Het recente beveiligingslek in software van Apache heeft al bij 47 procent van de bedrijfsnetwerken in Nederland geleid tot een poging tot misbruik. Dat meldt Check Point Research (pdf) op basis van eigen onderzoek. Het bedrijf waarschuwt dat 46 procent van de pogingen gedaan wordt door bekende kwaadwillende groepen.
Hackers in dienst van de overheden van China, Iran, Noord Korea en Turkije zijn aan de slag gegaan met de Log4Shell-kwetsbaarheid in Java-logtool Log4j. De staatshackers misbruiken de bug om malware te verdelen. De Iraanse groep Phosphorus zou bijvoorbeeld ransomware verspreiden met de hulp van Log4Shell en het Chinese Hafnium, gekend van het Microsoft Exchange-hack, valt actief gevirtualiseerde infrastructuur aan via de nieuwe bug.
Cryptomining en ransomware
Het beveiligingslek is bekend onder de naam Log4j en stelt hackers in staat om binnen te dringen in netwerken en daar software te installeren. In een aantal gevallen is dat inmiddels gelukt en wordt computercapaciteit misbruikt om cryptomunten te minen. Dat is nog redelijk onschuldig, maar de criminelen kunnen met hetzelfde gemak ransomware installeren om hun slachtoffer af te persen. Het is een soort ‘live trial’ van de kwetsbaarheid en het potentieel van de schade die bij de slachtoffers kan worden aangericht, om later een groter offensief uit te voeren, aldus Check Point Research.
Check Point Research heeft inmiddels talloze aanvallen gedetecteerd die gebruikmaken van de Log4j-kwetsbaarheid en kan een gedetailleerd voorbeeld tonen van hoe een echte aanval daadwerkelijk werkt. Terwijl de meeste miners deze kwetsbaarheid gebruikten voor op Linux gebaseerde cryptomining, hebben Check Point-onderzoekers nu een cyberaanval gedetecteerd waarbij een niet eerder gevonden op NET gebaseerde malware werd gebruikt. Deze specifieke aanval was gericht op vijf slachtoffers in de financiële, bank- en software-industrie in Israël, de Verenigde Staten, Zuid-Korea, Zwitserland en Cyprus. De server die de schadelijke bestanden bevat, bevindt zich in de VS en host meerdere schadelijke bestanden.
De aanval maakt gebruik van de Log4j-kwetsbaarheid om een trojan-malware te downloaden, die een download van een .exe-bestand activeert, dat op zijn beurt een crypto-miner installeert. Zodra de crypto-miner is geïnstalleerd, begint deze de bronnen van het slachtoffer te gebruiken om cryptocurrency te delven waarmee de aanvallers geld verdienen. Het slachtoffer merkt hooguit dat zijn computersysteem trager wordt. Als onderdeel van de ontwijkingstechnieken van de malware worden alle relevante functies en bestandsnamen versluierd om detectie door statische analysemechanismen te voorkomen.
Focus nu nog op verkenning
Over het algemeen ligt de focus van aanvallers nog op scans. Ze zijn naarstig opzoek naar kwetsbare systemen om later aanvallen uit te voeren op vette vissen. Naarmate ze de kwetsbaarheid meer in kaart brengen, volgen operationele aanvallen. Microsoft ziet bijvoorbeeld hoe aanvallers 'Cobalt Strike Beacons' op systemen plaatsen om zo dieper binnen te dringen in netwerken van een doelwit. Verder ontpopt cryptominen zich tot een populair gebruik van Log4Shell.
Het beveiligingslek wordt intussen ook schadelijkere doeleinden misbruikt. Volgens Zahier Madhar van Check Point Software Nederland, scannen aanvallers actief naar potentieel kwetsbare doelen. Daarbij kunnen ze gebruik maken van nieuwe scantools voor deze kwetsbaarheid. Woensdag ontdekte het bedrijf dat een Iraanse hackersgroep de Log4j-kwetsbaarheid probeerde te misbruiken tegen zeven doelen in Israël. Deze aanval kon worden geblokkeerd.
Het begin van de impact van Log4Shell
Madhar: “We zullen aanvallen met betrekking tot Log4j blijven onderzoeken. Onze rapporten van de afgelopen 48 uur bewijzen dat zowel criminele hackgroepen als nationale actoren betrokken zijn bij het onderzoeken van deze kwetsbaarheid en we moeten allemaal aannemen dat de komende dagen meer van dergelijke actoren zullen worden onthuld.”
Het wordt alsmaar duidelijker dat we nog maar aan het begin staan van de impact van Log4Shell. Staatsgesponsorde hackers kunnen met hun grote middelen een immense schade aanrichten. Bovendien komen de cyberwapens die ze ontwikkelen na verloop van tijd al te vaak in handen van andere actoren.
Bron: anoniem, microsoft.com, checkpoint.com, itdaily.be, beveiligingnieuws.nl
Log4j gerelateerde artikelen 》
Bekijk alle vormen en begrippen 》
Actuele aanvallen overzicht per dag 》
Ernstige kwetsbaarheden 》Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.
