows Terminal, som er et legitimt administrasjonsverktøy, prøver angriperne å unngå sikkerhetsdeteksjon siden aktiviteten ser mer normal ut i systemlogger. Kommandoen som ofrene limer inn er en sterkt kodet PowerShell kommando som starter en kompleks infeksjonskjede. I ett scenario lastes en omdøpt versjon av 7-Zip ned sammen med et komprimert malware payload som deretter etablerer persistens, legger til unntak i Microsoft Defender og samler system og nettleserdata. Til slutt installeres Lumma Stealer, en infostealer skadevare som injiserer seg i Chrome og Edge for å stjele lagrede passord og andre nettleserdata.

Anbefalinger: Brukere bør aldri kopiere og kjøre kommandoer fra nettsteder i Windows Terminal, PowerShell eller Run dialogen uten å forstå hva kommandoen gjør.

Organisasjoner bør implementere overvåking av PowerShell og terminalaktivitet, blokkere mistenkelige skript og styrke brukeropplæring rundt sosial manipulering (Social Engineering) og falske verifiseringssider.

Referanser:

https://www.theregister.com/2026/03/06/microsoft_spots_clickfix_campaign_abusing/

Falsk CleanMyMac nettside sprer Shub Stealer og stjeler Kryptovaluta Wallets på macOS

Sikkerhetsforskere fra Malwarebytes har oppdaget en ny kampanje der angripere har opprettet en falsk nettside som utgir seg for å være CleanMyMac, et populært macOS optimaliseringsverktøy. Brukere som besøker siden blir lokket til å laste ned en tilsynelatende legitim installasjonsfil, men installasjonen inneholder i stedet malware. Når filen kjøres installeres Shub Stealer, en infostealer som kan hente sensitiv informasjon fra systemet, inkludert nettleserdata og lagrede legitimasjonsopplysninger. Skadevare pakken inneholder også en bakdør som spesifikt retter seg mot kryptovaluta wallets, hvor angriperne forsøker å stjele eller omdirigere kryptotransaksjoner ved å manipulere wallet relaterte data og prosesser. Kampanjen utnytter at CleanMyMac er et velkjent verktøy blant macOS brukere, noe som gjør det lettere å lure ofre til å installere programvaren uten å mistenke noe.

Referanser:

https://www.malwarebytes.com/blog/threat-intel/2026/03/fake-cleanmymac-site-installs-shub-stealer-and-backdoors-crypto-wallets

Falske installasjons guider for Claude Code sprer infostealer i InstallFix angrep

Sikkerhetsforskere fra Push Security har avdekket en ny sosial manipuleringsteknikk kalt InstallFix. Dette er en videreutvikling av ClickFix angrep, hvor angripere lager falske installasjonsguider for populære CLI verktøy. I kampanjen kopierer angripere installasjonssiden til Claude Code, et CLI-verktøy fra Anthropic, og distribuerer siden via sponsede Google annonser som dukker opp når brukere søker etter installasjon av verktøyet. Den falske siden er nesten identisk med den legitime og inneholder legitime lenker til den offisielle siden, men installasjonskommandoene er manipulert slik at de laster ned og kjører skadevare fra malisiøse servere.

Når brukere kopierer og kjører installasjonskommandoene i terminal eller kommandolinje, starter kommandoene blant annet Windows verktøyet mshta.exe for å hente en fjern HTA payload som installerer infostealeren Amatera. Denne skadevaren kan stjele passord, nettlesercookies, sesjonstokener og systeminformasjon. Kampanjen er vanskelig å oppdage fordi falske sider hostes på legitime plattformer som Cloudflare Pages, Squarespace og Tencent EdgeOne.

Referanser:

https://www.bleepingcomputer.com/news/security/fake-claude-code-install-guides-push-infostealers-in-installfix-attacks/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.06

Cisco Bekrefter Aktiv Utnyttelse av Sårbarheter i Catalyst SD-WAN Manager. Ny MongoDB sårbarhet lar hackere krasje hvilken som helst MongoDB server.

