Hvis du har mistanke om, at din computer er blevet hacket, bør du ikke forhastet slette programmer, installere sikkerhedssoftware, nulstille systemet eller geninstallere Windows eller macOS. Selvom sådanne foranstaltninger kan være nyttige til senere oprydning, kan de også ændre eller ødelægge digitale spor, der kan være afgørende for at rekonstruere et potentielt angreb.

For det første skal der skelnes mellem mistanke og en faktisk verificerbar sikkerhedshændelse. En langsom computer, høj processorforbrug, usædvanlige blæserlyde eller isolerede fejlmeddelelser beviser ikke et hackingangreb. Ukendte brugerkonti, uautoriserede logins, uforklarlig fjernvedligeholdelsessoftware, ændrede sikkerhedsindstillinger eller usædvanlig netværksaktivitet kan derimod berettige en mere grundig undersøgelse.

Hvis der er en konkret mistanke, skal to mål vejes mod hinanden: at begrænse yderligere skade og bevare eksisterende digitale spor så meget som muligt. Hvilken foranstaltning der har forrang, afhænger af, om angrebet muligvis stadig er i gang, om følsomme data er påvirket, om adgangsdata er blevet stjålet, eller om computeren skal undersøges retsmedicinsk senere.

Hvad skal jeg gøre med det samme, hvis min computer muligvis er blevet hacket?

Først skal du dokumentere så præcist som muligt, hvad du har bemærket. Notér dato og omtrentligt tidspunkt, eventuelle usædvanlige meddelelser, mistænkelige programmer, ukendte logins eller andre ændringer.

Hvis det er muligt, så fotografer eller dokumenter enhver usædvanlig skærmaktivitet. Slet ikke mistænkelige e-mails, filer eller programmer for hurtigt, hvis hændelsen skal undersøges senere.

For en computer, der bruges til erhvervsmæssige formål, bør du også informere den ansvarlige IT- eller sikkerhedsafdeling og ikke selv foretage omfattende ændringer i systemet.

Skal jeg straks afbryde forbindelsen til en potentielt hacket computer fra internettet?

I tilfælde af mistanke om et igangværende angreb kan afbrydelse af netværksforbindelsen bidrage til at afbryde yderligere kommunikation med eksterne systemer og begrænse yderligere datalækage.

I forbindelse med en retsmedicinsk undersøgelse kan en aktiv netværksforbindelse dog samtidig give værdifuld information. Aktive forbindelser, processer og data i hukommelsen kan indeholde spor til et igangværende angreb.

Derfor findes der ingen universel løsning. Netværksisolering kan være passende for en privat computer med en akut sikkerhedsrisiko. I tilfælde af en alvorlig virksomhedshændelse bør beslutningen ideelt set træffes af IT-sikkerhedseksperter eller retsmedicinske eksperter.

Skal jeg slukke computeren med det samme?

Ikke automatisk.

Når computeren lukkes ned, mistes flygtige oplysninger fra hukommelsen. Dette kan omfatte kørende processer, aktive netværksforbindelser, dekrypteret indhold og andre oplysninger, der kan være relevante i en retsmedicinsk undersøgelse.

På den anden side kan et kompromitteret system, der fortsætter med at fungere, forårsage yderligere ændringer.

I tilfælde af en alvorlig hændelse, hvor der er behov for bevismateriale, bør der derfor, hvis muligt inden strømmen afbrydes, træffes en beslutning om, hvorvidt flygtige data skal gemmes.

Hvorfor kan RAM være vigtigt i et hackerangreb?

Hukommelsen på en løbecomputer kan indeholde information, der ikke længere er tilgængelig, når den er slukket.

Dette kan omfatte kørende processer, netværksforbindelser, indlæste moduler og andre ustabile systemoplysninger.

I visse angreb kan RAM-backup derfor være en vigtig del af bevarelsen af ​​retsmedicinske beviser.

Skal jeg genstarte min computer?

I tilfælde, hvor der potentielt er behov for bevis, bør dette helst ikke ske uden forudgående overvejelse.

En genstart afslutter processer, sletter flygtige hukommelsesoplysninger og genererer samtidig nye systemhændelser.

Dette kan ændre den oprindelige situation.

Skal jeg køre et antivirusprogram?

Hvis det eneste mål er at rydde op i systemet så hurtigt som muligt, kan sikkerhedssoftware være nyttig.

Situationen er anderledes i en planlagt retsmedicinsk undersøgelse. En virusscanner kan slette, ændre eller sætte filer i karantæne og derved ændre det oprindelige bevismateriale.