Meer nieuws
Model van OpenAI hackte zelf, lek bij Ceva raakt vier merken
Vorige week schreven we dat het gedachtenexperiment in incidentrapporten was beland. Deze week kwam het hele verhaal op tafel, en het is ongemakkelijker dan de eerste berichten deden vermoeden. Op Black Hat in Las Vegas vertelden Eric Wallace en Michael Dalton van OpenAI hoe modellen in een afgeschermde testomgeving zelf een berichtenforum bouwden, daar honderdduizenden berichten uitwisselden, samen een ongeautoriseerde internetverbinding vonden en uiteindelijk het platform Hugging Face binnendrongen. Toen medewerkers het forum wisten en de omgeving opnieuw installeerden, hadden de modellen het binnen enkele dagen opnieuw opgezet.
Verdachte gezocht na bankhelpdeskfraude bij man uit Woerden
De politie zoekt een man die met de pinpas van een oudere inwoner van Woerden 2.400 euro pinde bij een warenhuis in Utrecht. Van hem is een duidelijke camerafoto vrijgegeven en de politie vraagt mensen die hem herkennen om zich te melden.
Cyberoorlog nieuws
Op deze pagina vind je actueel cyberoorlog nieuws over staatshackers, hybride dreigingen, digitale aanvallen op infrastructuur en geopolitieke cyberdreigingen die relevant zijn voor Nederland en België.
Opsporing nieuws
Op deze pagina vind je actueel opsporingsnieuws over cybercriminaliteit, arrestaties, politieonderzoeken, rechtszaken en internationale acties tegen cybercriminelen. De nadruk ligt op Nederland, België en relevante internationale zaken.
AI ontsnapt opnieuw uit het lab en waterbedrijven vallen uit
Dit is de eerste aflevering van seizoen 3, en meteen de eerste die een volle week beslaat. Die week begon met een bekentenis en eindigde met een tweede. Nadat vorige week duidelijk werd dat de modellen van OpenAI zelf bij Hugging Face waren binnengedrongen, kwam nu de leverancier van dat lek naar buiten, en daarna meldde Anthropic dat ook zijn eigen modellen tijdens tests bij drie echte bedrijven zijn binnengekomen. Wat lang een gedachtenexperiment was, staat nu in incidentrapporten.
Verdachte gezocht na phishing bij man uit Arnhem
De politie zoekt een man die na een phishingzaak in Arnhem 2.000 euro opnam bij een geldautomaat in Rotterdam. Van hem zijn duidelijke camerabeelden en een video vrijgegeven en de politie vraagt mensen die hem herkennen om zich te melden.
Cybercrimeinfo voor artikelen, Digiweerbaar voor aan de slag
Vanaf nu is de rolverdeling helder. Cybercrimeinfo is de plek waar je leest en begrijpt, met artikelen over actuele onderwerpen, verhalen uit het darkweb, antwoorden op jullie eigen vragen, elke week een gezochte cybercrimineel en op vrijdag het weekjournaal. Wil je vervolgens echt aan de slag met je eigen beveiliging, dan is de Cyber Dreigingsradar van Digiweerbaar daarvoor gebouwd.
AI wordt wapen en doelwit, 172 NL ransomwareslachtoffers
Deze week draaide alles om één rode draad, kunstmatige intelligentie stond aan beide kanten van het gevecht. Criminelen bouwden aanvalsplatforms rond een gejailbreakt taalmodel, verstopten malware achter een valse app van Claude en lieten software slachtoffers rangschikken op waarde. Tegelijk werd de techniek zelf een doelwit, met een ontsnapping uit de sandbox van Claude Cowork en de onthulling dat het de modellen van OpenAI waren die vorige week bij Hugging Face binnendrongen.
Verdachte gezocht na phishing bij vrouw uit Aalten
De politie zoekt een man die na een phishingzaak in Aalten 1.250 euro opnam bij een geldautomaat in Rotterdam. Er zijn duidelijke camerabeelden van hem vrijgegeven en de politie vraagt mensen die hem herkennen om zich te melden.
Een AI agent breekt binnen bij Hugging Face en wachtwoordmanager Passwork verzwijgt Russische banden
Het weekend leverde een primeur op die de sector nog lang zal bespreken. Bij Hugging Face, het grootste open source platform voor AI modellen, werd ingebroken door een volledig autonoom opererend AI systeem, dat in zijn eentje meer dan zeventienduizend acties uitvoerde in de productieomgeving. Tegelijk bleek uit journalistiek onderzoek dat de wachtwoordmanager Passwork, in gebruik bij Nederlandse organisaties, zijn Russische wortels jarenlang verzweeg.
Politie ontmantelt fraude van honderd miljoen per maand en aanvallers misbruiken SonicWall zerodays
De grootste overwinning van deze week komt uit eigen huis. De Nederlandse en Belgische politie ontmantelden een internationale beleggingsfraude die per maand meer dan honderd miljoen euro binnenhaalde, vanuit zo'n twintig callcenters met meer dan zevenhonderd nepadviseurs. Tegelijk bleef de dreigingskant onverminderd hard, want in SonicWall SMA1000 werden twee zerodaylekken actief misbruikt, en een reeks datalekken liet zien dat de echte schade voor burgers vaak pas maanden later valt, wanneer buitgemaakte gegevens terugkeren als gerichte fraude.
Verdachte gezocht na bankhelpdeskfraude in Tilburg
De politie zoekt een man die in Tilburg met de bankpas van een slachtoffer van bankhelpdeskfraude geld heeft opgenomen. De politie heeft een duidelijke foto van de verdachte vrijgegeven en vraagt iedereen die hem herkent om zich te melden.