---

Cisco Bekrefter Aktiv Utnyttelse av Sårbarheter i Catalyst SD-WAN Manager

Cisco har bekreftet at to sårbarheter i Cisco Catalyst SD-WAN Manager (tidligere vManage) nå blir aktivt utnyttet i angrep i det fri. Sårbarhetene er CVE-2026-20122 (CVSS 7.1), en "arbitrary file overwrite" feil som kan gjøre det mulig for en autentisert fjernangriper med "read-only" API tilgang å overskrive vilkårlige filer på systemet, og CVE-2026-20128 (CVSS 5.5), en "information disclosure" sårbarhet som kan gi en autentisert lokal bruker økte privilegier til "Data Collection Agent" kontoen. Cisco opplyser at begge disse sårbarhetene nå utnyttes aktivt, men har ikke gitt detaljer om hvem som står bak eller omfanget av angrepene. Oppdateringer som fikser disse problemene ble publisert tidligere, blant annet i versjoner som 20.9.8.2, 20.12.6.1, 20.15.4.2 og 20.18.2.1 avhengig av hvilken versjon som brukes. Sårbarhetene ble offentliggjort kort tid etter en annen kritisk SD-WAN sårbarhet (CVE-2026-20127, CVSS 10.0) som også nylig ble bekreftet utnyttet i avanserte angrep mot organisasjoner.

Anbefaling:

Oppgrader til en patched versjon av Cisco Catalyst SD-WAN Manager umiddelbart. Begrens tilgang til systemet fra usikre nettverk og plasser administrasjonsgrensesnitt bak brannmur. Deaktiver HTTP tilgang til administrasjonsportalen dersom det er mulig og slå av tjenester som HTTP og FTP dersom de ikke er nødvendige.

Sårbarheter:

CVE-2026-20122CVE-2026-20128

Referanser:

https://thehackernews.com/2026/03/cisco-confirms-active-exploitation-of.html

Ny MongoDB sårbarhet lar hackere krasje hvilken som helst MongoDB server

En nylig oppdaget sårbarhet i MongoDB kan gjøre det mulig for angripere å krasje databaservere ved å sende spesiallagde forespørsler som utnytter feil i håndteringen av bestemte databaseoperasjoner. Sårbarheten kan føre til "Denial of Service (DoS)" ved at databasen stopper eller blir utilgjengelig, noe som kan påvirke applikasjoner og tjenester som er avhengige av databasen. Problemet skyldes feil håndtering av visse operasjoner som kan føre til ustabilitet i serverprosessen når ondsinnede eller uvanlige input behandles. MongoDB har publisert sikkerhetsoppdateringer for flere versjoner av databasen for å rette problemet og anbefaler at brukere oppgraderer til en patchet versjon så raskt som mulig for å redusere risikoen for utnyttelse.

Anbefaling:

Oppgrader MongoDB til en versjon som inneholder sikkerhetsoppdateringen så snart som mulig. Begrens tilgang til databasen fra eksterne nettverk, bruk autentisering og nettverksfiltrering for å hindre uautoriserte forespørsler, og overvåk database logger for uvanlig aktivitet eller uventede krasjer som kan indikere forsøk på utnyttelse.

Sårbarheter:

CVE-2026-25611

Referanser:

https://cybersecuritynews.com/mongodb-vulnerability-crash-server/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.05

Cisco advarer om kritiske sikkerhetshull som kan gi root tilgang.

---

Cisco advarer om kritiske sikkerhetshull som kan gi root tilgang

Cisco har advart om to kritiske sikkerhetssårbarheter i programvaren Secure Firewall Management Center (FMC), som brukes til å administrere brannmurer og andre sikkerhetsfunksjoner. Sårbarhetene har fått høyeste alvorlighetsgrad og kan utnyttes av angripere uten innlogging for å få root tilgang til systemet.

En av feilene gjør det mulig å omgå autentisering ved å sende HTTP forespørsler til et sårbart system, noe som kan gi full kontroll over enheten. Den andre sårbarheten gjør det mulig å kjøre Java kode som også kan gi administratorrettigheter.

Cisco har publisert sikkerhetsoppdateringer som retter problemene og oppfordrer organisasjoner til å oppdatere systemene sine så raskt som mulig. Ifølge selskapet finnes det foreløpig ingen bevis for at sårbarhetene blir aktivt utnyttet i angrep.

Sårbarheter:

CVE-2026-20079CVE-2026-20131

Referanser:

https://www.bleepingcomputer.com/news/security/cisco-warns-of-max-severity-secure-fmc-flaws-giving-root-access

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.04

Android Zero‑Day aktivt utnyttet (CVE‑2025‑0845). Falsk IT-Support‑kampanje leverer skadevare etter utsendelse av spam.