Derfor bør der inden enhver automatisk oprydning træffes en beslutning om, hvorvidt en retsmedicinsk backup er nødvendig.

Skal jeg afinstallere mistænkelige programmer?

Ikke hvis hændelsen skal undersøges.

En mistænkelig applikation kan i sig selv være et vigtigt objekt for undersøgelse. Afinstallation af den kan ændre eller fjerne programfiler, konfigurationer, logfiler og andre artefakter.

Skal jeg slette mistænkelige filer?

Heller ikke hvis der er en legitim interesse i at fremskaffe beviser.

En mistænkelig fil kan indeholde oplysninger om dens oprindelse, filtype, hashværdi eller andre tekniske egenskaber.

Den bør undersøges omhyggeligt og ikke blot åbnes eller slettes.

Skal jeg geninstallere Windows eller macOS?

Ikke før en planlagt retsmedicinsk undersøgelse.

En ny installation ændrer store områder af databæreren og kan overskrive eksisterende spor.

Hvis det er nødvendigt først at fastslå, om og hvordan computeren er blevet kompromitteret, bør bevismaterialet sikres inden en ny installation.

Skal jeg nulstille computeren til fabriksindstillingerne?

Selv en nulstilling kan ændre eller fjerne betydelige mængder data.

For blot at gendanne et sikkert system kan dette være en mulighed senere. For at rekonstruere et potentielt angreb er en nulstilling, før bevismateriale er sikret, dog problematisk.

Skal jeg ændre mine adgangskoder?

Hvis adgangsdata kan være blevet kompromitteret, bør vigtige adgangskoder ændres.

Brug om muligt en anden betroet enhed til dette. Hvis den mistænkelige computer faktisk er kompromitteret, bør nye loginoplysninger ikke indtastes unødvendigt på det specifikke system.

Hvilke adgangskoder skal jeg ændre først?

Den centrale e-mailkonto prioriteres ofte, fordi adgangskoder til andre tjenester kan nulstilles via den.

Afhængigt af situationen bør Microsoft-, Google- eller Apple-konti, virksomhedsbrugerkonti, cloud-tjenester, bank- og betalingstjenester derefter kontrolleres.

Hvis den samme adgangskode er blevet brugt til flere tjenester, skal disse konti også tages i betragtning.

Skal jeg aktivere tofaktorgodkendelse?

Ja, forudsat at den respektive tjeneste understøtter passende tofaktorgodkendelse.

Det hindrer adgang betydeligt med en stjålet adgangskode. Det erstatter dog ikke kontrol af, om uautoriserede sessioner eller andre adgangsmetoder allerede findes.

Hvordan kan jeg se, om min computer er blevet hacket?

Der er ingen enkelt karakteristik, der pålideligt beviser et hackingangreb.

Mistænkelige tegn kan omfatte ukendte brugerkonti, uforklarlige administratorrettigheder, fremmede fjernvedligeholdelsesprogrammer, usædvanlige autostart-poster, deaktiverede sikkerhedsfunktioner, ukendte browserudvidelser eller uforklarlige logins.

Imidlertid skal hvert af disse fund klassificeres ud fra et teknisk perspektiv.

Er en langsom computer et tegn på et hackerangreb?

Ikke alene.

En computer kan blive langsom på grund af softwareopdateringer, utilstrækkelig ledig hukommelse, baggrundsprocesser, hardwareproblemer eller mange andre årsager.

Lav ydeevne er derfor ikke et pålideligt bevis på et kompromis.

Er højt CPU-forbrug mistænkeligt?

Det kan være grundlag for en undersøgelse, men det har adskillige harmløse årsager.

Browsere, opdateringer, synkroniseringstjenester, videoredigering og andre programmer kan generere høj processorbelastning.

Den afgørende faktor er, hvilken proces der forårsager den høje kapacitet, og om der er andre anomalier.

Er høj netværkstrafik en indikation af et hackerangreb?

Usædvanlig datatrafik kan være sikkerhedsrelevant, men det er ikke nødvendigvis tegn på et angreb.

Cloud-synkronisering, sikkerhedskopier, opdateringer og streaming kan overføre store mængder data.

For en pålidelig evaluering skal der tages hensyn til målsystemer, processer, timing og andre netværksdata.

Hvad betyder ukendte brugerkonti?

En virkelig ukendt brugerkonto med udvidede rettigheder kan være relevant.

Operativsystemer og installeret software kan dog også oprette tekniske servicekonti.

Derfor bør det først fastslås, hvornår og hvordan den pågældende konto blev oprettet.

Hvad betyder en ukendt administrator?

En uforklarlig konto med administratorrettigheder fortjener særlig opmærksomhed.

