S02E22
Onderzoekers van ESET onthulden PromptSpy, de eerste malware voor Android die Google Gemini AI misbruikt om gestolen gegevens te analyseren, terwijl op ClawHub 1.184 kwaadaardige skills werden aangetroffen en de populaire coderingstool Cline slachtoffer werd van een supply chain aanval. In Nederland en België verscheen het Delftse architectenbureau cepezed op de leksite van de ransomwaregroep DragonForce en claimde een cybercrimineel 27.000 personeelsgegevens van RTL Group te hebben buitgemaakt. Een nieuw rapport van Barracuda laat zien dat 90% van alle incidenten met ransomware begint bij kwetsbare firewalls en VPN. Dit journaal bestrijkt het nieuws van 18 en 19 februari 2026.
PromptSpy en de vergiftigde supply chain
Onderzoekers van ESET, onder leiding van Lukas Stefanko, ontdekten PromptSpy, de eerste malware voor Android die Google Gemini AI inzet als onderdeel van de aanval. De kwaadaardige app deed zich voor als een valse ChatGPT app in de Google Play Store en onderschepte alle prompts die gebruikers invoerden. Wat PromptSpy bijzonder maakt is dat de gestolen gegevens via de Gemini API werden geanalyseerd en gecategoriseerd voordat ze naar de aanvaller werden doorgestuurd. De malware werd inmiddels uit de Play Store verwijderd, maar het incident toont aan hoe snel dreigingsactoren generatieve AI integreren in hun gereedschap.
De supply chain van tools met kunstmatige intelligentie blijkt op meerdere fronten aangetast. Onderzoekers van Koi Security en Snyk ontdekten op ClawHub in totaal 1.184 kwaadaardige skills. De skills bevatten onder meer code voor het stelen van inloggegevens, het exfiltreren van data en het opzetten van achterdeuren. Een van de opvallendste voorbeelden was een skill genaamd "What Would Elon Do?" die zich voordeed als een onschuldige assistent maar op de achtergrond gevoelige tokens buitmaakte. In het vorige journaal meldden we al de waarschuwing van de Autoriteit Persoonsgegevens rond OpenClaw en het stelen van gerelateerde bestanden door infostealers, en de dreiging groeit alleen maar.
Op 17 februari werd bekend dat ook de populaire coderingstool Cline was getroffen door een supply chain aanval waarbij aanvallers het publicatietoken van npm kaapten. Versie 2.3.0, die via npm werd verspreid, bleek kwaadaardige code te bevatten die authenticatietokens en sessiegegevens van ontwikkelaars stal. De aanval richtte zich specifiek op de keten van ontwikkeltools, waarmee aanvallers potentieel toegang kregen tot de productieomgevingen van duizenden bedrijven. Het team achter Cline trok de besmette versie snel in en adviseerde alle gebruikers hun tokens te roteren.
Het Europees Parlement besloot deze week om alle functies voor kunstmatige intelligentie op werktelefoons en apparaten van medewerkers uit te schakelen. De maatregel treft onder meer Apple Intelligence, Samsung Galaxy AI en de samenvattingen van Google. Het besluit komt voort uit zorgen over de vertrouwelijkheid van gevoelige parlementaire informatie die mogelijk via verwerking door AI bij externe partijen terechtkomt. De stap illustreert de groeiende spanning tussen het gebruik van deze tools en de bescherming van vertrouwelijke gegevens bij overheidsinstellingen.
Nederland en België opnieuw onder vuur
Op het darkweb verscheen een claim dat 27.000 personeelsgegevens van RTL Group zijn buitgemaakt via het intranet van het Europese mediabedrijf. De gegevens zouden namen, e-mailadressen, telefoonnummers en functieomschrijvingen bevatten. RTL Group heeft nog niet publiekelijk gereageerd op de claim. Het bedrijf, met kantoren in Luxemburg, Duitsland, Nederland en België, is een van de grootste commerciele mediagroepen van Europa.
Het Delftse architectenbureau cepezed verscheen op 19 februari op de leksite van de ransomware groep DragonForce. cepezed is internationaal bekend vanwege projecten als het Naturalis Biodiversity Center in Leiden en de renovatie van de Kunsthal in Rotterdam. DragonForce, actief sinds eind 2023, hanteert het model van dubbele afpersing waarbij zowel bestanden worden versleuteld als data wordt gestolen en gepubliceerd als het losgeld niet wordt betaald. Het incident raakt opnieuw de Nederlandse creatieve sector en onderstreept dat geen enkele branche veilig is.
In België maakte het AZ Monica ziekenhuis in Antwerpen bekend dat het langzaam herstelt van een aanval met ransomware die in het najaar van 2025 plaatsvond. Het ziekenhuis moest maandenlang terugvallen op papieren dossiers en handmatige processen. De digitale systemen worden gefaseerd weer in gebruik genomen, maar volledige operationaliteit wordt pas later dit jaar verwacht. Het incident toont de langdurige impact van ransomware op de zorgsector.