---

Android Zero‑Day aktivt utnyttet (CVE‑2025‑0845)

Google har sluppet en sikkerhetsoppdatering som tetter en aktivt utnyttet Android nulldagssårbarhet som gjør det mulig for angripere å kjøre kode og omgå sentrale sikkerhetsmekanismer på berørte enheter. Feilen ligger i Android‑komponenter som håndterer minne, og åpner for angrep som kan gi full kontroll dersom brukeren lures til å installere ondsinnet programvare.

Google bekrefter at sårbarheten allerede brukes i reelle angrep, men detaljer holdes begrenset for å hindre videre misbruk. Oppdateringen rulles ut via månedlige Android‑patcher, og produsenter må distribuere den videre til sine enheter.

Anbefaling:

For organisasjoner anbefales bruk av et MDM verktøy for å kontrollere og holde enheter løpende patchet på et tilfredstillende nivå.

Sårbarheter:

CVE-2026-21385

Referanser:

https://www.bleepingcomputer.com/news/security/google-patches-android-zero-day-actively-exploited-in-attacks/

Falsk IT-Support‑kampanje leverer skadevare etter utsendelse av spam

Kampanjen starter med at offeret mottar et stort antall spam e-poster. Hvoretter angriper i etterkant tar kontakt og utgir seg for å tilhøre IT-Support for hjelp til å løse problemet.

Her blir offer lurt til å installere blant annet fjernstyringsverktøy, og etterhvert tatt inn på falske login sider for blant annet Microsoft tjenester.

Click-fix kampanjer som dette har hatt økende antall forekomster, og blir stadig mer utspekulerte og troverdige. Slike typer angrep viser viktigheten av intern opplæring innen "security awareness".

Referanser:

https://thehackernews.com/2026/03/fake-tech-support-spam-deploys.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.03

Microsoft tester sikkerhetsforbedringer for batchfiler i Windows 11. Kritisk ClawJacked-sårbarhet gjorde det mulig å kapre OpenClaw via nettleser.

---

Microsoft tester sikkerhetsforbedringer for batchfiler i Windows 11

Microsoft tester nye sikkerhetsforbedringer i Windows 11 som skal redusere risikoen ved kjøring av batchfiler med filtypen .bat. Endringene innebærer at batchfiler lastet ned fra internett og merket med Mark of the Web i større grad vil bli blokkert eller utløse tydeligere sikkerhetsadvarsler gjennom SmartScreen. Målet er å forhindre misbruk av batchfiler i phishing og malwarekampanjer, der angripere forsøker å omgå eksisterende beskyttelsesmekanismer. Forbedringene testes nå i Insider versjoner av Windows 11, spesielt knyttet til 24H2 oppdateringen, og kan bli rullet ut bredere dersom testingen er vellykket.

Referanser:

https://www.bleepingcomputer.com/news/microsoft/microsoft-testing-windows-11-batch-file-security-improvements/

Kritisk ClawJacked-sårbarhet gjorde det mulig å kapre OpenClaw via nettleser

Sikkerhetsforskere fra Oasis Security har avdekket en alvorlig sårbarhet kalt “ClawJacked” i den populære AI-agentplattformen OpenClaw. Feilen gjorde det mulig for en ondsinnet nettside å brute-force passordet til en lokalt kjørende OpenClaw-instans via WebSocket – uten at brukeren fikk noen advarsel.

Sårbarheten skyldtes at localhost-tilkoblinger var unntatt fra rate limiting, noe som gjorde det mulig å teste hundrevis av passord per sekund. Hvis passordet ble gjettet, fikk angriperen administratortilgang til OpenClaw, noe som kunne føre til full kompromittering av maskinen.

Problemet ble rettet i versjon 2026.2.26, og brukere oppfordres til å oppdatere umiddelbart.

Referanser:

https://www.bleepingcomputer.com/news/security/clawjacked-attack-let-malicious-websites-hijack-openclaw-to-steal-data/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.03.02

Microsoft tester sikkerhetsforbedringer for batchfiler i Windows 11. Kritisk ClawJacked-sårbarhet gjorde det mulig å kapre OpenClaw via nettleser.

---

Microsoft tester sikkerhetsforbedringer for batchfiler i Windows 11

Microsoft tester nye sikkerhetsforbedringer i Windows 11 som skal redusere risikoen ved kjøring av batchfiler med filtypen .bat. Endringene innebærer at batchfiler lastet ned fra internett og merket med Mark of the Web i større grad vil bli blokkert eller utløse tydeligere sikkerhetsadvarsler gjennom SmartScreen. Målet er å forhindre misbruk av batchfiler i phishing og malwarekampanjer, der angripere forsøker å omgå eksisterende beskyttelsesmekanismer. Forbedringene testes nå i Insider versjoner av Windows 11, spesielt knyttet til 24H2 oppdateringen, og kan bli rullet ut bredere dersom testingen er vellykket.

Referanser:

https://www.bleepingcomputer.com/news/microsoft/microsoft-testing-windows-11-batch-file-security-improvements/

Kritisk ClawJacked-sårbarhet gjorde det mulig å kapre OpenClaw via nettleser

Sikkerhetsforskere fra Oasis Security har avdekket en alvorlig sårbarhet kalt “ClawJacked” i den populære AI-agentplattformen OpenClaw. Feilen gjorde det mulig for en ondsinnet nettside å brute-force passordet til en lokalt kjørende OpenClaw-instans via WebSocket – uten at brukeren fikk noen advarsel.

Sårbarheten skyldtes at localhost-tilkoblinger var unntatt fra rate limiting, noe som gjorde det mulig å teste hundrevis av passord per sekund. Hvis passordet ble gjettet, fikk angriperen administratortilgang til OpenClaw, noe som kunne føre til full kompromittering av maskinen.

Problemet ble rettet i versjon 2026.2.26, og brukere oppfordres til å oppdatere umiddelbart.

Referanser:

https://www.bleepingcomputer.com/news/security/clawjacked-attack-let-malicious-websites-hijack-openclaw-to-steal-data/

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.27

Trend Micro publiserer oppdateringer for flere sårbaheter i Apex One.

---

Trend Micro publiserer oppdateringer for flere sårbaheter i Apex One

Trend Micro har publisert et sikkerhetsbulletin for Apex One og Apex One (Mac) som adresserer flere sårbarheter med CVSS 3.1-score fra High til Critical. Bulletin omfatter en ny Critical Patch (CP Build 14136) for Windows versjoner av Apex One og SaaS oppdateringer for Trend Vision One Endpoint agenter. Trend Micro skriver at enkelte sårbarheter allerede er mitigert i SaaS versjoner, men anbefaler likevel oppdatering til nyeste versjon. Flere av sårbarhetene kan øke risiko for fjernkodekjøring, privilegieløfting eller feil i opprinnelsesvalidering.

Blant de nevnte sårbarhetene er det to som er klassifiserte som Critical med CVSS 3.1-score 9.8 (CVE-2025-71210 og CVE-2025-71211). CVE-2025-71210 kan tillate en ekstern angriper å laste opp skadelig kode og utføre kommandoer på berørte installasjoner av Trend Micro Apex One administrasjonskonsollet. CVE-2025-71211 er lik den først nevnte sårbarheten, men påvirker en annen kjørbar fil.

Anbefaling:

Selv om en utnyttelse kan kreve at flere spesifikke betingelser oppfylles, oppfordrer Trend Micro allikevel at kunder oppdaterer til de nyeste versjonene så snart som mulig.

Sårbarheter:

CVE-2025-71210CVE-2025-71211CVE-2025-71212CVE-2025-71213CVE-2025-71214CVE-2025-71215CVE-2025-71216CVE-2025-71217

Referanser:

https://success.trendmicro.com/en-US/solution/KA-0022458

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.26

Kritisk nulldagssårbarhet i Cisco SD-WAN. Google avbryter UNC2814 GRIDTIDE-kampanje etter 53 datainnbrudd i 42 land. Kritiske sårbarheter i Claude Code tillater fjernkjøring av kode og eksfiltrering av API-nøkler.

---

Kritisk nulldagssårbarhet i Cisco SD-WAN

Cisco har publisert en hasteoppdatering utenfor ordinær patch-syklus etter at en kritisk sårbarhet i Cisco SD-WAN ble bekreftet aktivt utnyttet i målrettede angrep. Sårbarheten har blitt utnyttet som en nulldagssårbarhet – angripere har med andre ord utnyttet feilen før en sikkerhetsoppdatering var tilgjengelig.

