Ransomwaregroep waarschuwt slachtoffers om niet naar politie te stappen, hacker zet gestolen gegevens online omdat hogeschool van Arnhem en Nijmegen weigert te betalen en hoe Groove Gang de Ransomware-as-a-Service-markt opschudt om partners te versterken. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.

Meer dan 3.000 organisaties hebben schade geleden door het lekken van interne data op het Darkweb door ransomware bendes.

Huidige status: 3.081

11 september

Hackers slaan toe bij ziekenfonds OZ (B): "Klantgegevens bekeken, maar medische gegevens waren veilig"

Het Onafhankelijk Ziekenfonds (OZ) is getroffen door een cyberaanval, waardoor hackers toegang hadden tot klantgegevens. Het datalek werd onmiddellijk na de vaststelling gedicht. De aanval kwam aan het licht toen OZ gecontacteerd werd door de hacker(s) zelf. "Op 7 september kregen wij een melding van een onbekende afzender dat er een zwakte was in ons systeem en dat er klantengegevens publiek waren geworden", vertelt algemeen directeur Rik Selleslaghs. "Wij hebben die zwakte op 8 september kunnen wegwerken. De afzender heeft ons dan gemeld dat de data verwijderd werden en dat ze niet gedeeld werden met anderen. Maar hij vroeg toen ook een financiële compensatie om het niet extern bekend te maken. Maar daar zijn wij niet op ingegaan." Volgens Selleslaghs zijn daarbij geen medische gegevens ingekeken: "Het lek deed zich voor in ons onlinekantoor, dus niet in de hoofddatabank. Het gaat om gegevens die de klanten zelf kunnen opvragen via hun digitale toegang.  Het gaat dan om loggegevens, die worden weggeschreven op het ogenblik dat je gebruik maakt van het onlinekantoor. Concreet zijn dat adresgegevens, contactgegevens, eventueel ook een bankrekeningnummer of gegevens van een terugbetaling. Maar dus geen paswoorden of medische verslagen." Hoe kon de hacking gebeuren? "Het is een combinatie van twee elementen. Eén daarvan is een menselijke fout. Anderzijds is het ook onmogelijk om je technisch honderd procent te beveiligen, dus het ligt ook aan een technologisch probleem." Volgens het ziekenfonds zou het technische probleem nu opgelost moeten zijn: "Al moeten we daar eerlijk in zijn: die dingen evolueren heel snel, dus volledige veiligheid kan niemand beloven. We doen alle mogelijke inspanningen, en we drijven dat nu nog verder op om onze gegevens nog beter te beveiligen." OZ heeft het incident gemeld bij de Gegevensbeschermingsautoriteit en dient ook een klacht in bij de politie.

De Russische Yandex zegt dat het de grootste DDoS-aanval in de geschiedenis heeft afgeslagen

 Een cyberaanval op de servers van de Russische technologiegigant Yandex (YNDX.O) in augustus en september was de grootste bekende distributed denial-of-service (DDoS)-aanval in de geschiedenis van internet, aldus het bedrijf. Bron

