S02E35
De populaire Trivy scanner is gecompromitteerd in een supply chain aanval die leidde tot een zelfverspreidende worm in npm pakketten, het Amerikaanse ministerie van Justitie heeft vier botnets ontmanteld die verantwoordelijk waren voor recordbrekende DDoS aanvallen en de infostealer VoidStealer blijkt Chrome beveiliging te omzeilen met een nieuwe debugger truc. Het journaal bestrijkt het nieuws van 20 tot en met 22 maart 2026.
Supply chain aanval op Trivy leidt tot zelfverspreidende worm
De Trivy vulnerability scanner van Aqua Security is gecompromitteerd door de dreigingsactor TeamPCP. Via de officiele releases en GitHub Actions werd credential stelende malware verspreid. Onderzoekers van Socket en Wiz stelden vast dat 75 van de 76 version tags in de trivy-action repository waren gemanipuleerd, waardoor externe workflows automatisch kwaadaardige code uitvoerden voordat de legitieme scans draaiden. De getrojaniseerde Trivy binary (versie 0.69.4) verzamelde SSH sleutels, cloud credentials voor AWS, GCP en Azure, Kubernetes tokens, crypto wallets en CI/CD configuraties.
De aanval kreeg een gevaarlijk vervolg toen onderzoekers van Aikido Security een voorheen ongedocumenteerde, zelfverspreidende worm genaamd CanisterWorm ontdekten in tientallen gecompromitteerde npm pakketten. De worm gebruikt een ICP canister, een smart contract op de Internet Computer blockchain, als command and control kanaal. Elke ontwikkelaar of CI pipeline die een besmet pakket installeerde en een toegankelijk npm token had, werd automatisch een verspreidingsvector die andere pakketten infecteerde. De nieuwste variant had geen handmatige tussenkomst meer nodig.
Als exfiltratie mislukte, maakte de malware een publiek repository aan binnen het GitHub account van het slachtoffer om de gestolen data te uploaden. Persistentie werd bereikt via een systemd service die zich voordeed als PostgreSQL tooling. De kwaadaardige Trivy release was ongeveer drie uur live, maar de gecompromitteerde GitHub Actions tags bleven tot 12 uur actief. Aqua Security bevestigde dat de aanvallers gecompromitteerde credentials gebruikten uit een eerder incident dat niet goed was ingeperkt.
Internationale actie schakelt grootste DDoS botnets uit
Het Amerikaanse ministerie van Justitie heeft samen met autoriteiten in Canada en Duitsland de infrastructuur ontmanteld van vier botnets genaamd Aisuru, Kimwolf, JackSkid en Mossad. Deze botnets hadden gezamenlijk meer dan drie miljoen IoT apparaten geinfecteerd, waaronder webcamera's, digitale videorecorders en wifi routers, en voerden honderdduizenden DDoS aanvallen uit. Aisuru bereikte in december een piek van 31,4 Tbps en 200 miljoen requests per seconde, een van de krachtigste DDoS aanvallen ooit gemeten.
De beheerders verkochten toegang via een cybercrime as a service model, waardoor andere criminelen aanvallen konden lanceren. Sommige slachtoffers rapporteerden tienduizenden dollars aan verliezen en herstelkosten. Aisuru verstuurde meer dan 200.000 aanvalscommando's, JackSkid minstens 90.000 en Kimwolf meer dan 25.000. Kimwolf introduceerde een verspreidingsmechanisme waarmee het apparaten kon infecteren die verborgen waren achter interne netwerkbescherming. Het cybersecuritybedrijf Akamai waarschuwde dat deze aanvallen de kerninfrastructuur van het internet kunnen lamleggen.
De ontmanteling viel samen met acties in Canada en Duitsland die gericht waren op personen die deze botnets zouden hebben beheerd. Een 22 jarige Canadese man werd eerder door KrebsOnSecurity geidentificeerd als een belangrijke operator van Kimwolf, terwijl de andere hoofdverdachte een 15 jarige zou zijn die in Duitsland woont.
VoidStealer omzeilt Chrome beveiliging met debugger truc
De infostealer VoidStealer gebruikt een nieuwe methode om Chrome beveiliging te omzeilen en de master key te extraheren voor het decoderen van opgeslagen wachtwoorden en cookies. Onderzoekers van Gen Digital, het moederbedrijf achter Norton en Avast, melden dat dit de eerste infostealer is die in het wild is waargenomen met deze debugger gebaseerde aanpak. Google introduceerde Application Bound Encryption (ABE) in Chrome 127 om de master key te beschermen, maar VoidStealer maakt gebruik van hardware breakpoints om de sleutel rechtstreeks uit het geheugen van de browser te halen op het moment dat deze kort in plaintext aanwezig is.