Den blotte betegnelse som administrator beviser dog ikke et angreb. De afgørende faktorer er oprindelsestidspunktet, brugen og andre systemspor.

Hvad betyder "ukendt fjernvedligeholdelsessoftware"?

Fjernskrivebord og fjernvedligeholdelsesprogrammer tillader grundlæggende at betjene en computer eksternt.

Sådan software bruges både legitimt og misbrugende.

Hvis en fjernvedligeholdelsesapplikation er til stede uden nogen åbenlys grund, bør det undersøges, hvornår den blev installeret, hvad dens konfiguration er, og om der kan spores tegn på brug.

Kan nogen styre min computer på afstand?

Ja, hvis de nødvendige tekniske krav er opfyldt.

Dette kan omfatte legitim fjernvedligeholdelsessoftware, kompromitterede brugerkonti, malware eller udnyttede sikkerhedssårbarheder.

Hvilken mulighed der er i en specifik sag, kan kun vurderes ud fra den tilgængelige dokumentation.

Kan nogen i hemmelighed tænde mit webcam?

Software med de nødvendige tilladelser kan generelt få adgang til et webcam.

Hvorvidt en sådan adgang rent faktisk har fundet sted, kan ikke udledes udelukkende ud fra antagelser.

Afhængigt af systemet kan processer, applikationer og andre artefakter undersøges.

Er det muligt for nogen i hemmelighed at bruge min mikrofon?

Mikrofonadgang er også teknisk muligt, hvis en applikation har de nødvendige rettigheder, eller hvis sikkerhedsmekanismer er blevet overvundet.

Konkrete beviser kræver dog tekniske beviser.

Kan en hacker se mine filer?

Hvis en angriber har opnået tilstrækkelige adgangsrettigheder til systemet, kan filer også blive påvirket.

Det faktiske omfang afhænger af den opnåede bruger- eller systemadgang og af eksisterende krypteringsmekanismer.

Er det muligt at se, om filer er blevet åbnet?

Under visse betingelser kan operativsystem-, filsystem- og programartefakter give spor om brugen af ​​specifikke filer.

Det er dog ikke muligt at udarbejde en fuldstændig dokumentation for alle filer og alle systemer.

Er det muligt at afgøre, om filer er blevet kopieret?

I nogle tilfælde kan filsystemspor, USB-artefakter, cloudaktivitet, programdata eller andre oplysninger give spor til en mulig kopieringshandling.

Et enkelt fund bør ikke overfortolkes.

Er det muligt at afgøre, om data er blevet kopieret til en USB-stick?

Et operativsystem kan gemme oplysninger om tilsluttede USB-enheder.

Bevis for, at en bestemt USB-stick blev tilsluttet, beviser dog ikke i sig selv en filoverførsel.

Yderligere oplysninger om fil, tidspunkt og lagringsmedie kan være nødvendige for teknisk at understøtte en potentiel kopieringshandling.

Er det muligt at afgøre, om data er blevet uploadet til en sky?

Afhængigt af cloudtjenesten og de tilgængelige data kan lokale synkroniseringsartefakter, browserdata, logfiler eller oplysninger om cloudaktivitet være relevante.

I komplekse tilfælde kan det relevante cloud-miljø derfor undersøges ud over computeren.

Er det muligt at afgøre, om nogen har læst mine e-mails?

I tilfælde af en kompromitteret e-mailkonto kan login- og sessionsoplysninger give vigtige spor.

Regler for videresendelse eller ændrede kontoindstillinger kan også være relevante.

Derfor bør undersøgelsen ikke begrænses udelukkende til computeren, hvis der er mulighed for misbrug af kontoen.

Kan et hackerangreb kun påvirke min brugerkonto?

Ja.

Ikke alle angiveligt hackede computere er faktisk kompromitteret på operativsystemniveau.

Nogle gange blev kun loginoplysninger til e-mail, Microsoft 365, Google, cloudtjenester eller andre onlinekonti stjålet.

Enhedskompromittering og kontokompromittering skal derfor undersøges separat.

Hvordan kan jeg identificere uautoriserede registreringer?

Mange onlinetjenester leverer oplysninger om aktive sessioner, enheder, du er logget ind på, eller aktuelle sikkerhedshændelser.

Ukendte posteringer skal dokumenteres.

En usædvanlig placering eller en ukendt IP-adresse er dog ikke automatisk et bevis på et angreb, da f.eks. VPN, mobilnetværk eller dynamiske IP-adresser kan påvirke visningen.

Kan en IP-adresse identificere hackeren?

Ikke automatisk.

En IP-adresse kan i starten kun beskrive en teknisk forbindelse på et bestemt tidspunkt.