10 september

Amerikaanse autoriteiten melden afname grote ransomware-aanvallen

Na een reeks grote ransomware-aanvallen deze zomer op Amerikaanse bedrijven en organisaties is er nu een afname zichtbaar. Het is echter de vraag of die blijvend is. Dat stelde de Amerikaanse National Cyber Director Chris Inglis tijdens een evenement van de Ronald Reagan Presidential Foundation and Institute. "Ik zie dat de aanvallen zijn afgenomen en dat die groepen tot op zeker hoogte zijn gestopt", aldus Inglis over de criminele organisaties die achter verschillende ransomware-aanvallen van de afgelopen maanden zaten. Een bekend voorbeeld is de DarkSide-groep die voor de aanval op de Colonial Pipeline verantwoordelijk wordt gehouden en opeens verdween. Ook de REvil-groep, verantwoordelijk voor de wereldwijde ransomware-aanval via Kaseya, was plotseling vertrokken, hoewel websites van de groep sinds een aantal dagen weer online zijn. Volgens Inglis kan het zijn dat deze groepen wachten totdat de storm is overgewaaid. Of ze ook terug kunnen komen is mede afhankelijk van in hoeverre de Russische president Poetin en anderen internationale wetgeving handhaven en ervoor zorgen dat deze groepen geen doorstart maken, ging de National Cyber Director verder. "Het is dan ook nog te vroegen om te stellen dat we uit de gevarenzone zijn", merkte hij op. Inglis benadrukte dat de Amerikaanse president Biden het duidelijk heeft gemaakt dat de VS Rusland verantwoordelijk zal houden niet alleen voor wat de regering doet, maar ook voor de houding die ervoor zorgt dat ransomwaregroepen op Russisch grondgebied aanvallen tegen de VS en Amerikaanse vitale infrastructuur kunnen uitvoeren. De National Cyber Director erkende echter ook dat de Amerikaanse autoriteiten er nog niet in slagen om te voorkomen dat aanvallers toegang tot systemen weten te krijgen, ze worden vervolgd of weten waar het geld naar toe gaat. "Dat zorgt allemaal voor een systeem dat zwakte creëert", aldus Inglis.

Tweederde IT-managers rekent op grote cyber aanval

Tweederde van de IT-managers bij grote organisaties verwacht dat hun organisatie in de komende 12 maanden slachtoffer wordt van een serieuze cyberaanval. Dit blijkt uit een enquête van Dell onder grote bedrijven wereldwijd. Ongeveer evenveel managers denkt ook dat hun eigen maatregelen niet toekomstbestendig zijn en dat zij bij een geavanceerde aanval niet in staat zijn om hun data en systemen volledig te herstellen.

BlackMatter-netwerktoegang gezocht advertentie

Wanneer ransomware een bedrijfsnetwerk binnendringt, gebeurt dat meestal via e-mail, kwetsbaarheden in de software of onbeveiligde verbindingen op afstand. Het lijkt onwaarschijnlijk dat een insider opzettelijk malware zou verspreiden. Uit de praktijk blijkt echter dat sommige aanvallers denken dat deze methode om ransomware te verspreiden doeltreffend is, en sommige aanvallers rekruteren daarom actief werknemers van bedrijven door hen een percentage van het losgeld aan te bieden. Lees verder

9 september

Hackers lekken bijna 500.000 wachtwoorden voor VPN-accounts van Fortinet

Hackers hebben de wachtwoorden voor 498.908 VPN-accounts van het Amerikaanse cybersecuritybedrijf Fortinet op een hackersforum geplaatst. Het lek is gedicht, maar veel van de inloggegevens werken volgens de hacker nog, meldt Bleeping Computer. Hackers plaatsten een link naar de gegevens op het hackersforum RAMP. De data zijn gratis te bereiken en worden door de hackers niet gebruikt voor chantagedoeleinden. Bleeping Computer schrijft dat dit waarschijnlijk wordt gedaan om het relatief nieuwe hackersforum te promoten. Of alle inloggegevens nog bruikbaar zijn, is onduidelijk. Een ingewijde heeft tegen Bleeping Computer gezegd dat in elk geval een aantal gegevens nog gebruikt kan worden. Het is niet bekend of ook wachtwoorden voor Nederlandse accounts zijn gestolen. Kwaadwillenden kunnen de data gebruiken om in te loggen op netwerken van getroffen gebruikers. De inbrekers kunnen dan malware installeren of aanvallen met ransomware uitvoeren. Daarbij worden bestanden op computers versleuteld tot er losgeld wordt betaald.

RTL Nederland mogelijk getroffen door ransomware-aanval

RTL Nederland is mogelijk het slachtoffer van een ransomware-aanval geworden, zo meldt RTL Nieuws. Details over bijvoorbeeld de omvang ontbreken nog. Wel is duidelijk dat de aanval plaatsvindt op het zakelijke netwerk in Hilversum. Medewerkers zijn dan ook gevraagd om thuis te werken. Verder laat het mediabedrijf weten dat het samen met een securitybedrijf de aanval probeert te stoppen. Of er bijvoorbeeld losgeld is geëist is onduidelijk. "We zijn het aan het onderzoeken en kunnen daar op dit moment nog niets concreets over zeggen", zegt een woordvoerder van RTL. De aanval heeft geen invloed op de uitzendingen van RTL en Videoland.