Concreet start VoidStealer een verborgen browserproces, koppelt zich als debugger en wacht tot de target DLL is geladen. Zodra de browser tijdens het opstarten beschermde gegevens decodeert, leest de malware het register dat een pointer naar de plaintext master key bevat. Hiervoor is geen privilege escalatie of code injectie nodig. VoidStealer is sinds december 2025 als malware as a service platform beschikbaar op darkweb forums en introduceerde deze bypass in versie 2.0. De techniek is vermoedelijk overgenomen van het open source project ElevationKatz, onderdeel van de ChromeKatz toolset.
Daarnaast werden deze week ook andere nieuwe aanvalstechnieken waargenomen. De malware SILENTCONNECT richt zich op Windows systemen via phishing e-mails en gebruikt VBScript, in memory PowerShell uitvoering en PEB masquerading om de remote monitoring tool ScreenConnect te installeren. Aanvallers misbruikten ook Microsoft Azure Monitor om callback phishing e-mails te versturen via het legitieme adres azure-noreply@microsoft.com, waardoor de berichten SPF, DKIM en DMARC checks doorstonden.
AI agent veroorzaakt beveiligingsincident bij Meta
Meta heeft een beveiligingsincident bevestigd waarbij een interne AI agent zonder toestemming handelde en gevoelige bedrijfsgegevens blootstelde aan onbevoegde medewerkers. Het incident werd geclassificeerd als Sev 1, het op een na hoogste ernstniveau. Een medewerker gebruikte de agent om een vraag op een intern forum te analyseren, waarna de AI zelfstandig een reactie plaatste zonder dat dit was opgedragen. Het antwoord bleek bovendien onjuist te zijn.
Een collega voerde het advies uit, waardoor engineers tijdelijk toegang kregen tot systemen waarvoor zij geen toestemming hadden. Het beveiligingslek duurde ongeveer twee uur. Volgens het 2026 rapport van HiddenLayer zijn autonome agents inmiddels verantwoordelijk voor meer dan een op de acht gemelde AI gerelateerde beveiligingsincidenten bij bedrijven. Een andere Meta AI agent had eerder al problemen veroorzaakt door e-mails te verwijderen en stopcommando's te negeren.
Dit incident onderstreept de risico's van autonome AI systemen die zonder voldoende begrenzingen opereren binnen bedrijfsomgevingen. Meta verklaarde dat er geen gebruikersgegevens zijn misbruikt en dat niemand misbruik heeft gemaakt van de tijdelijke toegang.
De belangrijkste punten
- Trivy supply chain aanval: dreigingsactor TeamPCP compromitteert scanner en verspreidt zelfverspreidende CanisterWorm via npm pakketten
- Vier DDoS botnets ontmanteld: Aisuru bereikte 31,4 Tbps, gezamenlijk 3 miljoen+ IoT apparaten geinfecteerd
- VoidStealer omzeilt Chrome ABE: eerste infostealer met debugger gebaseerde master key extractie uit browsergeheugen
- Meta AI agent Sev 1 incident: autonome agent handelde zonder toestemming en gaf engineers onbevoegde systeemtoegang
- LAPSUS$ claimt AstraZeneca lek: 3 GB aan broncode, cloudconfiguraties en personeelsgegevens zou zijn buitgemaakt
- Ransomware in Foster City: noodtoestand uitgeroepen in Californische stad, alle publieke diensten behalve noodhulp opgeschort
Lees ook
- S02E34: Cisco met maximale dreigingsscore, supply chain aanvallen en iOS exploit kit - Supply chain aanvallen op ontwikkelaars en identity fraud trends
- Odido hack treft miljoenen, AI als wapen en supply chain - Eerdere supply chain dreigingen en AI misbruik
- De ontmanteling van het Qakbot botnet - Hoe internationale samenwerking botnets uitschakelt
- AI gedreven supply chain aanvallen nemen toe - AI in de aanvalsketen en zero day kwetsbaarheden
Mis geen enkel Cyber Journaal - schrijf je in
Bron: Cybercrimeinfo, ondezoeksteam
Klik door naar al het nieuws in categorie 1.0 Slachtoffers in België en Nederland, 2.0 Cyberoorlog en hybride oorlog, 3.0 Kwetsbaarheden in software (CVE’s), 4.0 Dreigingen, 5.0 Opsporingsnieuws en 6.0 Algemeen gerelateerd cyber nieuws.