De nasleep van het datalek bij Odido kreeg een nieuw hoofdstuk. De Consumentenbond adviseerde getroffen klanten om te onderzoeken of zij kosteloos uit hun contract kunnen stappen, omdat Odido mogelijk niet aan de contractuele zorgplicht heeft voldaan. Ondertussen waarschuwden onderzoekers dat meerdere Nederlandse gemeenten doelwit zijn van gecoordineerde desinformatiecampagnes die inspelen op lokale onrust. Op wetgevend vlak nadert de Cyberbeveiligingswet, de Nederlandse implementatie van de Europese richtlijn NIS2, haar definitieve vorm. Het wetsvoorstel werd op 4 juni 2025 ingediend bij de Tweede Kamer en de verwachte inwerkingtreding is mei 2026, waarna circa 10.000 Nederlandse organisaties verplicht worden hun digitale weerbaarheid op orde te brengen.
Firewalls falen, dreigingsactoren intensiveren
Een nieuw rapport van Barracuda onthulde dat firewalls en VPN het startpunt vormen van 90% van alle incidenten met ransomware in hun dataset. In 96% van de gevallen waarin aanvallers zich lateraal door het netwerk bewogen, resulteerde dit in de inzet van ransomware. Tweederde van de initiele toegang verliep via kwetsbaarheden bij derde partijen, zoals managed service providers en toeleveranciers. Het rapport bevestigt een trend die al langer zichtbaar is, namelijk dat traditionele perimeterbeveiliging steeds vaker het zwakste punt vormt.
Dell waarschuwde voor een kritieke kwetsbaarheid in RecoverPoint for Virtual Machines. Wat is CVE-2026-22769? Het is een kwetsbaarheid met de maximale CVSS score van 10.0, veroorzaakt door hardcoded inloggegevens waarmee aanvallers volledige controle over het systeem kunnen krijgen. Dreigingsgroep UNC6201 zou de kwetsbaarheid al sinds halverwege 2024 actief misbruiken. In SmarterMail, veelgebruikte mailserversoftware, werden eveneens meerdere kwetsbaarheden ontdekt die zonder authenticatie te misbruiken zijn. Organisaties die deze producten gebruiken wordt dringend aangeraden de beschikbare updates onmiddellijk te installeren.
Industrieel beveiligingsbedrijf Dragos publiceerde een rapport waaruit blijkt dat de Chinese dreigingsactor Volt Typhoon in 2025 nog steeds actief was in de netwerken van Amerikaanse nutsbedrijven. Rob Lee, CEO van Dragos, verklaarde dat Volt Typhoon samenwerkt met een groep die door Dragos SYLVANITE wordt genoemd. De activiteiten richten zich op kritieke infrastructuur, waaronder energiecentrales en waterzuiveringsinstallaties. De aanhoudende aanwezigheid van Volt Typhoon in westerse netwerken is een van de ernstigste dreigingen voor nationale veiligheid.
De FBI gaf een nieuwe waarschuwing uit over jackpotting van geldautomaten met de malwarefamilie Ploutus. Sinds 2020 registreerde het bureau 1.900 gevallen, waarvan 700 alleen al in 2025, met een totale schade van 20 miljoen dollar. Bij jackpotting installeren criminelen malware op geldautomaten waardoor deze op commando al het beschikbare contante geld uitspugen. Ploutus, voor het eerst gesignaleerd in 2013, blijft de meest gebruikte malware voor dit type aanval en is inmiddels geevolueerd om nieuwere modellen te ondersteunen.
De belangrijkste punten
- PromptSpy, ESET ontdekte de eerste malware voor Android die Google Gemini AI misbruikt om gestolen gegevens te categoriseren
- ClawHub besmet, 1.184 kwaadaardige skills ontdekt die inloggegevens stelen en achterdeuren installeren
- cepezed op leksite DragonForce, het Delftse architectenbureau verscheen op 19 februari als slachtoffer van ransomware
- Barracuda rapport, 90% van alle ransomware begint bij kwetsbare firewalls en VPN
- Dell RecoverPoint CVSS 10.0, hardcoded inloggegevens geven aanvallers volledige controle over backupsystemen
- Volt Typhoon nog actief, Dragos bevestigt Chinese infiltratie in Amerikaanse kritieke infrastructuur in 2025
Lees ook
- S02E21: AI vergiftigt geheugen, Odido-soap groeit en LockBit 5.0 - De waarschuwing rond OpenClaw en het groeiende verhaal over Odido
- S02E20: ClickFix explodeert, Belgische data op straat en NAVO-alarm - Vier varianten van ClickFix en Belgische datalekken
- S02E19: Odido hack treft miljoenen, AI als wapen en supply chain - Hoe het datalek bij Odido begon en eerdere supply chain aanvallen
- S02E17: AP gehackt via Ivanti, meldkamers uit en Chinese spionage onthuld - Chinese dreigingsactoren eerder in het nieuws
Mis geen enkel Cyber Journaal - schrijf je in voor het journaal of de wekelijkse nieuwsbrief
Bron: Cybercrimeinfo, ondezoeksteam
