Systeem 130 Nederlandse boekhandels platgelegd door ransomware, minister wil verplichte externe audits en SOC-aansluiting voor het onderwijs en cybercriminelen lekken gegevens uitzendbureau Beverwijk na cyberaanval. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

Meer dan 3.000 organisaties hebben schade geleden door het lekken van interne data op het Darkweb door ransomware bendes.

Status op 3 oktober 2021 : 3.293

Week overzicht

1 oktober

Het eerste bevestigde sterfgeval door een hackersaanval? Vrouw verliest kind tijdens cyberaanval op ziekenhuis

In Alabama heeft een vrouw een ziekenhuis voor de rechter gedaagd omdat haar baby in 2019 is gestorven tijdens een hackersaanval op de zorginstelling. Het is de eerste geloofwaardige bewering dat iemands dood te wijten is aan een cyberaanval. De Wall Street Journal bracht het nieuws aan het licht. Teiranni Kidd, de moeder van het kind, beweert in haar aanklacht dat het ziekenhuis, Springhill Medical Center, haar in 2019 niet heeft verteld dat er problemen waren met de computers. Die waren tijdelijk niet beschikbaar door een cyberaanval. Dat heeft er volgens haar toe geleid dat het zorgpersoneel ernstig verminderde zorg heeft verleend toen ze arriveerde om van haar dochter te bevallen. Kidd’s dochter werd geboren met de navelstreng om haar nek gewikkeld. Deze aandoening geeft waarschuwingssignalen op de hartmonitor wanneer de geknelde navelstreng de toevoer van bloed en zuurstof naar de foetus afsnijdt. Tijdens de cyberaanval waren er minder ogen op de hartmonitors gericht, die normaal gesproken op een groot scherm bij de verpleegpost en in de verloskamer worden afgelezen. Het zorgpersoneel bleef in contact met elkaar via berichten. Volgens Kidd heeft de behandelende arts nooit alle informatie gekregen over de toestand van haar kind omdat dit door de hack werd verijdeld. Het kind stierf negen maanden na de bevalling ten gevolge van een hersenbeschadiging. Indien de vrouw haar gelijk haalt in de rechtbank, zal dit de eerste bevestigde dood door een cyberaanval zijn. “Had ik geweten dat er een hackersaanval was, zou ik een ander ziekenhuis gekozen hebben”, staat er in de aanklacht van Kidd. In een reactie aan de Wall Street Journal ontkent het ziekenhuis elk vergrijp: “We hebben de aanval naar behoren aangepakt. Wij bleven open en onze toegewijde gezondheidswerkers bleven onze patiënten verzorgen omdat de patiënten ons nodig hadden en wij, samen met de onafhankelijke behandelende artsen die een medische praktijk in het ziekenhuis hebben, concludeerden dat het veilig was om dat te doen.” De aanval op het ziekenhuis was ransomware-aanval. Allan Liska, een ransomware-analist bij het cyberbeveiligingsbedrijf Recorded Future, laat weten dat er dit jaar alleen al 850 gezondheidszorgnetwerken en ziekenhuizen in de VS zijn getroffen door ransomware. “Het is vreselijk, maar we verwachten al jaren dat dit zou gebeuren, want als het fout gaat, gaat er uiteindelijk iemand dood”, luidt de reactie van Liska op het overlijden van het kind van Kidd. 

Elektronicafabrikant JVC Kenwood getroffen door ransomware-aanval

Elektronicafabrikant JVC Kenwood is getroffen door een ransomware-aanval waarbij de aanvallers claimen anderhalve terabyte aan data te hebben buitgemaakt. In een persbericht meldt het bedrijf dat op 22 september op servers van sommige Europese verkoopafdelingen verdachte activiteit werd gedetecteerd (pdf). Daarbij is er mogelijk data buitgemaakt. Een extern bedrijf voert op dit moment in samenwerking met de relevante autoriteiten onderzoek uit naar de aanval, zo laat de verklaring verder weten. Voor zover nu bekend zijn er geen gegevens van klanten buitgemaakt. Verdere details zegt JVC Kenwood op een later moment te zullen delen. Bleeping Computer meldt dat de aanval het werk is van de Conti-groep. De criminelen eisen zeven miljoen dollar losgeld voor het ontsleutelen van de data en het niet publiceren van gestolen gegevens. Volgens de groep is er anderhalve terabyte aan bestanden buitgemaakt. Vorige week waarschuwde de Amerikaanse geheime dienst NSA nog voor een toename van aanvallen door de Conti-groep. Volgens de overheidsinstantie heeft deze groep meer dan vierhonderd aanvallen tegen Amerikaanse en internationale organisaties uitgevoerd. Om toegang tot netwerken te krijgen maken de criminelen gebruik van spearphishing met Microsoft Office-documenten en malafide links, gestolen of zwakke RDP-wachtwoorden, malafide software die via zoekmachineresultaten wordt verspreid, telefoongesprekken en andere malware die al op het systeem aanwezig is.

Congres VS wil opheldering FBI over achterhouden Kaseya-decryptiesleutel

Het Amerikaanse congres heeft de FBI om opheldering gevraagd over de reden waarom het de universele decryptiesleutel voor het ontsleutelen van data drie weken achterhield voor slachtoffers van de wereldwijde ransomware-aanval via de software van Kaseya. Begin juli wisten de criminelen achter de REvil-ransomware via kwetsbaarheden in de software van Kaseya een wereldwijde ransomware-aanval uit te voeren. Hierbij werden volgens Kaseya maximaal vijftienhonderd bedrijven wereldwijd getroffen. De REvil-groep eiste vervolgens 70 miljoen dollar voor een generieke decryptiesleutel waarmee alle slachtoffers hun bestanden kunnen ontsleutelen. Eind juli maakte Kaseya bekend dat het van een niet nader genoemde derde partij een decryptiesleutel had ontvangen voor het ontsleutelen van de data bij alle slachtoffers. In samenwerking met antivirusbedrijf Emsisoft werden getroffen bedrijven vervolgens met het herstellen van hun bestanden geholpen. Kaseya stelde dat het geen losgeld voor de decryptiesleutel had betaald. Vorige meldde The Washington Post op basis van bronnen dat de FBI toegang had tot servers van de REvil-groep en zo de decryptiesleutel kon bemachtigen. Er werd echter besloten om de sleutel niet meteen te delen met slachtoffers, aangezien de opsporingsdienst bezig was met een operatie om de ransomwaregroep te verstoren. De sluitel werd uiteindelijk drie weken later gedeeld. De commissie van toezicht en hervormingen van het Amerikaanse congres heeft nu een brief naar FBI-directeur Christopher Wray gestuurd waarin de opsporingsdienst wordt gevraagd om uit te leggen waarom het besloot de decryptiesleutel achter te houden en of de algemene strategie en acties van de FBI om ransomware te bestrijden wel adequaat zijn (pdf). Tijdens een hoorzitting voor een andere commissie vorige week verklaarde Wray dat het ontwikkelen en testen van decryptiesleutels en andere tools, voordat die kunnen worden vrijgegeven, de nodige tijd kost.

30 september

Forward Air waarschuwt 40.000 medewerkers voor datalek door ransomware

Transportbedrijf Forward Air heeft ruim 40.000 medewerkers gewaarschuwd voor een datalek dat zich in december vorig jaar na een ransomware-aanval voordeed en in juli van dit jaar werd vastgesteld. Het Amerikaanse Forward Air verzorgt grondtransporten en had in 2019 een omzet van 1,4 miljard dollar. Op 15 december 2020 werd het transportbedrijf slachtoffer van een ransomware-aanval die uiteindelijk een schade van 7,5 miljoen dollar veroorzaakte. Het ging zowel om misgelopen inkomsten als bijkomende kosten. Het onderzoek naar de aanval wees op 30 juli van dit jaar uit dat de aanvallers ook persoonlijke informatie van medewerkers hadden buitgemaakt. Het gaat om namen, adresgegevens, geboortedata, social-securitynummers, rijbewijsnummers, paspoortnummers en bankrekeningnummers van 40.655 medewerkers, zo blijkt uit een brief die Forward Air vorige week naar het getroffen personeel stuurde (pdf). Volgens het transportbedrijf zijn er geen aanwijzingen dat er misbruik van de gestolen data is gemaakt. Getroffen medewerkers kunnen een jaar lang kosteloos hun krediet laten monitoren.

RansomEXX ransomware Linux-encryptor kan de bestanden van slachtoffers beschadigen

​Cyberbeveiligingsbedrijf Profero heeft ontdekt dat de RansomExx-bende Linux-bestanden niet correct vergrendelt tijdens het versleutelen, wat kan leiden tot mogelijk beschadigde bestanden. In een nieuw rapport van Profero zegt Senior Incident Responder Brenton Morris dat de RansomEXX-decryptor faalde op verschillende bestanden die werden versleuteld door de Linux Vmware ESXI-encryptor van de bedreigingsacteur voor een van de slachtoffers die het losgeld betaalden. Na reverse-engineering van de RansomExx Linux-encryptor, ontdekte Profero dat de problematische decodering werd veroorzaakt doordat Linux-bestanden niet voldoende werden vergrendeld terwijl ze werden gecodeerd. 

Nieuwe versie van Apostel Ransomware duikt opnieuw op in gerichte aanval op hoger onderwijs

SentinelLabs volgt de activiteiten van Agrius, een vermoedelijke Iraanse dreigingsactor die actief is in het Midden-Oosten, gedurende 2020 en 2021 na een reeks destructieve aanvallen vanaf december 2020. Sinds we voor het laatst over deze dreigingsactor berichtten in mei 2020, heeft Agrius zijn profiel verlaagd en werd niet waargenomen bij het uitvoeren van destructieve activiteiten. Dit veranderde onlangs omdat de dreigingsactor waarschijnlijk een ransomware-aanval op de Israëlische universiteit Bar-Ilan heeft geïnitieerd met behulp van de aangepaste Apostle-ransomware van de groep.

29 september

Onderzoek: langer verblijf patiënten door ransomware-aanval op ziekenhuizen

Ransomware-aanvallen op ziekenhuizen zorgen ervoor dat patienten met een langer verblijf te maken krijgen en er vertragingen zijn in testresultaten en procedures, wat nadelige gevolgen kan hebben. Dat stelt het Amerikaanse Ponemon Institute op basis van onderzoek onder 597 it- en it-securityprofessionals werkzaam bij ziekenhuizen en andere zorgverleners. Van de ondervraagde zorginstellingen had 43 procent met een ransomware-aanval te maken gekregen. Van deze groep was 67 procent slachtoffer van één ransomware-aanval geworden, terwijl 33 procent met twee of meer aanvallen te maken hadden gekregen. Van de door ransomware getroffen zorginstellingen zegt 71 procent dat dit voor een langer verblijf van patiënten zorgde en liet 70 procent weten dat de aanval voor vertragingen in procedures en testresultaten veroorzaakte, met nadelige gevolgen voor patiënten. Bij 65 procent van de getroffen zorginstellingen moesten patiënten worden overgeplaatst of omgeleid naar andere locaties. 22 procent claimt dat er door de ransomware-aanval een toename was van het sterftecijfer."Onze resultaten correleren een toename van cyberaanvallen, met name ransomware, met negatieve gevolgen voor patiëntenzorg, verergerd door de gevolgen van corona op zorgverleners", laat Larry Ponemon weten, oprichter van het Ponemon Institute.

Systeem 130 Nederlandse boekhandels platgelegd door ransomware

Het systeem waar zo'n 130 Nederlandse boekhandels gebruik van maken is platgelegd door ransomware, waardoor medewerkers nu alles handmatig moeten bijhouden. De boekhandels maken gebruik van de software van het Franse bedrijf TiteLive, dat slachtoffer van de ransomware-aanval werd. Door de aanval zijn ook boekhandels in België en Nederland getroffen. Die hebben geen toegang meer tot hun database. Het gaat onder andere om zo'n negentig bij boekhandelketen Libris aangesloten boekhandels. "Je krijgt nu wel een boek binnen van de drukker, maar je weet niet voor wie", zegt Jan Peter Prenger van Libris tegenover de NOS. "Als mensen bestellen dan moeten boekhandels handmatig aan de slag. Er kunnen wel gewoon boeken worden verkocht in de winkels, maar het is heel vervelend." "Dat is ons boekhandelpakket. We gebruiken het voor voorraadbeheer, klantenadministratie enz... Onze kassa is er ook aan gekoppeld, maar die werkt ook zonder het systeem, net zoals de website, al is die hierdoor niet meer up-to-date", bevestigt de Antwerpse boekhandel De Groene Waterman aan Data News. Boekhandels kregen van TiteLive te horen dat de problemen mogelijk enkele dagen kunnen aanhouden. Boekhandel Donner meldt op de eigen website dat er door een "digitale aanval" een storing is. "Gisteren zijn wij getroffen door een digitale aanval. De gegevens zijn niet geraakt. Maar het herstel heeft enige tijd gekost. We zijn weer online, alleen kan het zijn dat u toch nog enige hinder ondervindt van deze aanval. Dank voor uw begrip." Volgens TiteLive wordt de software van het bedrijf in meer dan duizend winkels in Frankrijk en de Benelux gebruikt.

Minister wil verplichte externe audits en SOC-aansluiting voor het onderwijs

Om de digitale weerbaarheid van het Nederlandse onderwijs te vergroten moet elke onderwijsinstelling in het middelbaar en hoger onderwijs worden aangesloten op een Security Operations Center (SOC) en de eigen informatiebeveiliging periodiek door een externe partij laten auditen. Dat wil demissionair minister Van Engelshoven van Onderwijs. Lees verder

Back-up "verwijderings"-oplossingen - van Conti Ransomware With Love

Conti's "oplossingen voor het verwijderen van back-ups" beginnen op team ontwikkelingsniveau. Bij het selecteren van netwerkindringers voor hun divisies, ook wel 'teams' genoemd, is Conti bijzonder duidelijk dat ervaring met het identificeren, lokaliseren en deactiveren van back-ups een van hun topprioriteiten is voor een succesvolle pentester. Deze back-upfocus geïmplementeerd binnen het proces van het opbouwen van partnerschappen stelt Conti in staat teams samen te stellen, uitgerust met kennis en vaardigheden gericht op het verwijderen van back-ups.

Nieuwe Soli-ransomware

dnwls0719 heeft een nieuwe ransomware gevonden die de .soli- extensie aan versleutelde bestanden toevoegt en een losgeldbrief met de naam _READ_ME_PLEASE.txt.

28 september

Ransomware zet onafhankelijk boekhandels op zwart

Een grote ransomware-aanval op het Franse bedrijf Titelive zorgt ervoor dat honderden onafhankelijke boekenwinkels in België, Nederland en Frankrijk alle verkopen manueel moeten ingeven en dat ze niet meer aan hun facturatie- en voorraadgegevens kunnen. De aanval is gisteren gestart, de digitale gijzelnemers eisen losgeld voor de versleutelde data. Titelive brengt een saas-pakket op de markt waarmee boekhandelaars online aan voorraad- en kassabeheer kunnen doen. Het bedrijf bedient vooral onafhankelijke boekenwinkels. Alle systemen zijn sinds gisteren uit de lucht. Titelive zelf is momenteel onbereikbaar, maar het nieuws is ons bevestigd door verschillende boekhandels. 'Concreet betekent dit dat we momenteel eigenlijk niet kunnen werken', klinkt het bij boekhandel Malpertuis in Genk. 'Het kassasysteem werkt nog, maar maakt geen verbinding meer met de achterliggende backoffice. We kunnen dus wel verkopen, maar we moeten alle bonnetjes bijhouden om later manueel het voorraadsysteem te updaten. Ook alles in verband met facturatie werkt momenteel niet.' Ook bijvoorbeeld in Amsterdam zijn er boekhandels, zoals De Nieuwe Boekhandel, bij wie het systeem de hele dag al plat ligt. Naar verluidt zijn de systemen van Titelive versleuteld en eisen de gijzelnemers een zeer hoog losgeld. Welke ransomware ze precies hebben gebruikt of hoe de aanval exact is uitgevoerd, is momenteel niet duidelijk. Ook wie achter de aanval zit, is nog koffiedik kijken. Titelive bevestigt op haar antwoordapparaat dat er 'een aanval' op het bedrijf is uitgevoerd, maar geeft geen verdere details.

27 september

Autobedrijf Bochane gehackt

Autobedrijf Bochane, met filialen in Almere en Lelystad, is het slachtoffer geworden van een aanval met gijzelsoftware. Volgens een bericht op de website van het bedrijf is een groot deel van het computersysteem sinds afgelopen donderdag geblokkeerd. Wie een afspraak heeft voor een onderhoudsbeurt of reparatie heeft geen hinder van de hack; de werkplaatsen zijn open en operationeel, meldt Bochane. Ook de showrooms zijn open, maar daar is de dienstverlening mogelijk beperkt. Een showroombezoeker in Lelystad meldt ons dat het maken van een proefrit niet kan, maar de vestiging in Lelystad wil niet reageren en verwijst naar het hoofdkantoor in Veenendaal. Lees verder

Cybercriminelen lekken gegevens uitzendbureau Beverwijk na cyberaanval

Hackersgroep Conti news hebben gegevens van uitzendbureau IJmond Werkt op het darkweb gelekt, nadat het bedrijf eerder deze maand slachtoffer van een cyberaanval was geworden. Een woordvoerder van IJmond Werkt bevestigde desgevraagd dat het waarschijnlijk gaat om gegevens die begin september bij de cyberaanval zijn gestolen. Om wat voor gegevens het precies gaat, is vooralsnog onduidelijk. Het bedrijf laat via zijn website weten dat het mogelijk om persoonlijke data gaat, zoals burgerservicenummers en bankrekeningnummers. Cybersecurity-bedrijf Fox-IT doet momenteel onderzoek naar de gegevens. 

Duizenden getroffen door ransomware-aanval op Hawaii Company

Ongeveer 4.500 klanten van een salaris verwerkingsbedrijf in Honolulu werden mogelijk getroffen door een ransomware-aanval die burgerservicenummers, geboortedata en de volledige namen van klanten en bankrekening gegevens openbaar maakte. Half februari ontdekte Hawaii Payroll Services LLC dat zijn servers en databases waren geschonden door een onbevoegde gebruiker. De verboden toegang van de servers met bedrijfsinformatie vond plaats van 15 tot 16 februari, waarschijnlijk door iemand "die toegang kon krijgen tot de systemen van Hawaii Payroll via een gecompromitteerde klant account en een privilege-escalatie-aanval uitvoerde waarmee de indringer beveiligingssoftware kon uitschakelen en verwijderen en versleutel alle gegevens op de servers van Hawaii Payroll," Bron

Nieuwe ransomware gericht op Rusland

Michael Gillespie heeft een nieuwe ransomware gevonden die gericht is op GOS-landen en die de .bugs toevoegt en losgeldnotities met de namen "1ВАЖЛИВА ІНФОРМАЦІЯ!!!.txt" en "2ВАЖЛИВА ІНФОРМАЦІЯ!!!.txt".

Bron: Diverse | Met speciale dank aan: Anonieme tipgevers

Tips of verdachte activiteiten gezien? Meld het hier.

Meer weekoverzichten

Iedere maandag om 15:00 het complete overzicht van de afgelopen week. Wil je deze in de mail ontvangen zodat je geen enkel overzicht mist? Laat het ons dan weten via het volgende e-mailadres aanmelden.cybercrimeinfo.nl@gmail.com onder de vermelding van 'Aanmelding overzicht cyberaanvallen'