VPN-tjenester, proxyservere, kompromitterede systemer, virksomhedsnetværk og andre tekniske faktorer kan komplicere tilskrivningen betydeligt.

Hvad er Malware?

Malware er en samlet betegnelse for skadelig software.

Dette omfatter for eksempel trojanske heste, spyware, ransomware og andre programmer, der kan udføre uønskede eller skadelige funktioner.

Hvad er en trojansk hest?

En trojansk hest er en type malware, der ofte forklæder sig som en legitim fil eller et legitimt program, eller som køres sammen med tilsyneladende legitimt indhold.

De specifikke funktioner kan variere meget.

Hvad er spyware på en computer?

Spyware forsøger at indsamle oplysninger om systemet eller brugeren.

Afhængigt af malwaren kan filer, browseroplysninger, input eller andre data blive påvirket.

Hvad er en keylogger?

En keylogger registrerer tastetryk.

Det kan implementeres som software eller, i visse tilfælde, som hardware.

Software-keyloggere kan for eksempel bruges til at stjæle loginoplysninger.

Hvad er ransomware?

Ransomware er skadelig software, der låser eller krypterer data eller systemer, og som ofte er forbundet med et krav om løsesum.

I tilfælde af en ransomware-hændelse bør arbejdet på de berørte systemer ikke fortsætte på en ukoordineret måde, da udover gendannelse kan analyse af rodårsagen og mulige datalækager også være relevante.

Hvad er en informationstyver?

Infotyveri er ondsindede programmer, der specifikt kan indsamle oplysninger fra et system.

Afhængigt af malwaren kan dette f.eks. omfatte browserdata, gemte logindata, cookies eller andre oplysninger.

Hvorfor er stjålne browsersessioner problematiske?

En angriber behøver ikke den faktiske adgangskode i alle scenarier.

Visse sessionsoplysninger kan misbruges til at overtage allerede godkendte konti.

Derfor er det muligvis ikke tilstrækkeligt at ændre en adgangskode alene i tilfælde af visse angreb.

Hvad er en bagdør?

En bagdør henviser til et skjult eller utilsigtet adgangspunkt til et system.

Angribere kan forsøge at etablere sådanne adgangspunkter for at kunne få adgang til et kompromitteret system igen på et senere tidspunkt.

Hvad betyder vedholdenhed?

Persistens beskriver mekanismer, hvormed malware eller en angriber forsøger at opretholde adgang, selv efter en genstart eller logout.

Dette kan involvere misbrug af f.eks. autostartmekanismer, tjenester, planlagte opgaver eller andre systemfunktioner.

Hvad undersøger malware-forensik?

Malware -forensik undersøger mistænkelige filer, programmer og systemartefakter for tegn på malware og dens mulige aktiviteter.

Målet er ikke blot at finde en mistænkelig fil, men at forstå dens tekniske forbindelse til det berørte system.

Hvad undersøger IT-forensik i tilfælde af mistanke om hacking?

Afhængigt af spørgsmålet kan databærere, filsystemer, brugerkonti, systemlogfiler, browserdata, programmer, autostartmekanismer, USB-artefakter, netværksspor og andre digitale oplysninger undersøges.

IT- forensik har ikke til formål at bekræfte en eksisterende mistanke for enhver pris. Formålet er at bestemme, baseret på tilgængelige tekniske data, hvilke processer der rent faktisk kan spores.

Hvordan foregår en retsmedicinsk undersøgelse af en computer?

Først dokumenteres systemets tilstand, og det specifikke forskningsspørgsmål defineres.

Afhængigt af hændelsen kan det være nødvendigt at sikkerhedskopiere flygtige data. Efterfølgende sikkerhedskopieres den relevante databærer eller datasæt på en kontrolleret måde, hvis det er muligt.

Den egentlige analyse udføres derefter på de sikkerhedskopierede data og ikke ved vilkårlig søgning i det oprindelige system.

Hvorfor laves en retsmedicinsk kopi?

Retsmedicinsk bevaring muliggør analyse af et defineret datasæt uden unødvendigt at ændre det originale bevismateriale gennem efterfølgende undersøgelse.

Afhængigt af databæreren og metoden kan der indfanges betydeligt mere information end med en normal filkopi.

Hvad er betydningen af ​​hashværdier?

Kryptografiske hashværdier kan bruges til at verificere integriteten af ​​et sikret datasæt.

Dette muliggør senere verifikation af, om den undersøgte sikring har ændret sig i forhold til den dokumenterede referencetilstand.

Hvad er sporbarhedskæden?

Sporbarhedskæden beskriver den sporbare beviskæde.