Sårbarheten påvirker enheter som kjører Cisco IOS XE og kan i visse konfigurasjoner nås direkte over internett. En uautentisert angriper kan sende spesiallagde forespørsler mot et eksponert administrasjonsgrensesnitt og oppnå forhøyede rettigheter – i verste fall full kontroll over enheten. Siden SD-WAN-enheter håndterer trafikk mellom lokasjoner, datasentre og skytjenester, kan en kompromittert enhet åpne for avlytting av trafikk, endring av rutingregler, etablering av bakdører og videre bevegelse inn i intern infrastruktur.

Anbefalinger

Oppgrader alle berørte Cisco SD-WAN-enheter til nyeste programvareversjon umiddelbart. Kontroller om administrasjonsgrensesnitt er eksponert mot internett, og begrens tilgangen til betrodde IP-adresser. Aktiver flerfaktorautentisering der det støttes, og sørg for at logging og overvåking er på plass. Organisasjoner bør også gjennomgå konfigurasjoner, brukerkontoer og logger på berørte enheter for å avdekke tegn på kompromittering – spesielt dersom enheten har vært eksponert eksternt over tid.

Sårbarheter:

CVE-2026-20127

Referanser:

https://www.bleepingcomputer.com/news/security/critical-cisco-sd-wan-bug-exploited-in-zero-day-attacks-since-2023/

Google avbryter UNC2814 GRIDTIDE-kampanje etter 53 datainnbrudd i 42 land

Google har i samarbeid med industripartnere avbrutt infrastrukturen til den mistenkte kinesisk-tilknyttede spionasjegruppen UNC2814, som har kompromittert minst 53 organisasjoner i 42 land, med mistanke om ytterligere infeksjoner i over 20 andre nasjoner. Gruppen har en lang historikk med å angripe myndigheter og telekomselskaper i Afrika, Asia og Amerika, og har vært under Googles overvåking siden 2017.

Sentralt i operasjonene er en ny bakdør kalt GRIDTIDE, som misbruker Google Sheets API som kommunikasjonskanal for å skjule ondartede kommando- og kontrollsignaler (C2) blant tilsynelatende legitim trafikk. Skadevaren er skrevet i C og støtter filopplasting/-nedlasting samt kjøring av vilkårlige shell-kommandoer. GRIDTIDE bruker en cellebasert pollingsmekanisme i regneark der spesifikke celler er tildelt ulike roller: én celle for å hente kommandoer fra trusselaktørene og returnere statussvar, andre celler for dataoverføring, og én celle for å lagre systeminformasjon fra det kompromitterte endepunktet.

Gruppen har i tillegg benyttet SoftEther VPN Bridge for å etablere krypterte utgående tilkoblinger til eksterne IP-adresser, en teknikk som tidligere har vært knyttet til flere kinesiske trusselaktører. For å oppnå vedvarende tilgang opprettet trusselaktørene en systemtjeneste for skadevaren, og living-off-the-land (LotL)-binærfiler ble brukt til rekognosering, rettighetselevering og opprettholdelse av tilgang. Google observerte ikke dataeksfiltrering i løpet av kampanjen, men GRIDTIDE ble primært funnet på endepunkter med personidentifiserbar informasjon (PII), noe som er konsistent med spionasjeformål.

Google har avsluttet alle Google Cloud-prosjekter kontrollert av angriperne, deaktivert kjent UNC2814-infrastruktur og kuttet tilgangen til kontoer og API-kall brukt til C2-kommunikasjon. Berørte organisasjoner har mottatt formelle varsler.

Referanser:

https://thehackernews.com/2026/02/google-disrupts-unc2814-gridtide.html

Kritiske sårbarheter i Claude Code tillater fjernkjøring av kode og eksfiltrering av API-nøkler

Sikkerhetsforskere fra Check Point har avdekket tre sårbarheter i Anthropics AI-baserte kodeverktøy Claude Code, som til sammen kan gi angripere mulighet til å kjøre vilkårlig kode og stjele API-nøkler uten at brukeren behøver å gjøre mer enn å åpne et ondsinnet repository.

Den første sårbarheten (CVSS 8.7, ingen CVE tildelt) er en kodeinjeksjonsfeil som omgår brukersamtykke ved oppstart av Claude Code i en ny katalog. Ondartet kode kan dermed kjøres automatisk via prosjekthooks definert i .claude/settings.json uten ytterligere bekreftelse fra brukeren. Denne ble utbedret i versjon 1.0.87 i september 2025.

