Computer hardware gigant GIGABYTE getroffen door RansomEXX ransomware, securitybedrijven luiden noodklok over ransomware-incidenten in Nederland en LockBit ransomware rekruteert insiders om bedrijfsnetwerken te doorbreken. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

8 augustus

6 augustus

Google en Microsoft gaan samen met overheid VS ransomware aanpakken

Verschillende techbedrijven waaronder Amazon, Google en Microsoft sluiten zich aan bij een initiatief van de Amerikaanse overheid om de Amerikaanse vitale infrastructuur tegen ransomware-aanvallen te beschermen. Het Joint Cyber Defense Collaborative (JCDC) zal samen met het bedrijfsleven en overheidsinstanties de cyberverdediging van organisaties versterken en de impact van aanvallen proberen te beperken. Ook zullen de private en publieke sector samen oefeningen uitvoeren en aan een nationaal cyberdefensieplan werken. Op dit moment hebben Amazon, ATT, CrowdStrike, Mandiant, Google, Microsoft, Lumen, Palo Alto Networks en Verizon zich bij het JCDC aangesloten. "We hebben bedrijven uit alle vitale sectoren nodig", zegt Jen Easterly, directeur van het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security dat het initiatief leidt. De afgelopen jaren zijn tal van Amerikaanse steden, schooldistricten en bedrijven het slachtoffer van ransomware geworden. Na recente aanvallen op onder andere de Colonial Pipeline en vleesverwerker JBS liet de Amerikaanse overheid weten dat het allerlei maatregelen zou gaan treffen om ransomware aan te pakken en de cybersecurity van de vitale infrastructuur te versterken.

Technische handleidingen Conti-ransomwaregroep gelekt op internet

Op internet zijn verschillende technische handleidingen van de Conti-ransomwaregroep verschenen waarin ip-adressen van gebruikte command & control-servers staan en het aanvallen van netwerken en stelen van data worden uitgelegd, zo melden verschillende beveiligingsonderzoekers via Twitter.

Volgens de onderzoekers zijn de documenten gelekt via een partner van de groep die aanvallen op netwerken uitvoert. De gelekte handleidingen zouden onder partners worden verspreid. Eén van deze partners publiceerde de bestanden en handleidingen op een forum voor cybercriminelen, waar het vervolgens door onderzoekers werd gedownload. Beveiligingsonderzoeker Vitali Kremez laat tegenover Bleeping Computer weten dat de handleidingen overeen komen met actieve gevallen van de Conti-ransomware. De documenten bevatten onder andere screenshots van ip-adressen die de Conti-groep zou gebruiken voor Cobalt Strike-servers. Cobalt Strike is een tool voor het uitvoeren van penetratietests op systemen en netwerken. Het wordt echter ook gebruikt door aanvallers voor het verder compromitteren van aangevallen organisaties. Via de servers kunnen de aanvallers met besmette systemen binnen organisaties communiceren. In de handleidingen wordt onder andere uitgelegd hoe de Rclone-software in combinatie met de MEGA-cloudopslagdienst moet worden gebruikt voor het stelen van data. Ook het gebruik van Netscan voor het scannen van interne netwerken, het gebruik van AnyDesk om systemen op afstand te benaderen, het dumpen van wachtwoorden van Active Directories (NTDS dumping), het gebruik van de Zerologon-kwetsbaarheid, het gebruik van Ngrok voor RDP-tunneling, het toepassen van SMB-bruteforce-aanvallen om domeinbeheerder te worden en het uitvoeren van een Kerberoasting-aanval worden besproken, zo blijkt uit een analyse van The DFIR Report.

De Belgische managed serviceprovider (MSP) ITxx besloot de criminelen achter de Conti-ransomware, die bestanden van klanten hadden versleuteld, vorige maand nog 300.000 dollar losgeld te betalen. Ook zat de groep achter de aanval op de Ierse gezondheidszorg en een groot Amerikaans schooldistrict. Volgens de FBI zou de Conti-groep wereldwijd meer dan vierhonderd organisaties hebben aangevallen.