For eksempel dokumenterer den, hvornår en computer eller et datamedie blev erhvervet, sikkerhedskopieret og undersøgt, og hvem der håndterede det.

Denne sporbarhed er særligt vigtig i undersøgelser af bevismateriale.

Hvilke digitale spor kan afsløre et hackingangreb?

Afhængigt af angrebet kan relevante faktorer omfatte usædvanlige loginhændelser, mistænkelige processer, nye brugerkonti, autostart-poster, ukendte programmer, ændrede systemkonfigurationer, netværksforbindelser eller mistænkelige filer.

Et pålideligt fund fremkommer ofte kun ved kombinationen af ​​flere uafhængige spor.

Hvorfor er et enkelt mistænkeligt fund ofte ikke nok?

Mange tekniske artefakter kan have både legitime og misbrugsmæssige årsager.

Fjernvedligeholdelsessoftware kan for eksempel være installeret af brugeren, konfigureret af IT-udbyderen eller misbrugt af en angriber.

Kun installation, konfiguration, brugstider og andre systemspor muliggør en mere pålidelig klassificering.

Hvad betyder korrelation i forbindelse med et hackerangreb?

Korrelation betyder at sammenligne forskellige digitale spor med hinanden med hensyn til tid og teknologi.

Et mistænkeligt login kan for eksempel falde sammen med download af en fil, kørsel af et program og derefter forbindelse til et netværk.

Flere matchende artefakter kan understøtte en mulig rækkefølge af begivenheder meget bedre end et enkelt fund.

Kan det fastslås, hvornår computeren blev hacket?

Under gunstige forhold kan den mulige tidsramme for et kompromis indsnævres.

Til dette formål kan f.eks. fil-, log-, bruger-, program- og netværkshændelser sammenlignes.

Det er dog ikke muligt at fastslå et præcist tidspunkt i alle tilfælde.

Kan det fastslås, hvordan angriberen fik adgang til computeren?

Delvist.

Mulige indgangspunkter omfatter phishing, kompromitterede loginoplysninger, malware, fjernvedligeholdelsesprogrammer eller udnyttede sikkerhedssårbarheder.

Om den oprindelige angrebssti stadig kan rekonstrueres, afhænger af de indhentede data.

Kan det fastslås, hvad hackeren har gjort?

Under visse betingelser kan bruger-, fil-, program- og netværksaktiviteter rekonstrueres.

Der findes dog normalt ikke en fuldstændig og uafbrudt registrering af alle handlinger.

Undersøgelsen kan derfor kun fremsætte udsagn, der understøttes af de tilgængelige data.

Kan det fastslås, hvilke data der blev stjålet?

Dette er et af de mest udfordrende spørgsmål at besvare i en sikkerhedshændelse.

Spor kan f.eks. opstå fra filaktivitet, arkiver, cloudtjenester, USB-brug eller netværksdata.

En fuldstændig registrering af hver transmitteret byte er dog ikke mulig med alle systemer.

Er det muligt at afgøre, om der er brugt en USB-stick?

Under visse betingelser gemmer operativsystemer oplysninger om tilsluttede USB-enheder.

Disse kan indeholde oplysninger om producent, produkt eller serie samt tidsoplysninger.

Dog er det ikke sådan, at der er datalækage, blot fordi der er tilsluttet en datalagringsenhed.

Kan det afgøres, om angriberen har slettet nogen filer?

Afhængigt af filsystemet og eksisterende artefakter kan der være indikationer på slettede filer eller tidligere fileksistenser.

Det kræver dog yderligere oplysninger at kunne tilskrive en sletning til en bestemt person eller handling.

Kan slettede filer gendannes?

Ja, under visse betingelser.

Om gendannelse er mulig afhænger blandt andet af lagringsmediet, filsystemet, krypteringen, TRIM-funktionerne og eventuel midlertidig brug.

Derfor kan en fuldstændig restaurering generelt ikke garanteres.

Hvorfor er en SSD særligt problematisk, når data slettes?

Moderne SSD'er bruger funktioner som TRIM og intern hukommelsesstyring.

Dette gør det muligt at håndtere slettede lagerområder anderledes fra et teknisk perspektiv sammenlignet med traditionelle magnetiske harddiske.

Den traditionelle forestilling om, at enhver slettet fil nemt kan rekonstrueres fra ledig lagerplads, er derfor ikke længere opdateret.

Kan en hacker slette deres spor?

Angribere kan forsøge at fjerne filer, logfiler eller andre spor.

Dette betyder dog ikke nødvendigvis, at al evidens forsvinder. Andre datakilder kan stadig indeholde oplysninger om bestemte processer.

