For første gang sier PST at Kina står bak et dataangrep

Samtidig er det klart at dataangrepet mot statsforvalterne blir henlagt, selv om PST mener de har funnet etterretningsspor som peker mot Kina.

Litt over 2,5 år etter at Politiets sikkerhetstjeneste (PST) startet en etterforskning av dataangrep mot flere statsforvalterembeter går de nå ut med ny informasjon om hvem som kan stå bak.

– Vi har i denne konkrete saken etterretningsinformasjon som peker i en tydelig retning mot at det er aktøren APT31 som står bak operasjonen mot statsforvaltningsembetene, sier sjef for kontraetterretning Hanne Blomberg i PST til NRK.

– Hva er APT31?

– Akkurat APT31 er en aktør som vi knytter til kinesiske etterretningstjenester, svarer Blomberg.

APT31 er en hackergruppe som er kjent for å ha gjennomført dataangrep både i Norge, Finland, USA og andre steder i verden.

Kontraetterretningssjefen forklarer at PST både samler inn informasjon for å lage trusselvurderinger og forebygge, men også driver med etterforskning. Etterretningen som peker på Kina kunne ikke nødvendigvis vært brukt i en straffesak.

– Hvor sikre er dere på at det er APT31 og Kina?

– Dette er utfordringen med å være en hemmelig tjeneste. Vi har ofte gradert informasjon som vi kan ha samlet inn selv og ikke kan avgradere. Vi kan ha kilder vi ønsker å beskytte eller vi kan ha fått informasjon fra samarbeidende tjenester som vi ikke kan bruke i en etterforskningssak. I denne konkrete saken har vi informasjon som konkret peker i retning av at det er APT31 som står bak, og det er vi ganske sikre på, svarer Blomberg.

– Ubegrunnede anklager

I en e-post sendt til NRK tilbakeviser Kinas ambassade i Norge PSTs opplysninger.

«Kina har aldri deltatt i eller støttet noen i nettangrep, og har alltid resolutt motarbeidet og slått ned på slik oppførsel. Vi er sterkt imot de ubegrunnede anklagene mot Kina».

Videre hevder kineserne i e-posten at Kinas teknologiske utvikling ikke er «avhengig av å stjele eller plyndre, men resultatet av vårt eget harde arbeid».

De anklager PST for å opptre «uansvarlige» i tilsvaret som er sendt fra ambassadens presseavdeling.

«PST innrømmet i intervjuet at det er vanskelig å spore kilden til nettangrep, og bevisene er utilstrekkelige. Det er veldig uansvarlig å spre anklager om «antagelse om skyld» uten å legge frem klare bevis».

Angripere hentet ut data

Det var sommeren 2018 at flere statsforvalterembeter ble utsatt for et omfattende og avansert dataangrep.

Statsforvalterne het den gang fylkesmenn, og angriperne kom seg først inn i datasystemene hos Fylkesmannen i Aust- og Vest-Agder. Derfra klarte de så å ta seg videre til systemer hos fylkesmannsembetene i Hedmark og Oslo og Akershus. Der kom de seg inn i datasystemer som rammet statsforvalter-embeter over hele landet.

Med bakgrunn i omfanget ble saken tatt veldig alvorlig. PST startet etterforskning for å finne ut om det var snakk om spionasje for å stjele statshemmeligheter.

– Statsforvalterne håndterer en rekke ulike opplysninger – både av personsensitiv karakter og også opplysninger om rikets sikkerhet. Det er opplysninger knyttet til forsvar og beredskap for eksempel. Det er noe av grunnen til at man har vært bekymret, og grunnen til at PST har etterforsket denne saken, sier politiadvokat Kathrine Tonstad i PST.

Statsforvalterne behandler blant annet nordmenns helseopplysninger fordi fylkeslegens kontor er en del av embetet. Også sensitive opplysninger fra barnevernssaker behandles der, og statsforvalterne har et koordinerende beredskapsansvar.

