FIOD 800 servers, TrapDoor npm en Ghost CMS ClickFix

In de periode van vrijdag 22 tot en met zondag 24 mei 2026 arresteerde de FIOD twee verdachten en nam meer dan 800 servers in beslag van een hostingbedrijf dat vermoedelijk Russische cyberaanvallen en desinformatie faciliteerde. Dreigingsactor TrapDoor plaatste 34 kwaadaardige pakketten gericht op ontwikkelaars die AI coding assistants gebruiken, waarbij kwaadaardige instructiebestanden worden ingezet om toekomstige AI sessies te manipuleren. En op meer dan 700 websites, waaronder die van Harvard University en Oxford University, wordt een kritieke kwetsbaarheid in Ghost CMS (CVE-2026-26980) misbruikt om bezoekers via ClickFix naar malware te leiden.

FIOD beëindigt Stark Industries na inbeslagname van 800 servers

De FIOD hield op 22 mei 2026 twee verdachten aan op verdenking van overtreding van de Sanctiewet. Een 39 jarige man uit Den Haag en een 57 jarige man uit Amsterdam worden verdacht van het indirect beschikbaar stellen van economische middelen aan door de Europese Unie gesanctioneerde entiteiten. De 39 jarige is grondlegger van MIRhosting, een hostingbedrijf gevestigd in Almere. Het bedrijf werd opgericht op 10 februari 2022, twee weken voor de Russische invasie van Oekraïne begon.

Bij vijf locaties werden meer dan 800 servers in beslag genomen, naast administratieve documenten, laptops en telefoons. Drie bedrijfspanden in Enschede, Almere en omgeving en twee datacenters in Dronten en Schiphol-Rijk werden doorzocht. De servers worden in verband gebracht met Stark Industries, een bulletproof hostingdienst die in kringen van beveiligingsonderzoekers bekend staat als infrastructuur achter Russischgezinde aanvallen op Europese overheden, DDoS campagnes en desinformatie. Bulletproof hosting is een dienstverlening waarbij de aanbieder verwijderingsverzoeken van overheden en handhavingsdiensten weigert en klanten beschermt tegen onderzoek.

De ontmanteling van de Nederlandse locatie is een van de grootste in zijn soort in Europa. Stark Industries werd eerder aangemerkt door beveiligingsbedrijven als een van de meest actieve bronnen van aanvalsverkeer gericht op de Europese Unie. De FIOD werkte bij deze actie samen met internationale partners. De verdachten worden in Nederland vervolgd op basis van de Sanctiewet, niet op basis van cybercriminaliteitsbepalingen, wat wijst op een financieel en juridisch spoor naast het technische opsporingswerk.

TrapDoor: 34 kwaadaardige npm pakketten gericht op AI coding assistants

Beveiligingsonderzoekers van Socket hebben een gecoördineerde supply chain aanval gedocumenteerd die ze TrapDoor noemen. De campagne omvat meer dan 34 kwaadaardige pakketten verspreid over npm, PyPI en Crates.io. De vroegst waargenomen versie werd op 22 mei 2026 om 20:20 UTC gepubliceerd. De aanval richt zich specifiek op ontwikkelaars die AI coding assistants gebruiken zoals Claude Code en Cursor.

Het onderscheidende kenmerk van TrapDoor is het misbruik van configuratiebestanden die door AI coding tools worden gelezen. Bij installatie schrijft de malware bestanden als .cursorrules en CLAUDE.md naar de werkdirectory van de ontwikkelaar. Deze bestanden bevatten verborgen instructies die toekomstige AI sessies opdragen een zogenaamde beveiligingsscan uit te voeren. Die scan is in werkelijkheid een exfiltratieopdracht die SSH sleutels, cloudtokens, browserdata en omgevingsvariabelen doorstuurt naar infrastructuur van de aanvaller.

De TrapDoor campagne volgt eerder gedocumenteerde supply chain aanvallen via de npm omgeving. Waar de Shai Hulud worm, besproken in S02E60, gericht was op CI/CD pipelines, richt TrapDoor zich op de individuele werkplek van de ontwikkelaar. De infectievector is typosquatting, waarbij pakketten namen krijgen die sterk lijken op bekende tools voor cryptocurrency auditing en beveiligingstests. De campagne is gekoppeld aan het GitHub account ddjidd564 en gebruikt het interne identificatiemerkteken P-2024-001.

Organisaties die AI coding assistants hebben uitgerold, wordt aangeraden de configuratiebestanden in projectdirectories te controleren op onbekende instructies. Bestanden als .cursorrules en CLAUDE.md horen uitsluitend teamspecifieke stijlgidsen of projectinstructies te bevatten, geen systeemopdrachten gericht aan de AI assistent.

► S02E60: Shai Hulud npm aanval, MiniPlasma zerodag en Microsoft 365 - eerdere npm supply chain campagne via CI/CD pipelines

Ghost CMS CVE-2026-26980 misbruikt op meer dan 700 websites via ClickFix

Onderzoekers van XLab Qianxin ontdekten een actieve campagne waarbij een kritieke kwetsbaarheid door SQL injectie in Ghost CMS wordt misbruikt om bezoekers van getroffen websites te misleiden via ClickFix. De kwetsbaarheid, CVE-2026-26980, treft versies 3.24.0 tot en met 6.19.0 van Ghost. Een aanvaller kan zonder authenticatie via de Content API de inhoud van de database uitlezen, inclusief de API sleutel van de beheerder waarmee volledige schrijftoegang tot de CMS omgeving wordt verkregen. Een herstelversie is beschikbaar als Ghost 6.19.1.