Hvad betyder et negativt retsmedicinsk fund?

Et negativt fund betyder, at der ikke blev fundet pålidelige beviser for det pågældende problem i det undersøgte datasæt.

Det beviser ikke automatisk, at der ikke har fundet et angreb sted på et tidligere tidspunkt.

Hvorfor kan et hackingangreb være vanskeligere at bevise senere?

Computere ændrer løbende deres data under normal drift.

Logfiler overskrives, midlertidige filer fjernes, software opdateres, og ledige hukommelsesområder genbruges.

Jo længere tid der er gået, og jo mere intensivt systemet fortsat bruges, desto mere kan beviserne ændre sig.

Hvilke oplysninger skal jeg gemme til en eksamen?

Gem alle mistænkelige e-mails, beskeder, filer og eksisterende sikkerhedsadvarsler.

Notér eventuelle uregelmæssigheder med dato og klokkeslæt, og dokumentér eventuelle ukendte logins eller enheder.

I tilfælde af en virksomhedshændelse kan firewall-, VPN-, server-, cloud- og andre centrale logfiler også være relevante.

Hvorfor kan cloud-logfiler være vigtige?

Mange aktiviteter foregår i dag ikke udelukkende på den lokale computer.

Microsoft 365, Google Workspace, cloudlagring og andre tjenester kan have deres egne login- og aktivitetsoplysninger.

Disse data kan supplere en lokal undersøgelse.

Hvorfor kan firewall- og VPN-logfiler være vigtige?

De kan indeholde yderligere oplysninger om netværksforbindelser og fjernadgang.

Især i virksomhedshændelser kan kombinationen af ​​slutenheds- og centrale netværksdata være afgørende.

Hvor hurtigt skal en hacket computer undersøges?

Hvis der er et specifikt behov for bevis, bedes du kontakte os hurtigst muligt.

Det betyder ikke, at data automatisk slettes hvert minut. Fortsat brug ændrer dog løbende dataene.

I tilfælde af et igangværende angreb kan hurtig skadekontrol også være nødvendig.

Hvad er særligt vigtigt ved en virksomhedscomputer?

En kompromitteret arbejdscomputer kan være en del af en større sikkerhedshændelse.

Det bør derfor kontrolleres, om andre systemer, brugerkonti, servere, cloudtjenester eller netværkskomponenter kan være påvirket.

Det kan være utilstrækkeligt udelukkende at fokusere på den synlige arbejdsstationscomputer i tilfælde af et komplekst angreb.

Hvad er de mest kritiske aspekter ved administratorkonti?

Administratorkonti har omfattende rettigheder.

Hvis de tilsvarende adgangsdata er blevet kompromitteret, kan en angriber muligvis få adgang til yderligere systemer eller data.

Sådanne hændelser bør derfor inddæmmes med særlig omhu.

Hvad skal man overveje i tilfælde af et potentielt databrud?

Først bør det præciseres, hvilke data der var teknisk tilgængelige, og hvilke specifikke spor der indikerer en overførsel.

Det faktum, at en angriber teoretisk set havde adgang til en fil, beviser ikke automatisk, at den faktisk blev overført.

Denne sondring er afgørende, når man vurderer en potentiel datalækage.

Hvornår skal en ekspert konsulteres?

I komplekse eller omstridte tekniske sager kan en ekspertundersøgelse være nyttig, især hvis resultaterne senere skal præsenteres på en forståelig måde for virksomheder, forsikringsselskaber, advokater eller domstole.

Ved relevante tekniske spørgsmål kan et ekspertkontor inden for IT og mobilforensik konsulteres.

Kan IT-retsmedicin identificere gerningsmanden?

Ikke automatisk.

IT-forensik kan undersøge tekniske relationer, brugerkonti, enheder, forbindelser og andre digitale spor.

Den utvetydige tilskrivning af en teknisk handling til en specifik fysisk person kan kræve yderligere undersøgelser.

Kan IT-efterforskning bevise, at min computer er blevet hacket?

Hvis der foreligger passende teknisk bevismateriale, kan en undersøgelse give afgørende bevis for en kompromittering eller i væsentlig grad understøtte en tilsvarende mistanke.

I andre tilfælde kan resultatet kun være en indsnævring eller et negativt fund.

En seriøs undersøgelse lover derfor ikke et forudbestemt resultat.

Kan IT-forensik også fastslå, at der ikke har fundet et hackingangreb sted?

En undersøgelse skal foretages uden at foregribe resultatet.

Tekniske uregelmæssigheder kan også forklares med legitim software, fejlkonfigurationer, brugerhandlinger eller hardwareproblemer.