Den andre sårbarheten, CVE-2025-59536 (CVSS 8.7), tillater at ondartede repository-konfigurasjoner via .mcp.json overstyrer eksplisitt brukergodkjenning ved interaksjon med eksterne tjenester gjennom Model Context Protocol (MCP), ved å sette enableAllProjectMcpServers til true. Denne ble fikset i versjon 1.0.111 i oktober 2025.

Den tredje sårbarheten, CVE-2026-21852 (CVSS 5.3), er en informasjonslekkasje i Claude Codes prosjektlastingsflyt. Et ondsinnet repository kan eksfiltrere brukerens aktive Anthropic API-nøkkel ved å sette ANTHROPIC_BASE_URL til en angriper-kontrollert adresse, dette skjer før tillitsprompten vises for brukeren. Konsekvensene inkluderer omdirigering av autentisert API-trafikk, uautorisert tilgang til prosjektfiler og potensielt uventede API-kostnader. Feilen ble rettet i versjon 2.0.65 i januar 2026.

Check Point understreker at trusselen i AI-drevne utviklingsmiljøer ikke lenger er begrenset til å kjøre ondsinnet kode. Den starter allerede ved åpning av et ondsinnet prosjekt, ettersom konfigurasjonsfiler nå er en del av det operative laget.

Brukere bør forsikre seg om at de kjører oppdaterte versjoner av Claude Code og utvise forsiktighet ved kloning og åpning av ukjente repositories.

Sårbarheter:

CVE-2025-59536CVE-2026-21852

Referanser:

https://thehackernews.com/2026/02/claude-code-flaws-allow-remote-code.html

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.25

Fire kritiske sårbarheter i SolarWinds Serv-U.

---

Fire kritiske sårbarheter i SolarWinds Serv-U

SolarWinds har sluppet en oppdatering for Serv‑U. Den retter flere kritiske sårbarheter som kunne gitt angripere med allerede høye rettigheter mulighet til å kjøre kode som root eller administrator.

Feilene inkluderte blant annet brudd på tilgangskontroll, typeforveksling og en IDOR‑sårbarhet.

Serv‑U har tidligere vært et attraktivt mål for både cyberkriminelle og statlige aktører. Oppdateringen vurderes derfor som spesielt viktig.

Sårbarheter:

CVE-2025-40538CVE-2025-40539CVE-2025-40540CVE-2025-40541

Referanser:

https://www.bleepingcomputer.com/news/security/critical-solarwinds-serv-u-flaws-offer-root-access-to-servers/ https://documentation.solarwinds.com/en/success_center/servu/content/release_notes/servu_15-5-4_release_notes.htm#link7

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.02.24

Nødoppdatering for Google Chrome med sikkerhetsoppdateringer for tre alvorlige sårbarheter.

---

Nødoppdatering for Google Chrome med sikkerhetsoppdateringer for tre alvorlige sårbarheter

Google har gitt ut en kritisk, «out-of-band» sikkerhetsoppdatering for Chrome nettleser som adresserer tre "high-severity" sårbarheter, inkludert en nulldagssårbarhet som allerede er aktivt utnyttet i angrep i det fri. Den nye stabile versjonen – Chrome 145.0.7632.116/117 på Windows og macOS samt 144.0.7559.116 for Linux, inneholder oppdateringer som fikser feil i blant annet CSS motoren og potensielt andre komponenter i nettleserens kjerne. Oppdateringen kommer utenfor den normale planlagte utgivelsesplanen fordi det haster å tette igjen hullene som kan la angripere utføre vilkårlig kodekjøring via ondsinnet webinnhold.

Anbefaling:

Oppdater Chrome til nyeste versjon umiddelbart på alle plattformer (Windows, macOS, Linux). Sørg for at nettlesere i virksomheten oppdateres automatisk eller gjennom policy for å minske eksponeringstid for sårbarheten. For organisasjoner som bruker Chromium baserte nettlesere (som Edge, Brave, Opera), følg med på tilsvarende oppdateringer og rull dem ut straks. Bruk nettverksovervåking og blokkering av mistenkelige web lenker for å redusere risiko for utnyttelse via malvertising eller ondsinnede websider.

Referanser:

https://cybersecuritynews.com/google-chrome-emergency-security-update/