De campagne heeft aantoonbaar impact op meer dan 700 domeinen. Op 17 mei 2026 werden onder meer websites van Harvard University, Oxford University, Auburn University en DuckDuckGo aangetroffen als actief gecompromitteerde hosts. Aanvallers gebruikten de gestolen API sleutels om kwaadaardige JavaScript in bestaande artikelen te injecteren. Bezoekers van de besmette pagina's krijgen een valse Cloudflare verificatieprompt te zien. Bij het volgen van de instructies uit dat prompt wordt malware op de computer van de bezoeker geplaatst.

Onderzoekers identificeerden twee afzonderlijke activiteitsclusters met verschillende aanvalscode maar hetzelfde misbruikpatroon. Het grote aantal getroffen websites, waaronder universiteiten en bekende techbedrijven, vergroot de kans dat bezoekers de nepprompt als betrouwbaar ervaren. ClickFix aanvallen zijn effectief omdat ze een handmatige actie van de bezoeker vereisen in plaats van een automatische download, wat sommige browserbeveiliging omzeilt.

Beheerders van Ghost CMS installaties worden dringend aangeraden zo snel mogelijk te updaten naar versie 6.19.1. Bij een ongepatchte installatie is het raadzaam de Content API tijdelijk uit te schakelen via de Ghost instellingen en recente wijzigingen in gepubliceerde artikelen te controleren op ingevoegde scripts.

Bankhelpdeskfraude in 2025: minder slachtoffers, meer schade

De Nederlandse Vereniging van Banken publiceerde de jaarcijfers over bankhelpdeskfraude in 2025. Het totale schadebedrag bedroeg bijna 26 miljoen euro, een stijging van meer dan 3 miljoen euro ten opzichte van 2024. Tegelijkertijd daalde het aantal slachtoffers naar bijna 5.900 personen in 2025.

De combinatie van minder slachtoffers en hogere totale schade wijst op een verschuiving in de aanpak van fraudeurs. Waar eerdere campagnes gericht waren op grote aantallen slachtoffers met relatief kleine bedragen, zet een deel van de daders nu in op doelgerichtere aanpakken met hogere opbrengsten per incident. De NVB schrijft de daling in slachtoffercount toe aan betere bewustwording bij het publiek, mede als gevolg van campagnes van banken en overheidsinstanties.

De NVB benadrukt dat criminelen voor het starten van hun aanvallen steeds vaker gebruik maken van sociale media. Zeventig procent van alle online fraude begint op sociale mediaplatforms. De bankenvereniging roept socialemediabedrijven op meer verantwoordelijkheid te nemen bij het detecteren en verwijderen van frauduleuze advertenties en profielen. Bij bankhelpdeskfraude doen criminelen zich voor als medewerkers van een bank en overtuigen slachtoffers geld over te maken naar een zogenaamd veilige rekening.

De belangrijkste punten

- FIOD arresteerde op 22 mei 2026 twee verdachten: een 39-jarige man uit Den Haag en een 57-jarige man uit Amsterdam op verdenking van overtreding van de Sanctiewet, in verband met het faciliteren van Russischgezinde cyberaanvallen via bulletproof hosting

- Meer dan 800 servers in beslag genomen bij 5 locaties: datacenters in Dronten en Schiphol-Rijk en bedrijfspanden in Enschede en Almere werden doorzocht in de ontmanteling van Stark Industries

- MIRhosting werd opgericht op 10 februari 2022: twee weken voor de Russische invasie van Oekraïne, aldus het FIOD onderzoek

- TrapDoor plaatste 34 kwaadaardige pakketten over npm, PyPI en Crates.io: gericht op ontwikkelaars die AI coding assistants gebruiken, via injectie van verborgen instructies in .cursorrules en CLAUDE.md bestanden

- Ghost CMS CVE-2026-26980 misbruikt op meer dan 700 domeinen: kritieke kwetsbaarheid door SQL injectie in versies 3.24.0 tot en met 6.19.0, herstelversie 6.19.1 beschikbaar

- Harvard University, Oxford University en DuckDuckGo behoorden op 17 mei 2026 tot de gecompromitteerde Ghost CMS websites: ClickFix lure via valse Cloudflare prompt ingezet door twee afzonderlijke aanvallersgroepen

- Bankhelpdeskfraude veroorzaakte in 2025 bijna 26 miljoen euro schade: stijging van meer dan 3 miljoen euro ten opzichte van 2024, terwijl het aantal slachtoffers daalde naar bijna 5.900

Lees ook

- ► S02E61: GitHub inbraak bevestigd via VS Code extensie, Verizon DBIR 2026 en SonicWall MFA bypass - TeamPCP supply chain aanval via de ontwikkelomgeving, aansluitend op de TrapDoor campagne

- ► S02E60: Shai Hulud npm aanval, MiniPlasma zerodag en Microsoft 365 - eerdere npm supply chain campagne via CI/CD pipelines, vergelijkbaar aanvalsspoor als TrapDoor

- ► S02E57: Odido ShinyHunters aanval, TeamPCP Jenkins en INT offline - eerdere fase van de TeamPCP aanvallen via Jenkins omgevingen

Wil je dagelijks cyberdreigingen volgen? Schrijf je gratis in voor de Dreigingsradar dagelijkse alert van onze partner Digiweerbaar, met actuele incidenten en kwetsbaarheden uit Nederland en België. Voor CISO's en IT managers is er het betaalde Cyberdreigingsrapport van partner Digiweerbaar met dagelijkse en wekelijkse verdieping.

Volg ook op YouTube | Spotify | LinkedIn

Bron: Cybercrimeinfo, ondezoeksteam