Derfor bør en mistanke hverken automatisk bekræftes eller afkræftes uden undersøgelse.

Praktisk eksempel: Ukendt fjernvedligeholdelsessoftware

En bruger opdager et fjernvedligeholdelsesprogram på sin computer, som han ikke er bekendt med.

Selve opdagelsen beviser ikke i sig selv et hackingangreb.

Undersøgelsen undersøger derfor, hvornår softwaren blev installeret, hvilken konfiguration der er til stede, og om andre systemartefakter giver bevis for faktisk brug.

Kun disse yderligere oplysninger muliggør en mere pålidelig vurdering.

Praktisk eksempel: Mistænkelig e-mailvedhæftning

En medarbejder åbner en ukendt vedhæftet fil og bemærker kort efter usædvanlig aktivitet på sin computer.

I forbindelse med en undersøgelse kan den oprindelige e-mail, den vedhæftede fil, systemhændelser, processer, filer og netværksspor være relevante.

Hvis systemet geninstalleres med det samme, kan dele af dette bevismateriale gå tabt.

Praktisk eksempel: Ukendt login til en Microsoft-konto

En bruger opdager et ukendt login og har derfor mistanke om en hacket computer.

Undersøgelsen kan vise, at det ikke selve computeren, men kun onlinekontoen, blev kompromitteret.

Dette eksempel viser, hvorfor der skal skelnes mellem kompromittering af enheder og konti.

Praktisk eksempel: Mistanke om datatyveri

En virksomhed har mistanke om, at fortrolige filer er blevet lækket fra en arbejdscomputer.

En retsmedicinsk undersøgelse kan for eksempel sammenligne filadgang, tilsluttede USB-enheder, cloud-applikationer og andre relevante artefakter.

Kun korrelationen af ​​flere datakilder kan muliggøre en mere pålidelig teknisk rekonstruktion.

FAQ: Computerhacker – hvad skal man gøre?

Hvad skal jeg gøre først, hvis jeg tror, ​​at min computer er blevet hacket?

Dokumentér eventuelle specifikke uregelmæssigheder og undgå unødvendige ændringer. I tilfælde af et øjeblikkeligt angreb skal der samtidig undersøges foranstaltninger til at afbøde skaden.

Skal jeg slukke den hackede computer med det samme?

Ikke automatisk. Når computeren slukkes, går flygtige oplysninger tabt fra RAM'en, hvilket kan være relevant for en undersøgelse.

Skal jeg afbryde forbindelsen til internettet med computeren?

Netværksisolering kan være nyttig under et igangværende angreb. I komplekse eller bevismæssige hændelser bør denne foranstaltning implementeres på en kontrolleret måde.

Skal jeg genstarte min computer?

Hvis der er en legitim interesse i at indhente beviser, bør dette helst ikke ske uden forudgående overvejelse, da dette kan resultere i tab af ustabile data.

Skal jeg køre en virusscanning med det samme?

Ikke nødvendigvis før en planlagt retsmedicinsk backup. En virusscanner kan ændre, slette eller sætte filer i karantæne.

Skal jeg slette mistænkelige programmer?

Ikke hvis hændelsen skal undersøges senere. Programmet og dets data kan indeholde vigtige spor.

Skal jeg geninstallere Windows?

Ikke før en planlagt bevisbevaring. En ny installation kan overskrive relevante data.

Skal jeg ændre mine adgangskoder?

Hvis der er mistanke om kompromitterede logindata, ja, helst via en anden betroet enhed.

Hvilken adgangskode skal jeg ændre først?

Den centrale e-mailkonto bør ofte prioriteres, fordi den kan bruges til nulstilling af adgangskoder til andre tjenester.

Er en langsom computer et bevis på et hackerangreb?

Nej. En langsom computer kan have adskillige andre årsager.

Er høj CPU-brug et tegn på malware?

Ikke nødvendigvis. Det, der betyder noget, er, hvilken proces der forårsager den høje arbejdsbyrde, og hvilke andre anomalier der er til stede.

Kan nogen styre min computer på afstand?

Ja, hvis der findes relevant fjernadgangssoftware, kompromitterede konti, malware eller andre tekniske adgangsmuligheder.

Kan nogen tænde mit webcam?

Software med tilstrækkelige tilladelser kan generelt tilgå et webcam. Om dette rent faktisk er sket, skal undersøges i hvert enkelt tilfælde.

Kan nogen lytte med på min mikrofon?

En sådan softwareadgang er teknisk mulig. Konkret overvågning kan dog ikke udledes heraf uden at efterlade yderligere spor.

