En ryskkopplad hackergrupp har brutit sig in i och publicerat bilder från flera svenska porttelefoner utrustade med kameror. It-säkerhetsexpert: Målet är att med minimal ansträngning skapa känslan att de kan dyka upp överallt.
Foto: Skärmdump/Telegram
Uppdatering 19 februari: Ett förtydligande har tillfogats artikeln.I början av februari utförde ryska hackare ett ”massivt angrepp mot danska övervakningskameror över hela landet”, enligt faktagranskarna Tjekdet.
Två grupper, som kallade sig Z-Pentest och Morningstar, hade då brutit sig in i ett stort antal privata kameror, och publicerat bilder bland annat inifrån en simhall, en pub och en cykelbutik.
Nu kan Källkritikbyrån avslöja att även Sverige utsatts.Den 5 februari presenterade regeringen ett nytt stödpaket på en miljard kronor till stöd för Ukrainas energisektor och den 9 februari meddelades att Sverige utökar sitt stöd till landets sjukhus och välfärd.Samma dag publicerade hackergruppen Morningstar sex bilder som påstods komma från Sverige i en öppen kanal på plattformen Telegram. Nu skulle även ”surströmmingsätarna” få sig en omgång, skrev hackarna.
Utdrag ur inlägg på Telegram 9 februari.
Fyra av kamerorna tycks filma ytterportarna till alldagliga lägenhetshus. De andra två, en snötäckt innergård, med en lekplats i centrum.
Inlägg på Telegram 9 februari. Källkritikbyrån har valt att täcka över Morningstars logga.
Lägenheterna som omger denna innergård har en lite ovanlig arkitektur. Därför valde vi att genomföra en omvänd bildsökning, och beskära bilden så att fokus hamnade på dessa hus.
Bland resultaten fann vi likartade mäklarfoton.
Sökning på Google.
De var tagna på Karlstorpsvägen i Trollhättan.
Genom att jämföra kamerabilderna med satellitbilder från Google maps, kunde vi snart hitta innergården i fråga.
Det handlar om ett helt vanligt bostadsområde, med kameran riktad mot en lika vanlig lekplats. Men just detta är poängen med attacken, menar den danska it-säkerhetsexperten Jan Lemnitzer:
Kartbild från Google maps, med kamerornas uppskattade positioner utmarkerade.
- Syftet är att med minimal ansträngning få så många som möjligt att känna att ryssarna kan dyka upp överallt, säger han.
Vid det här laget trodde vi fortfarande att det handlade om övervakningskameror. Och övervakningskameror, menar Lemnitzer, är ofta ”extremt lätta” att ta sig in i. Många kopplar upp dem till nätet, för att kunna nå dem på distans. Där lämnas de med svaga lösenord, i värsta fall det som kom förinställt från leverantören, som hackarna använder enkla program för att lirka upp.
- Äger man en övervakningskamera bör man se till att den är ordentligt skyddad, säger Lemnitzer.
En bra start, menar han, är att aktivera tvåstegsautentisering.
Kameror i porttelefoner
När Källkritikbyrån kontaktar den bostadsrättsförening som äger lägenhetshusen i Trollhättan svarar ordföranden först att de inte har några övervakningskameror. Han går ut för att undersöka den plats varifrån bilderna tycks tagna. Några minuter senare ringer han upp:
- Jag tror jag förstår vad du menar nu. Just här finns två porttelefoner. Och i dem finns kameror.
Det är alltså dessa kameror hackarna verkar ha kommit åt, och genom dem kunnat spionera ut.
Bakom porttelefonerna står företaget Steplock. När vi kontaktar dem är de ovetande om att en attack skett. Några timmar senare blir vi uppringda av företagets teknikchef Peter Axelsson. Han förklarar att ingenting lagras hos Steplock - har man kommit åt kamerorna måste det alltså vara kundens router man har kommit åt.
- Jag kollade upp den här specifika kunden, och där ligger ju porttelefonerna uppkopplade utan brandvägg. Det är antagligen därför man kunnat komma åt dem.
