Er computeren hacket? Tekniske tegn og hvad der sikres først

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Det kan sjældent afgøres ud fra symptomer som en langsom computer, pop-ups eller en blæser, der kører. Reelle tegn er konkrete og daterbare: ukendte konti, tjenester eller planlagte opgaver, fjernadgang fra fremmede adresser og advarsler fra sikkerhedsprogrammet. Sikr sporene, før nogen scanner, rydder op eller geninstallerer.

Rækkefølgen er det vigtigste i artiklen. En fuld antivirusscanning, en oprydning eller en geninstallation kan fjerne netop de spor, der skulle vise, hvordan angriberen kom ind, hvad der skete, og hvornår. Det betyder noget, hvis hændelsen senere skal dokumenteres over for et forsikringsselskab, en leverandør eller en modpart. Artiklen er skrevet til IT-ansvarlige og gælder computere, virksomheden selv ejer eller har lovligt grundlag for at undersøge.

Symptomer og tegn er ikke det samme

Computeren er langsom, blæseren kører · Almindelig forklaring: Opdateringer, indeksering, fyldt disk · Hvad der ser efter et reelt tegn: Ukendt proces med vedvarende CPU- eller netværksbrug
Pop-ups og omdirigering i browseren · Almindelig forklaring: Notifikationstilladelser, reklameudvidelser · Hvad der ser efter et reelt tegn: Udvidelser eller proxyindstillinger, ingen har sat
Musen bevæger sig af sig selv · Almindelig forklaring: Defekt mus, fjernsupport, der er glemt · Hvad der ser efter et reelt tegn: Aktive fjernsessioner og logs fra fjernadgangsværktøjer
Mails sendt fra kontoen · Almindelig forklaring: Kompromitteret mailkonto, ikke computeren · Hvad der ser efter et reelt tegn: Login fra fremmede adresser i loginloggen
Adgangskoder virker ikke · Almindelig forklaring: Udløbet adgangskode, låst konto · Hvad der ser efter et reelt tegn: Ændringer af konto eller grupper i hændelseslogs

Mange henvendelser om en “hacket computer” handler i virkeligheden om en overtaget konto. Er symptomerne knyttet til mail eller cloud, bør kontoen undersøges først, se er mailen hacket?. Er det telefonen, se er telefonen hacket?.

Konkrete tegn på computeren

Fastholdt adgang. Angribere sørger typisk for at komme tilbage. Det giver spor i form af nye tjenester (System-loggen, 7045), planlagte opgaver (4698, hvis revision er slået til, og selve opgavefilerne under C:\Windows\System32\Tasks), autostartnøgler i registreringsdatabasen og WMI-abonnementer. Se autostart, planlagte opgaver og tjenester.

Konti og rettigheder. Nye lokale konti (4720), konti tilføjet til administratorgruppen (4732) og ændrede adgangskoder er stærke tegn, især uden for arbejdstid.

Fjernadgang. Logon via fjernskrivebord ses som 4624 med logontype 10, og fejlede forsøg som 4625. Fjernadgangsværktøjer, som ingen i IT kender, er et klassisk tegn; deres egne logs viser ofte forbindelser og tidspunkter.

Sikkerhedsprogrammets egne spor. Microsoft Defender logger fund og handlinger i sin egen hændelseslog og har en karantæne, der bevarer de fundne filer. Advarsler, der blev ignoreret eller lukket, er værdifulde, fordi de daterer hændelsen.

Ryddede logs. En ryddet Security-log efterlader normalt hændelsen 1102. Huller i ellers kontinuerlige logs kan pege på manipulation, men kan også skyldes størrelsesgrænser og overskrivning.

Netværk. Forbindelser til ukendte adresser fra firewall, proxy eller DNS-log, især regelmæssige forbindelser med jævne mellemrum, kan pege på et program, der melder tilbage.

Hvad der sikres først

Rækkefølgen følger flygtigheden: det, der forsvinder først, sikres først.