Kan det fastslås, hvornår min computer blev hacket?

Under gunstige forhold kan tidsperioden indsnævres ved hjælp af forskellige digitale artefakter.

Kan det fastslås, hvordan hackeren fik adgang?

I nogle tilfælde kan phishing, malware, fjernadgang eller kompromitterede loginoplysninger rekonstrueres som mulige indgangspunkter.

Er det muligt at finde ud af, hvilke filer hackeren har set?

Under visse betingelser kan filsystem- og programartefakter give spor om brugte filer.

Kan det fastslås, hvilke data der blev stjålet?

Nogle gange kan datalækager være teknisk underbyggede eller begrænsede. Det er dog ikke altid muligt at opnå fuldstændig bevis for alle overførte data.

Er det muligt at afgøre, om der er brugt en USB-stick?

Ja, under visse betingelser. Det er dog ikke i sig selv muligt at overføre filer blot ved at tilslutte et USB-stik.

Kan en hacker slette deres spor?

Angribere kan fjerne spor. Andre datakilder kan stadig indeholde spor om hændelsen.

Kan IT-efterforskning identificere en hacker?

Ikke automatisk. Tekniske spor kan undersøges, men en endelig tilskrivning til en fysisk person kan kræve yderligere undersøgelse.

Hvor hurtigt skal computeren undersøges?

Hvis der er et specifikt behov for bevismateriale, bør dette ske hurtigst muligt, da normal videre brug kan ændre eksisterende digitale spor.

Må jeg fortsætte med at bruge computeren indtil eksamen?

Hvis der er en alvorlig interesse i at indhente beviser, bør unødvendig yderligere brug undgås så vidt muligt.

Hvad er vigtigst: at stoppe angrebet eller at sikre beviser?

Det afhænger af den specifikke risiko. I tilfælde af vedvarende, betydelig skade prioriteres skadeskontrol. Hvis angrebet allerede er afsluttet, og senere genopbygning er nødvendig, kan der tillægges større vægt at bevare bevismateriale.

Kan en computer hackes, selvom der ikke findes en virus?

Ja. En hændelse kan f.eks. involvere kompromitterede brugerkonti, legitim fjernvedligeholdelsessoftware eller andre angrebsmetoder, der ikke nødvendigvis genkendes som en klassisk virus.

Kan min konto blive hacket, selvom min computer er ren?

Ja. Kontokompromittering og enhedkompromittering er to forskellige ting.

Hvad betyder det, hvis den retsmedicinske undersøgelse ikke finder noget?

Dette betyder i første omgang, at der ikke blev fundet pålidelige beviser for den påståede hændelse i det undersøgte datasæt. Dette udelukker dog ikke fuldstændigt muligheden for et tidligere angreb i alle tilfælde.

Hvornår er en professionel IT-retsmedicinsk undersøgelse tilrådelig?

En professionel undersøgelse kan være særligt nyttig i tilfælde af specifikke tekniske uregelmæssigheder, potentielle datalækager, økonomisk skade, kompromitterede virksomhedssystemer eller senere bevisbehov.

I tilfælde af mistanke om hacking, slet ikke først, men forstå hændelsen.

Det vigtigste spørgsmål er ikke bare: "Er min computer blevet hacket?", men først og fremmest: "Hvilke konkrete indikationer er der, og hvad er der egentlig sket?"

En langsom computer, høj processorforbrug eller et usædvanligt program er ikke tilstrækkeligt som endegyldigt bevis. Ligeledes ville det være forkert at udelukke et angreb blot fordi en virusscanner ikke registrerer malware.

En sikkerhedshændelse kan påvirke selve computeren, en brugerkonto, en cloudtjeneste eller flere systemer samtidigt. Derfor er det vigtigt først at afgøre, hvilket niveau der kan være påvirket.

I tilfælde af et øjeblikkeligt angreb er det altafgørende at begrænse yderligere skade. Hvis der er en betydelig interesse i at fremlægge beviser, bør det dog tages i betragtning, at slukning, genstart, sletning, virusscanninger og geninstallation af systemet kan ændre dets oprindelige tilstand.

En retsmedicinsk undersøgelse forsøger derfor ikke blot at finde malware. Den rekonstruerer, baseret på tilgængelige data, hvilke aktiviteter der er teknisk verificerbare, hvornår de kan have fundet sted, og hvilke konklusioner de eksisterende spor rent faktisk giver mulighed for.

Især i tilfælde af potentielle datalækager, kompromitterede forretningssystemer eller juridisk relevante hændelser er denne adskillelse mellem mistanke, tekniske fund og faglig vurdering afgørende.

Tilbage til vidensoversigten