Annorlunda uttryckt: när bostadsrättsföreningen köpt sina porttelefoner har en installatör kommit ut för att montera dem. Denne, menar Axelsson, har brutit mot Steplocks instruktioner och gjort kamerorna direkt åtkomliga via nätet. Där har vem som helst kunnat komma åt dem via precis den typen av förinställt lösenord som Jan Lemnitzer varnar för.
- Det här är ett bra exempel på hur man inte ska installera någonting alls egentligen. Jag håller på att ta reda på vem den ansvariga installatören är, så att vi kan be dem åka ut och åtgärda det här, säger Peter Axelsson.
Kopplar sig till ryska staten
Vad Jan Lemnitzer vet var attackerna mot danska övervakningskameror i januari den första gången som de här taktikerna användes utanför Ukraina-kriget. Där hackar båda sidor ”rutinmässigt” övervakningskameror, för att se var deras drönare träffar.
Att samma strategi nu används för att angripa länder som stöttat Ukraina är därför ett lätt sätt att skrämmas på. Särskilt när offret kan vara vem som helst som installerat en kamera i - eller fått en kamera installerad vid - sitt hem.
Slumpmässigheten är alltså avsiktlig.
- Det finns ingen särskild tanke bakom vilka kameror de bryter sig in i. Det sitter ingen underrättelseofficer och jobbar med detta, menar Lemnitzer.
Samtidigt är han övertygad om att hackarna arbetar på order uppifrån. I sin Telegram-kanal uppger Morningstar att de och Z-Pentest, den andra gruppen som utfört liknande attacker i Danmark, hänger ihop. Z-Pentest, i sin tur, är enligt dansk säkerhetstjänst kopplad till den ryska staten.
Från den danska rapporteringen.
Under 2024 utförde Z-Pentest en attack mot ett danskt vattenverk, där de manipulerade vattentrycket på så vis att tre ledningar sprack.
- Allt detta är del av en större hybridkrigsoperation, säger Jan Lemnitzer. Målet är att destabilisera vissa utvalda länder så mycket som möjligt, via olika typer av angrepp. Polackerna utsattes nyligen för en attack riktad mot deras energiinfrastruktur. Sverige och Danmark utsätts för ddos-angrepp, drönarflygningar och hackade kameror.
Viktigt att inte överdriva hotet
Mattias Wåhlén, cyberhotsexpert på Truesec, bekräftar att det här är ett nytt fenomen - och ett som han tror kommer bli vanligare. I takt med att skydden mot överbelastningsattacker blir bättre söker de här grupperna nya, billigare sätt att uppnå samma effekt, säger han.
- De vill gärna blåsa upp sig på olika vis och säga ”titta vad vi klarar av”. Både för att stärka moralen på hemmaplan, men också för att störa, stressa, och skapa oro. De vill utkräva en kostnad för vårt stöd till Ukraina i hopp om att förmå oss att sluta.
Han betonar, liksom Lemnitzer, att det här i grunden handlar om enkla attacker - och de understryker båda vikten av att inte överdriva hotet:
- Vi måste ställa högre krav på de kameror vi placerar ut i samhället, att de är säkra, att de är skyddade. Men samtidigt kanske också avdramatisera det här. Helt seriöst, de där bilderna av innergården skulle ju kunna vara tagna av någon som stod där med en kamera. Vem är egentligen hotad här? De här grupperna vill gärna få sina aktioner att låta mycket otäckare än vad de är. Då är det viktigt att vi inte låter oss luras att gå deras ärenden.Uppdatering 19 februari: Texten har tillfogats ett förtydligande om att det är portelefonernas kameror som hackarna kommit åt.
LÄS MER:? Rysk propagandasida startad i Sverige - så ser den ut? Rysk desinformationskampanj inför ESC i Malmö? Tejpas till stolpar och förnedras - här är bakgrunden till bilderna
Har du tips på saker som du vill att vi ska skriva om så hör av dig!