Etterforskningen har ifølge PST vist at det ble hentet ut data, men de kan ikke slå fast om det var informasjon som berører rikets sikkerhet.

– Vi ser at aktøren har tatt seg inn i ulike statsforvalterembeter, skaffet seg tilgang til data og stjålet ut noe data. Vi tror det de har stjålet ut er brukernavn og passord til ansatte hos statsforvalterne, sier politiadvokat Tonstad.

Ifølge en gjennomgang av dataangrepet ble det hentet ut 1,2 gigabyte med data, viser en rapport laget av Forsvarets forskningsinstitutt (FFI), på oppdrag fra Justisdepartementet.

Henlegges

Nå er etterforskningen avsluttet og saken henlegges på bevisets stilling.

Begrunnelsen er at PST ikke har nok åpne opplysninger om hvilken aktør som står bak til at de kunne tatt saken til retten.

– Beviskravene i strafferetten er strenge, og for at vi skal kunne peke på en aktør i en straffesak må vi ha sikre holdepunkter. Det har vi ikke i denne saken, sier PSTs politiadvokat Kathrine Tonstad.

– Hvorfor er det så vanskelig å bevise?

– Det vi ser er at det er tale om et avansert og profesjonelt dataangrep. Det er det ofte i disse tilfellene, og det er ofte vanskelig å følge spor som går gjennom mange land og det er sofistikert utført. Derfor er det vanskelig å kunne bevise hvem som står bak, svarer Tonstad.

Kom seg inn via hjemmekontor-løsning

PST opplyser til NRK at man antar at angriperne kom seg inn i datasystemene til statsforvalterne via et system for fjernpålogging. Dette nevnes også i FFI-rapporten om angrepet.

Slike systemer kan for eksempel være VPN-løsninger, som det siste året har blitt brukt av stadig flere på grunn av mer hjemmekontor under pandemien.

– Denne aktøren, APT31, er kjent for å bruke luremeldinger på e-post, omtalt som «phishing», for å få ansatte til å oppgi brukernavn og passord. Så kan de igjen bruke de opplysningene for å logge på VPN-løsninger, forklarer leder for sikkerhetstjenester Erik Alexander Løkken i det norske sikkerhetsselskapet Mnemonic til NRK.

Løkken forklarer at slike avanserte statlige digitale trusselaktører, ofte omtalt som APT (advanced persistent threat), bruker tid på å kartlegge de som skal angripes. De undersøker hvem som jobber der, hvilke type datasystemer som brukes og om det er noen systemer som har sikkerhetshull som ikke er fikset ennå.

Mnemonic driver både med forebyggende sikkerhet for en rekke ulike bedrifter, men bistår også selskaper etter at de har vært utsatt for et dataangrep. Derfor følger de nøye med på hva fienden har av metoder og kjennetegn for å finne måter å beskytte seg på.

– Det er kjent at APT31 bruker en bakdør-programvare som har mulighet til å laste opp data til kjente fildelingstjenester som Dropbox, Microsoft OneDrive og tilsvarende, sier Løkken til NRK.

Dette stemmer også med de få opplysningen som er kjent om angrepet mot statsforvalterne.

I FFI-rapporten om dataangrepet kommer det fram at angriperne stjal data og kopierte dem ut til Dropbox.

Gruppe med koblinger til Kinas statsapparat

Gruppen som PST nå peker på omtales som APT31, men har også fått andre navn som Zirconium, Bronze Vinewood og Judgement Panda.

Det siste navnet har gruppen fått av sikkerhetsselskapet Crowdstrike, som har ulike panda-navn på grupper de knytter til Kina. I sikkerhetsmiljøet internasjonalt har APT31 av noen blitt omtalt som styrt av det kinesiske departementet for statssikkerhet (Ministry of State Security MSS).

– Denne trusselaktøren kobles av en del til det nasjonale departementet for statssikkerhet i Kina. Da vil de gjerne gjøre angrep på oppdrag fra dem, og gå mot spesifikke mål, sier Erik Alexander Løkken hos Mnemonic.

– Hvordan har man klart å gjøre en slik kobling?

– Flere sikkerhetsselskaper har koblet APT31 til kinesiske myndigheter i undersøkelsene av ulike dataangrep og hendelser der gruppen har vært involvert. Denne koblingen er ofte gjort ved at man ser at gruppen bruker de samme verktøyene som kinesiske myndigheter er kjent for å bruke, svarer eksperten fra Mnemonic.

Løkken forklarer at det er godt kjent at slike kinesiske hackergrupper har vært aktive de siste tiårene. De har systematisk stjålet informasjon som ledd i industrispionasje rundt våpenteknologi, medisiner og også angrep rettet mot enkeltpersoner.

APT31 har de senere årene blitt koblet til flere dataangrep i ulike land:

• Finland pekte i mars i år på APT31 etter dataangrep mot den finske nasjonalforsamlingen.
• Både Google og Microsoft har uttalt at gruppen målrettet seg mot ansatte i Joe Bidens valgkamp-apparat under valget i USA i 2020.
• Det norske programvareselskapet Visma ble utsatt for et angrep i 2018/2019, som sikkerhetseksperter mener APT31 kan stå bak.

APT31 er likevel ikke kjent for å bruke de mest kompliserte metodene.

– APT31 er ikke kjent for å være av de mest avanserte trusselaktørene, men en som kanskje jobber i tidligere faser med å innhente masse informasjon. Det kan hende denne informasjonen så brukes av andre grupper som er knyttet til det kinesiske statsapparatet i nye og mer avanserte angrep, sier Løkken.

NRK har bedt om en kommentar fra Kinas ambassade i Norge, men har enn så lenge ikke mottatt noe svar.

Nupi-forsker: – Voksende bekymring med angrep fra statlige aktører

Seniorforsker Karsten Friis ved Norsk utenrikspolitisk institutt (Nupi) forsker og følger med på dataangrep, cyberoperasjoner og forholdet mellom land i verden på feltet.

Nupi-forskeren forklarer at flere av verdens stormakter som Kina, Russland og andre land over tid har brukt dataangrep og hacking som digitale våpen mot hverandre og for å spionere.

– Hvorfor gjør Kina dette angrepet mot statsforvalterne da?

– Jeg vil anta at de kan være interessert i sentrale personer som jobber der. For det kan være sentrale personer i norsk politikk og samfunnsliv.

– Vil slike angrep være godkjent fra høyere hold i landet?

– Vi må anta det, men vi vet det ikke sikkert. Siden dette er sikkerhetsorganisasjoner og sensitive spørsmål må vi anta at de ikke opererer helt fritt.

Han sier at bruken av hacking har blitt mer utbredt mellom stater.

– Det har vært en voksende bekymring rundt dataangrep over flere år. Tidligere var det mer kriminelle aktører, men nå er statlige aktører blitt en større sikkerhetsutfordring. De går på sikkerhetsinstitusjoner og demokratiske institusjoner. Det er en trend vi har sett de siste årene, sier Friis til NRK.

Kina har tidligere vært kjent for å stjele informasjon som kan hjelpe egne selskaper og egen teknologiutvikling. Friis forklarer at de gjerne har utnyttet mulighetene fordi spionasje gjennom datamaskiner er enklere enn på de mer gammeldagse metodene. Så i nyere tid har de også angrepet statsapparatet og parlamenter.

Nupi-forskeren mener det er riktig av Norge å peke tydelig på Kina om man har god nok info om at det kan være de som står bak.

Og han synes det er interessant at man for første gang peker så tydelig i en konkret sak.

– I Norge er det første gang Kina nevnes av myndighetene. Vi har hørt om Russland tidligere etter dataangrepet mot Stortinget, men ikke Kina. Det har bare vært spekulert tidligere om Kina kunne stå bak angrep, blant annet etter angrepet mot Helse sør-øst. Dette er derfor første gang Kina nevnes eksplisitt av norske myndigheter, sier Friis.