Isolér, sluk ikke. Fjern computeren fra netværket ved at trække kablet, slå Wi-Fi fra eller bruge EDR-isolering, men lad den køre. Slukning sletter hukommelse, aktive forbindelser og kørende processer. Beslutningen er beskrevet i sluk, isolér eller lad den køre?.
Notér det synlige med tidspunkt: meddelelser på skærmen, åbne programmer, ukendte vinduer. Fotografér skærmen i stedet for at gemme skærmbilleder på computeren.
Sikr hukommelsen, hvis der er kompetence til det, og hvis hændelsen kan få betydning. Hukommelsen kan rumme processer, netværksforbindelser og nøgler, som ikke findes på disken.
Eksportér centrale logs, som computeren ikke selv kontrollerer: EDR, firewall, proxy, DNS, Entra ID og Microsoft 365. Deres opbevaring er ofte kort.
Tag en forensisk kopi af disken, og verificér den med hash.
Først derefter: fuld scanning, oprydning, nulstilling af adgangskoder og geninstallation.

Den praktiske tjekliste står i tjekliste: før reinstallation eller udskiftning.

Det, der ofte går galt

Antivirusscanning som første skridt. Scanningen sletter eller sætter filer i karantæne og ændrer tidsstempler. Karantænen bevarer filen, men konteksten kan gå tabt.
IT-personalet logger ind med administratorkonto og kigger rundt. Hver handling skaber hændelser, der blandes med angriberens. Før en log over egne indgreb fra første minut.
Adgangskoden nulstilles, før loginloggen er hentet. Nulstillingen er rigtig, men loggen bør hentes samtidig.
Geninstallation “for at være på den sikre side”. Den løser driftsproblemet, men fjerner muligheden for at dokumentere hændelsen.

Mac og Linux

Princippet er det samme på andre platforme, men kilderne er andre. På en Mac ser man efter ukendte profiler og programmer under Login-emner, LaunchAgents og LaunchDaemons, ændringer i Privatliv og sikkerhed, og i den samlede systemlog (Unified Logs), som roterer forholdsvis hurtigt. På Linux-servere er det især auth.log eller journald, nye SSH-nøgler i authorized_keys, cron-job, nye systemd-tjenester og shellhistorik. Også her gælder det, at loggene skal sikres, før nogen begynder at rydde op, og at en ny installation fjerner sporene.

Fra tegn til konklusion

Et enkelt tegn er sjældent nok. En ukendt tjeneste kan være installeret af en leverandør, en ny administratorkonto kan være oprettet af en kollega, og en fjernforbindelse kan være planlagt support. Før noget kaldes et angreb, skal tegnet holdes op mod ændringslog, tickets og leverandørens adgange. Omvendt kan flere svage tegn, der falder inden for samme tidsrum, tilsammen give et klart billede. Det er tidslinjen, der binder dem sammen.

Hvornår det er værd at undersøge grundigt

En grundig undersøgelse giver mening, når hændelsen kan få økonomiske eller ansvarsmæssige konsekvenser: når der kan være berørt persondata, når en forsikring skal dække, når der er mistanke om en insider, eller når en leverandør kan være ansvarlig. Her skal undersøgelsen kunne efterprøves af andre. Fremgangsmåden er beskrevet i undersøgelse efter et hackerangreb. For en enkeltstående privat computer uden konsekvenser kan en grundig oprydning være det rigtige valg, så længe det er et bevidst valg.

Har en privatperson mistanke om, at en tidligere partner eller en anden person overvåger computeren, er det en anden situation: Her skal sporene sikres, før adgangene lukkes, og det kan være digital stalking. Se hjælp ved digital stalking.

Hvad en undersøgelse kan og ikke kan vise

En undersøgelse kan ofte vise, at en ukendt konto, tjeneste eller fjernforbindelse fandtes fra et bestemt tidspunkt, hvordan den kom til, og hvad den gav adgang til. Den kan sjældent vise præcist, hvilke data der blev set, og et negativt resultat beviser ikke, at computeren er ren. Rapporten skal skelne mellem observationer og vurderinger og sige, hvilke kilder der ikke var tilgængelige.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Er mailen hacket? Tegn i loginlog, regler og sendt post · Kundens hjemmeside blev hacket: ansvarsfordeling i sporene

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik