English | Français | Deutsche | Español | Meer talen

Exchange-servers aangevallen om BlackCat-ransomware te verspreiden, Zwitsers luchtruim tijdlang gesloten door computer storing bij luchtverkeersleiding en Ransomwarebende maakt een website waarop werknemers naar hun gestolen gegevens kunnen zoeken. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

Meer dan 5.000 organisaties hebben schade geleden door het lekken van interne data op het Darkweb door ransomware bendes.

Update: 20-juni-2022 | Aantal slachtoffers: 5.673

Week overzicht

In samenwerking met DarkTracer

Poetin ‘beveelt tot 50 spionnen van slaapagenten die zich in Groot-Brittannië verbergen om zich voor te bereiden op cyberaanvallen tegen het VK’

Vladimir Poetin heeft tot 50 slapende agenten in Groot-Brittannië bevolen om zich voor te bereiden op een aanval  tegen het VK, zo wordt beweerd. MI5 is van mening dat de Russische leider undercoveragenten opdracht heeft gegeven klaar te staan ​​om cyberaanvallen uit te voeren te midden van oplopende spanningen met Moskou over de oorlog in Oekraïne. Inlichtingenfunctionarissen vrezen dat de speciale troepen ook proberen militaire informatie te stelen en zich richten op Oekraïense activisten en dissidenten in Rusland. Bronnen vertelden aan The Mirror dat Russische spionnen waren geïnfiltreerd in alle sectoren van de Britse samenleving, inclusief de hoogste staatsscholen en het ambtenarenapparaat. Een hoge inlichtingenfunctionaris zei: 'We moeten aannemen dat Rusland nu actief is op alle niveaus van de Britse samenleving. (Binnenkort hier meer over op Cybercrimeinfo)

Cyberaanval op een NAVO land

Een cyberaanval wordt binnenkort misschien wel gezien als een gewapende aanval, die artikel 5 van de NAVO in werking kan treden. Kortom: een cyber-aanval op 1 NAVO-land, is een aanval op alle NAVO-landen. Het kabinet is het eens met dat idee, dat in het nieuwe Strategisch Concept van de NAVO staat. CEO van ESET Nederland Dave Maasland weet wat de gevolgen hiervan zijn.

Supermarktketen Shoprite getroffen door ransomware

De grootste supermarktketen van Afrika, Shoprite Holdings, met bijna 3.000 winkels in 12 landen op het continent, is aangevallen met ransomware. Shoprite heeft een omzet van $ 5,8 miljard en 149.000 medewerkers. De retailer heeft 2.943 winkels en bedient miljoenen klanten in Zuid-Afrika, Nigeria, Ghana, Madagaskar, Mozambique, Namibië, DRC, Angola en andere landen. Het bedrijf maakte bekend dat het afgelopen vrijdag een beveiligingsincident heeft meegemaakt en waarschuwde klanten in Eswatini, Namibië en Zambia dat hun persoonlijke gegevens mogelijk in gevaar zijn gebracht na een cyberaanval. Volgens de verklaring van de supermarkt zijn er aanvullende beveiligingsmaatregelen genomen om gegevensverlies verder te voorkomen door de authenticatieprocessen en strategieën voor fraudepreventie en -detectie aan te passen om gegevens van klanten te beschermen. Ze zorgen ervoor dat ook de toegang tot relevante delen van het netwerk wordt afgesloten. De gecompromitteerde records hadden namen en identificatiegegevens, maar er waren geen financiële informatie of bankrekeningnummers bij betrokken. Nu heeft een ransomwarebende genaamd RansomHouse de verantwoordelijkheid voor de aanval opgeëist en een steekproef van 600 GB aan gegevens vrijgegeven waarvan ze denken dat ze tijdens de aanval van een winkelier hebben gestolen.

Microsoft: Exchange-servers aangevallen om BlackCat-ransomware te verspreiden

Microsoft zegt dat hackers actief proberen om Microsoft Exchange-servers aan te vallen om vervolgens BlackCat-ransomware te verspreiden. BlackCat is ransomware die door meerdere partijen wordt gebruikt. Volgens Microsoft proberen hackers in te breken door ongepatchte kwetsbaarheden te misbruiken. Eens dat lukt, gaan ze in het bedrijfsnetwerk inloggegevens en bedrijfsgegevens stelen, later wordt BlackCat uitgerold. Zo kan het bedrijf zowel worden afgeperst door toestellen te versleutelen, als met de dreiging om de bedrijfsgegevens publiek te maken. BleepingComputer merkt op dat het niet om één groep gaat, maar vermoedelijk om meerdere groepen, gezien BlackCat wordt aangeboden als ransomware as a service. Daarbij gaan de makers van de ransomware hun software aanbieden aan meerdere spelers die vervolgens zelf hun doelwit kiezen en mogelijk afpersen. BlackCat zelf is sinds november 2021 actief? Microsoft zegt dat het op verschillende toestellen en besturingssystemen wordt gebruikt, zowel Linux, Windows als VMWare omgevingen.

Zwitsers luchtruim tijdlang gesloten door computer storing bij luchtverkeersleiding

Het luchtruim van Zwitserland was woensdagochtend omwille van veiligheidsredenen “tot nader order” gesloten, wegens een informaticapanne bij luchtverkeersleider Skyguide. Volgens de luchthaven van Genève en Zürich is het probleem ondertussen opgelost en kan het vliegverkeer weer opstarten. Op de luchthaven van Genève zijn alle vertrekkende en inkomende vluchten tot zeker 11 uur opgeschort. Vanaf Brussels Airport zijn woensdagochtend twee vluchten naar Genève gepland, waarvan er één geannuleerd werd en een andere met vertraging aangekondigd is. Het luchtverkeer is sinds 8.30 uur geleidelijk hervat. Verschillende vluchten blijven geannuleerd, waardoor reizigers verzocht wordt om bij hun luchtvaartmaatschappij na te gaan of hun vlucht nog doorgaat. Heel wat vluchten naar Genève of Zürich werden woensdagochtend omgeleid naar luchthavens in buurlanden, waaronder die van Lyon, Milaan en Wenen. De woordvoerder van Skyguide, Vladi Barrosa, liet aan het Duitse persagentschap dpa weten dat het bedrijf niet uitgaat van een cyberaanval, maar dat een hardwareprobleem wellicht aan de basis van de panne lag.

Ransomware-aanval gemeente Buren via gestolen inloggegevens leverancier

De ransomware-aanval op de gemeente Buren vanwege afgelopen april waarbij gevoelige informatie van inwoners werd gestolen en gepubliceerd kon plaatsvinden doordat de aanvallers over de inloggegevens van een leverancier beschikten. Voor dit account was geen tweefactorauthenticatie (2FA) ingesteld, waardoor de aanvallers alleen aan een gebruikersnaam en wachtwoord voldoende hadden. Verdere details over het soort account en de leverancier in kwestie zijn niet gegeven. Bij de aanval werd zeker honderddertig gigabyte aan data buitgemaakt. Het ging onder andere om identiteitsbewijzen. Op de getroffen systemen stonden kopieën van ruim 1300 identiteitsbewijzen. Om misbruik te voorkomen geeft de gemeente getroffen inwoners de mogelijkheid om hun identiteitsbewijs kosteloos te vervangen. Op dit moment zijn er al ruim duizend inwoners aangeschreven met het aanbod hun identiteitsbewijs te laten vervangen. De gemeente Buren zegt dat het op advies van specialisten niet is ingegaan op verzoeken van de aanvallers tot contact. "Naar alle waarschijnlijkheid zou er om losgeld zijn gevraagd. Er is daarover niet met de hackers onderhandeld. Ook omdat de Rijksoverheid zich uitgesproken heeft tegen betaling van losgeld bij datadiefstal", zo laat de gemeente weten. De aanvallers claimen dat ze vijf terabyte aan data hebben buitgemaakt. "Bij onze beveiliging volgen we de richtlijnen van de Baseline Informatiebeveiliging Overheid (BIO). De gemeente kon na de ransomware-aanval meteen doordraaien, omdat de back-upstrategie op juiste wijze is ingericht. Ten aanzien van de monitoring liep ten tijde van de hack nog een inkooptraject dat nog niet was afgerond. Samen met de experts hebben we inmiddels de monitoring van systemen ingericht", zegt burgemeester Josan Meijers. De aanvallers publiceerden honderddertig gigabyte aan gestolen data op internet. "Helaas kunnen we niet uitsluiten dat meer gegevens opduiken op het darkweb. De gemeente is alert op signalen van schendingen van vertrouwelijkheid van gegevens als gevolg van de hack", zo laat Meijers verder weten. De gemeente werkt nog aan een openbare versie van het onderzoeksrapport naar de aanval.

Nieuwe Sheeva ransomware

FBI: slachtoffers Netwalker-ransomware betaalden 60 miljoen dollar losgeld

Bedrijven en organisaties die slachtoffer van de Netwalker-ransomware werden betaalden bijna zestig miljoen dollar losgeld aan de criminelen achter de aanvallen. Slechts een kwart van de slachtoffers deed hier echter aangifte van en het percentage ligt vermoedelijk nog veel lager. Deze aangiftes zijn echter nodig om onderzoeken naar ransomware criminelen te kunnen starten, zo liet de FBI tijdens de afgelopen RSA Conferentie weten. NetWalker werd aangeboden als een Ransomware-as-a-Service (RaaS). Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden. Vorig jaar werd de Netwalker-operatie mede door toedoen van de FBI uit de lucht gehaald. Een Canadese man die van de Netwalker-ransomware gebruikmaakte, en hier 27 miljoen dollar mee zou hebben verdiend, werd door de VS aangeklaagd. Bij de operatie tegen de ransomware criminelen werden door de Bulgaarse autoriteiten verschillende backend-servers in beslag genomen. Daarop werden meer dan duizend Netwalker-versies aangetroffen, die voor elk slachtoffer uniek waren aangepast. Aan de hand van de informatie op de servers kon de FBI meer dan 450 slachtoffers identificeren. Slechts 115 hiervan hadden aangifte gedaan. In totaal werden er vijftienhonderd "builds" van de Netwalker-ransomware geïdentificeerd, dus het werkelijke aantal ligt volgens de FBI tussen de vierhonderd en vijftienhonderd, zo meldt The Record. De slachtoffers die aangifte deden verklaarden dat ze in totaal 6,7 miljoen dollar losgeld hadden betaald. Maar aan de hand van de cryptowallets die de ransomwaregroep gebruikte en informatie op de in beslag genomen servers blijkt dat de criminelen bijna 60 miljoen dollar van hun slachtoffers kregen, aldus de FBI. Slechts vijftien slachtoffers vertelden de FBI dat ze losgeld hadden betaald. Het werkelijke aantal ligt volgens de opsporingsdienst boven de tweehonderd. De hoogste betaling die de FBI kon achterhalen bedroeg drie miljoen dollar. Het gemiddelde losgeldbedrag bedroeg 196.000 dollar. De Netwalker-groep wordt verantwoordelijk gehouden voor aanvallen op 270 organisaties wereldwijd.

Ransomwarebende maakt een website waarop werknemers naar hun gestolen gegevens kunnen zoeken

De ALPHV-ransomwarebende, ook wel bekend als BlackCat, heeft afpersing naar een hoger niveau getild door een speciale website te maken waarmee klanten en werknemers van slachtoffers kunnen controleren of hun gegevens zijn gehackt uit aanvallen. De gestolen gegevens worden vervolgens gebruikt in dubbele chantage waarin hackers losgeld eisen om de decryptor te leveren en de openbaarmaking van de bedrijfsgegevens te voorkomen. Om slachtoffers te dwingen te betalen, creëren ransomwarebendes websites voor datalekken, waar ze langzaam stukjes gestolen gegevens vrijgeven of klanten en werknemers e-mailen dat informatie is gestolen.

Emotet-malware steelt creditcardgegevens uit Google Chrome

Er is een nieuwe versie van de beruchte Emotet-malware ontdekt die creditcardgegevens uit Google Chrome steelt. Andere browsers laat de malware met rust. Emotet is een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren, wachtwoorden steelt en zelf zeer lastig te verwijderen is. Om zich te verspreiden maakt Emotet gebruik van e-mails die als bijlage doc-bestanden met kwaadaardige macro's bevatten. Zodra de ontvanger van de e-mail de macro's in het document inschakelt wordt Emotet geïnstalleerd en zal vervolgens proberen om andere machines in het netwerk te infecteren. Emotet kan aanvullende malware downloaden en was verantwoordelijk voor een aantal zeer ernstige ransomware-uitbraken bij grote organisaties. Onderzoekers van securitybedrijf Proofpoint en de Japanse politie melden dat Emotet van een nieuwe module gebruikmaakt waarmee in Google Chrome opgeslagen creditcardgegevens worden gestolen en teruggestuurd naar de aanvallers. De creditcardmodule werkt alleen tegen Chrome. Naast creditcardgegevens beschikt Emotet ook over modules voor het stelen van inloggegevens voor verschillende e-mailclients, waaronder Outlook en Thunderbird. Verder kan Emotet in Internet Explorer, Mozilla Firefox, Google Chrome, Safari en Opera opgeslagen wachtwoorden stelen. Vorig jaar vond er een internationale politie-operatie tegen het Emotet-botnet plaats. Door ingrijpen van de Nederlandse en Duitse politie werd de malware van een miljoen computers verwijderd. Inmiddels is de malware bezig met een comeback en weer begonnen met het op grote schaal versturen van malafide documenten om nieuwe slachtoffers te maken.

Bron: Diverse | Met speciale dank aan: Anonieme tipgevers

Meer weekoverzichten