Computer hardware gigant GIGABYTE getroffen door RansomEXX ransomware

De Taiwanese moederbordmaker Gigabyte is getroffen door de RansomEXX ransomware-bende, die dreigt met het publiceren van 112 GB aan gestolen gegevens, tenzij er losgeld wordt betaald. Gigabyte is vooral bekend om zijn moederborden, maar produceert ook andere computercomponenten en hardware, zoals grafische kaarten, datacenterservers, laptops en monitoren. De aanval vond dinsdagavond laat op woensdag plaats en dwong het bedrijf de systemen in Taiwan uit te schakelen. Het incident had ook gevolgen voor meerdere websites van het bedrijf, waaronder de ondersteuningssite en delen van de Taiwanese website. Klanten hebben ook problemen gemeld bij het openen van ondersteuningsdocumenten of het ontvangen van bijgewerkte informatie over RMA's, wat waarschijnlijk te wijten is aan de ransomware-aanval. Volgens de Chinese nieuwssite  United Daily News heeft Gigabyte bevestigd dat ze te maken hebben gehad met een cyberaanval die een klein aantal servers trof. Nadat ze de abnormale activiteit op hun netwerk hadden ontdekt, hadden ze hun IT-systemen afgesloten en de politie op de hoogte gebracht.

5 augustus

Lek in Cobalt Strike maakt dos-aanval op ransomwaregroepen mogelijk

Onderzoekers hebben een kwetsbaarheid in de software Cobalt Strike ontdekt waardoor het mogelijk is om een denial of service-aanval op de servers van ransomwaregroepen en andere aanvallers uit te voeren, zo stelt securitybedrijf SentinelOne. Cobalt Strike is een tool voor het uitvoeren van penetratietests op systemen en netwerken. Het wordt echter ook gebruikt door aanvallers voor het verder compromitteren van aangevallen organisaties. Nadat een systeem binnen de organisatie is gecompromitteerd installeren de aanvallers een tool zoals Cobalt Strike Beacon. Daarmee is versleutelde communicatie met de server van de aanvallers mogelijk. Die kunnen zo nieuwe opdrachten geven, zoals het installeren van aanvullende malware. Ook wordt Cobalt Strike gebruikt voor het verder in kaart brengen van het netwerk en laat het de aanvallers zich lateraal door het netwerk bewegen, zodat het uiteindelijk volledig kan worden overgenomen, stelt antimalwarebedrijf Malwarebytes. Volgens securitybedrijf Intel 471 is er een correlatie tussen het gebruik van Cobalt Strike door cybercriminelen en de toename van het aantal ransomware-aanvallen in de afgelopen jaren. Bij veel grote ransomware-aanvallen maakten aanvallers gebruik van Cobalt Strike. Onderzoekers van securitybedrijf SentinelOne ontdekten een kwetsbaarheid in Cobalt Strike waardoor het mogelijk is om de communicatie tussen beacons en de server te verstoren, de installatie van nieuwe beacons te voorkomen en een dos-aanval op de server uit te voeren zodat die niet meer reageert totdat de aanvallers die herstarten. Het herstarten is echter niet genoeg om misbruik van de kwetsbaarheid te voorkomen, aangezien het mogelijk is om de server herhaaldelijk te blijven aanvallen.

De aanval is mogelijk door het registreren van fake beacons bij de de Cobalt Strike-server van de aanvallers. Vervolgens is het mogelijk om taken naar de server te sturen die al het beschikbare geheugen in beslag nemen. Aangezien Cobalt Strike een legitiem product is, ontwikkeld door HelpSystems, heeft SentinelOne de kwetsbaarheid in april aan de ontwikkelaar gerapporteerd. Die kwam gisteren met een beveiligingsupdate in de vorm van Cobalt Strike 4.4.

Amerikaans schooldistrict betaalt ransomwaregroep 550.000 dollar losgeld

Een Amerikaans schooldistrict dat in juni werd getroffen door een ransomware-aanval heeft de verantwoordelijke criminelen zo'n 550.000 dollar losgeld betaald om te voorkomen dat gestolen data op internet werd gepubliceerd. Systemen van het Judson Independent School District (ISD) raakten op 17 juni besmet met ransomware. Het schooldistrict telt bijna 27.000 studenten en medewerkers verdeeld over meer dan dertig scholen. Door de aanval had het Judson ISD geen toegang meer tot de it-systemen, waaronder telefoon en e-mail. Door het versneld uitvoeren van upgrades kon de toegang tot het telefoonsysteem en e-mail worden hersteld, aldus het schooldistrict in een verklaring die eind juli werd gegeven. Gisteren maakte het Judson ISD bekend dat het de aanvallers achter de aanval 547.045,61 dollar losgeld heeft betaald om te voorkomen dat gestolen persoonlijke identificeerbare informatie op internet werd gepubliceerd. "Hoewel we dit geld liever aan de behoeftes van onze medewerkers, studenten en hun families hadden uitgegeven, was er geen andere keuze voor het district om jullie veiligheid te garanderen, wat onze eerste prioriteit is", aldus het schooldistrict. Dat stelt dat het op een later moment met meer informatie zal komen.

Britse scholen starten wegens ransomware later met nieuwe schooljaar

Zes scholen op het Britse eiland Wight hebben wegens een ransomware-aanval besloten om later met het nieuwe schooljaar te starten. Door de aanval die eind juli plaatsvond werd alle data op de schoolsystemen versleuteld en hebben de onderwijsinstellingen geen toegang meer tot hun systemen. De zes scholen stellen in een reactie tegenover Isle of Wight Radio dat de aanval grote gevolgen heeft. De scholen beschikken namelijk niet over een werkende back-up. Volgens een hoofdleraar moet alle versleutelde schooldata als verloren worden beschouwd en zal het onderwijspersoneel nog zeker maanden bezig zijn om alle verloren informatie te herstellen. Om het personeel bij dit proces te helpen is besloten om de scholen na de zomervakantie drie dagen langer gesloten te houden. Verdere details over de aanval zijn niet gegeven.

Linux-versie van BlackMatter-ransomware richt zich op VMware ESXi-servers

De BlackMatter-bende heeft zich aangesloten bij de ransomware-operaties om een ​​Linux-encryptor te ontwikkelen die zich richt op het ESXi-platform voor virtuele machines van VMware. De onderneming stapt steeds vaker over op virtuele machines voor hun servers voor beter resourcebeheer en herstel na noodgevallen. Nu VMware ESXi het meest populaire platform voor virtuele machines is, is bijna elke ransomware-operatie die gericht is op ondernemingen, begonnen met het vrijgeven van encryptors die specifiek zijn gericht op zijn virtuele machines. Vandaag vond beveiligingsonderzoeker Vutali Kremez een Linux ELF64-encryptor [ VirusTotal ] voor de BlackMatter ransomware-bende die zich specifiek richt op VMware ESXi-servers op basis van zijn functionaliteit.

Een spoor van vernieling door het internationale bedrijfsleven

Gehackte olieleidingen, honderden getroffen bedrijven en miljoenen aan schade. Hackers trekken dankzij ransomware een spoor van vernieling door het internationale bedrijfsleven. En dat gaat er professioneel aan toe, kwam Nieuwsuur achter. NOS Nieuwsuur mocht meeluisteren met een stukje onderhandeling tussen een Nederlands beveiligingsbedrijf en criminele hackers. De online criminelen zijn dermate professioneel dat de onderhandelaars werken in ploegendiensten. Ze lijken zelfs scripts te gebruiken tijdens de onderhandeling - alsof je met een klantenservice belt. In de video hieronder neemt Nieuwsuur je mee door de ransomware kill chain, oftewel: de zeven verschillende criminele groepen die zich bezighouden met een ransomware-aanval. Nieuwsuur heeft je een inkijkje in hun wereld. Bekijk de video hieronder:

4 augustus

Securitybedrijven luiden noodklok over ransomware-incidenten in Nederland

Drie securitybedrijven luiden tegenover de Volkskrant de noodklok over het aantal ransomware-incidenten in Nederland en vinden dat de overheid meer actie moet ondernemen. "We moeten met regelmaat zaken afzeggen omdat we er geen capaciteit voor hebben", zegt Pim Takkenberg, directeur cybersecurity bij Northwave. Volgens Ronald Prins van Hunt & Hackett is het aantal incidenten vele malen groter dan de in Nederland actieve securitybedrijven aankunnen. "Je kunt niet anders concluderen dan dat de nationale veiligheid in gevaar is", zegt Takkenberg. Hij krijgt bijval van Job Kuijpers, directeur en oprichter van Eye. "Ransomware is inmiddels een bedreiging voor de welvaart van Nederland." Prins stelt dat het aantal aanvallen richting een nationale crisis gaat. De gevolgen voor getroffen organisaties is groot. Volgens Piet Kerkhofs van Eye moet negentig procent van de ransomware-slachtoffers betalen of alles opnieuw opbouwen. In de praktijk blijkt dat veel aanvallen mogelijk zijn doordat organisaties basismaatregelen niet nemen. "In bijna alle gevallen hebben de bedrijven een van de volgende zaken vier niet op orde: geen goede back-upstrategie, geen meerstapsverificatie, niet op tijd updates uitvoeren of geen goede monitoring", merkt Takkenberg op. Kerhofs stelt dat bij de meeste ransomware-aanvallen de aanvallers wisten binnen te komen door middel van bruteforce-aanvallen of kwetsbare software. "Bij een klant stond een drie jaar oude pc. Toen die weer online ging, werd-ie in no time geïnfecteerd." Volgens de drie securitybedrijven moet de overheid meer actie ondernemen om bijvoorbeeld de infrastructuur van ransomwaregroepen uit te schakelen. "Maak het businessmodel van de ransomwaregroepen stuk: elke keer als ze Nederland aanvallen, maak je hun infrastructuur kapot. Dat vinden ze irritant en vervolgens gaan ze ergens anders heen", stelt Prins. Ook vinden de it-beveiligers dat de overheid meer bedrijven moet informeren, in plaats van alleen de vitale organisaties.

LockBit ransomware rekruteert insiders om bedrijfsnetwerken te doorbreken

De LockBit 2.0 ransomware-bende is actief bezig met het werven van insiders uit het bedrijfsleven om hen te helpen netwerken te doorbreken en te versleutelen. In ruil daarvoor wordt de insider een uitbetaling van miljoenen dollars beloofd. Veel ransomware-bendes opereren als Ransomware-as-a-Service, die bestaat uit een kerngroep van ontwikkelaars, die de ransomware- en betalingssites onderhouden, en gelieerde partners die de netwerken van slachtoffers doorbreken en apparaten versleutelen. Alle losgeldbetalingen die slachtoffers doen, worden vervolgens verdeeld tussen de kerngroep en de aangeslotene, waarbij de aangeslotene meestal 70-80% van het totale bedrag ontvangt. In veel gevallen kopen de filialen echter toegang tot netwerken van andere externe pentesters in plaats van zelf inbreuk te maken op het bedrijf. Met LockBit 2.0 probeert de ransomwarebende de tussenpersoon te verwijderen en in plaats daarvan insiders te werven om hen toegang te geven tot een bedrijfsnetwerk.

Isle of Wight-scholen (GB) getroffen door ransomware

Zes scholen op het Isle of Wight zijn getroffen door een ransomware-aanval die resulteerde in de versleuteling van gegevens en mogelijk de start van het nieuwe schooljaar vertragen. De aanval, waarbij gegevens werden versleuteld, trof volgens de Federatie de scholen en hun overkoepelende organisatie de Isle of Wight of Education Federation tussen 28 en 29 juli. Alle websites van de scholen zijn sinds vrijdag offline. De getroffen scholen waren Carisbrooke College, Island 6th Form, Medina College, Barton Primary, Hunnyhill Primary en Lanesend Primary. Lanesend Primary maakte bekend dat de start van de nieuwe in september met enkele dagen kan worden uitgesteld .

Energiegroep ERG meldt kleine verstoringen na ransomware-aanval

Het Italiaanse energiebedrijf ERG meldt "slechts een paar kleine verstoringen" van zijn informatie- en communicatietechnologie (ICT)-infrastructuur na een ransomware-aanval op zijn systemen. Terwijl de Italiaanse groep voor hernieuwbare energie alleen naar het incident verwees als een hackeraanval, meldde La Repubblica dat de aanval werd gecoördineerd door de LockBit 2.0 ransomware-groep. De  LockBit ransomware-  bende ging in september 2019 van start en kondigde in juni 2021 de lancering aan van de LockBit 2.0 ransomware-as-a-service.

Sanford Health doelwit van poging tot cyberaanval

Sanford Health heeft een verklaring uitgegeven waarin wordt onthuld dat het een poging tot "cyberbeveiligingsincident" heeft gehad, maar zei dat het gelooft dat er geen persoonlijke of financiële informatie in gevaar is gebracht. Een onderzoek gaat door. Bron

Bescherm je tegen BlackMatter Ransomware voordat het te laat is

Insikt Group analyseerde Windows- en Linux-varianten van BlackMatter-ransomware, een nieuw ransomware-as-a-service (RaaS)-partnerprogramma dat werd opgericht in juli 2021.

"Bad guys sponsoren" Stelling: Ransomware moet uitgesloten worden van verzekeringsdekking

Nederlandse bedrijven sluiten wereldwijd de hoogste verzekeringen af tegen schade door ransomware-aanvallen. Gemiddeld zijn ze voor 5,77 miljoen euro gedekt voor gijzelsoftware. Dat is een hoger bedrag dan in de VS en Japan. Critici willen een verbod op de verzekeringen omdat ze naast de gevolgschade ook losgeld dekken. Daardoor houden ze het verdienmodel van cybercriminelen in stand, luidt de kritiek. Lees verder

3 augustus

FBI tegen wettelijk verbod op betalen van losgeld bij ransomware-aanval

Politie, opsporingsdiensten en andere overheidsinstanties raden slachtoffers van een ransomware-aanval af om het gevraagde losgeld te betalen, maar een verbod is niet de oplossing, zo stelt de FBI. De opsporingsdienst krijgt bijval van verschillende securitybedrijven. Na meerdere grote ransomware-aanvallen in de Verenigde Staten werd het idee geopperd om een wettelijk verbod in te stellen op het betalen van losgeld. "Als we het betalen van losgeld nu verbieden, plaats je Amerikaanse bedrijven in een positie dat ze nog een keer worden afgeperst, namelijk wegens het betalen van het losgeld en het niet delen hiervan met de autoriteiten", aldus Bryan Vorndran, adjunct-directeur van de cyberdivisie bij de FBI. Hij sprak tijdens een hoorzitting van het Amerikaanse Congres over het voorkomen van en reageren op ransomware-aanvallen. Vorndran herhaalde het standpunt van de FBI dat de opsporingsdienst het betalen van het losgeld afraadt. Dit omdat er geen zekerheid is dat slachtoffers een decryptiesleutel ontvangen en de aanvallers gestolen data ook daadwerkelijk verwijderen. "Het is een lastig gesprek, maar het is ons standpunt dat het verbieden van losgeldbetalingen niet de oplossing is." De FBI-topman ziet liever dat bedrijven die zich genoodzaakt zien om losgeld te betalen dit ook bij de autoriteiten melden. Tom Hoffman, senior vice-president van securitybedrijf Flashpoint, is ook tegen een verbod op het betalen van losgeld. Flashpoint onderhandelt voor slachtoffers met ransomwaregroepen. "Wat gebeurt er wanneer een bedrijf failliet gaat", laat Hoffman tegenover de Daily Beast weten. "Hoe profiteert de samenleving ervan als een bedrijf kopje ondergaat en er vijfhonderd mensen werkeloos zijn omdat iemand een moreel standpunt tegen het betalen van losgeld inneemt." Net als Hoffman is ook Kurtis Minder, ceo en oprichter van securitybedrijf GroupSense, tegen een verbod. "Plaats jezelf in de schoenen van een klein bedrijf of ziekenhuis dat failliet gaat of dat iemand overlijdt als je het losgeld niet betaalt. Iedereen met een sterk standpunt tegen betalen is niet bekend met slachtoffers."

Ardagh Group krijgt klap van $ 34 miljoen door cyberaanval

Ardagh Group zei dat een cyberaanval op de verpakkingsgroep in mei leidde tot een totale financiële klap van $ 34 miljoen (€ 28,6 miljoen), inclusief bij de drankblikjesafdeling die deze week afzonderlijk op de New York Stock Exchange zal worden verhandeld. De gigant van glazen en metalen containers zei op 17 mei dat hij werd getroffen door een cyberaanval die hem dwong om uit voorzorg enkele van zijn systemen te sluiten.

Amerikaanse medische entiteiten vallen ten prooi aan Pysa-bedreigingsactoren, maar velen hebben het niet bekendgemaakt - althans nog niet.

Sinds 2018 gebruiken bedreigingsactoren bekend als "Pysa" (voor "Protect Your System Amigo") mespinoza-ransomware om de bestanden van slachtoffers te vergrendelen nadat ze een kopie ervan hebben geëxfiltreerd. Begin 2020 werden door zowel de FBI als de CNIL waarschuwingen over deze “big-game-jagers” gepubliceerd . Sindsdien is Pysa een bedreiging blijven vormen voor de medische sector en het onderwijs.  Net als een aantal andere ransomware-as-a-service (RaaS)-groepen, onderhoudt Pysa een speciale leksite op het dark web waar ze een lijst maken van slachtoffers die hun losgeld eisen niet betalen en vervolgens hun gegevens dumpen. Ze noemen ze 'partners'. Bron

2 augustus

Buizenpostsysteem duizenden ziekenhuizen kwetsbaar voor aanvallers

Een buizenpostsysteem dat duizenden ziekenhuizen wereldwijd gebruiken voor bijvoorbeeld het versturen van afgenomen bloed en medicatie bevat verschillende kwetsbaarheden waardoor aanvallers het systeem kunnen compromitteren en saboteren. Leverancier Swisslog Healthcare heeft updates uitgebracht om de kwetsbaarheden in het TransLogic PTS-systeem te verhelpen. Een kwetsbaarheid in het uploaden van firmware wordt op een later moment opgelost, maar in de tussentijd zijn er mitigatiemaatregelen gepubliceerd. Het PTS-systeem wordt door tachtig procent van de ziekenhuizen in Noord-Amerika gebruikt en is bij meer dan drieduizend ziekenhuizen wereldwijd geïnstalleerd. Via het buizenpostsysteem kan er snel allerlei materiaal worden verstuurd en ontvangen. Deze systemen zijn niet vanaf het internet toegankelijk, maar een aanvaller die toegang tot het netwerk of controlepaneel heeft kan verschillende aanvallen uitvoeren, zo ontdekte securitybedrijf Armis, dat de kwetsbaarheden de naam "PwnedPiper" gaf.

Verzekeringsmakelaar Gallagher aangeklaagd wegens ransomware-aanval

Verzekerings- en uitkeringsmakelaar Arthur J. Gallagher is het doelwit van een voorgestelde class action-rechtszaak over een ransomware-aanval die het in 2020 heeft ondergaan. De eisers beweren dat Gallagher de federale en staatsoverheids- en industrienormen niet heeft gevolgd om hun persoonlijke informatie tegen hackers te beschermen en personen wiens informatie is gestolen niet adequaat heeft geïnformeerd of geholpen. De eisers beweren dat zij, klanten en andere medewerkers van Gallagher verwondingen hebben opgelopen, kosten hebben gemaakt en het vooruitzicht van "huidig ​​en dreigend levenslang risico op identiteitsdiefstal" hebben. De eisers beweren dat criminelen de gestolen persoonlijke gegevens al hebben gebruikt om te proberen bepaalde identiteiten te stelen. Bron

Bron: Diverse | Met speciale dank aan: Anonieme tipgevers

Tips of verdachte activiteiten gezien? Meld het hier.

Meer weekoverzichten