Hackers drongen binnen op computernetwerk van Verenigde Naties

Onbekenden hebben eerder dit jaar toegang gekregen tot het computernetwerk van de Verenigde Naties. Dat is donderdag bekend geworden via persbureau Bloomberg. Het incident is ontdekt door beveiligingsonderzoekers van Resecurity die de VN eerder dit jaar al hierover hebben geïnformeerd. Op 5 april van dit jaar zouden de hackers voor het eerst toegang tot de VN-systemen hebben gekregen. Zelfs op 7 augustus zouden ze nog op het netwerk actief zijn geweest. Hoewel de beveiligingsonderzoekers beweren dat er data vanaf het VN-netwerk is gestolen, beweert de vredesorganisatie dat de hackers alleen screenshots hebben gemaakt. De hack is vrij eenvoudig uitgevoerd. Dankzij een gestolen gebruikersnaam en wachtwoord van een VN-medewerker wisten hackers in te loggen op een account van projectmanagementsoftware Umoja dat door de VN wordt gebruikt. Vanaf daar drongen de indringers dieper in het netwerk van de Verenigde Naties. De VN is eerder het doelwit geweest van hackers. In 2018 werd de Organisatie voor het Verbod op Chemische Wapens (OPCW) getroffen door een Russische cyberaanval. Het netwerk van de VN werd in augustus 2019 nog aangevallen dankzij een bekende kwetsbaarheid in Microsoft Sharepoint-software.

8 september

Websites REvil-ransomwaregroep weer online na Kaseya-aanval

Verschillende websites van de REvil-ransomwaregroep, onder andere verantwoordelijk voor de wereldwijde ransomware-aanval via de software van Kaseya, zijn weer online verschenen. Het gaat zowel om het "Happy Blog", waarop de groep de namen van slachtoffers noemt, als de website waar slachtoffers met de criminelen kunnen onderhandelen. Dat laat beveiligingsonderzoeker Brett Callow van antimalwarebedrijf Emsisoft op Twitter weten. REvil werd begin juli wereldnieuws nadat het via kwetsbaarheden in de software van Kaseya de klanten van managed serviceproviders met ransomware infecteerde. De groep eiste 70 miljoen dollar voor een generieke decryptiesleutel waarmee slachtoffers hun bestanden konden ontsleutelen. Uiteindelijk meldde Kaseya dat het van een niet nader genoemde derde partij een decryptiesleutel had ontvangen en dat het hier niet voor had betaald. Net als veel andere ransomwaregroepen beschikt ook REvil over een eigen website. Deze website ging echter op 13 juli offline en sindsdien werd er niets van de REvil-groep vernomen. De nu verschenen website toont geen nieuwe slachtoffers, waarbij het laatste slachtoffer van 8 juli dateert. Het is dan ook onduidelijk of de groep echt terug is. Begin juli werd bekend dat de Nederlandse politie servers van de ransomwaregroep DarkSide in beslag had genomen. Deze groep zat onder andere achter de aanval op de Colonial Pipeline Company, de grootste brandstofpijplijn van de Verenigde

Microsoft: drie stappen om ransomware te voorkomen en beperken

Volgens Microsoft vinden veel organisaties, en dan met name kleine ondernemingen, het lastig om zich op een ransomware-aanval voor te bereiden. Aanleiding voor het techbedrijf om drie stappen te delen die helpen bij het voorkomen van ransomware. De eerste stap is het opstellen van een recoveryplan waarbij er geen losgeld wordt betaald. Organisaties moeten onder andere hun belangrijke data en systemen in kaart brengen en back-uppen, de back-ups beschermen en hersteltests uitvoeren waarbij alle systemen offline zijn. Ook raadt Microsoft aan om de recoveryplannen te printen of ergens veilig op te slaan, aangezien het geregeld voorkomt dat aanvallers deze documenten verwijderen. De tweede stap betreft het beperken van de schade die aanvallers kunnen aanrichten door de accounts van systeembeheerders te beschermen. Vaak proberen aanvallers deze accounts over te nemen zodat ze zich verder door het netwerk kunnen bewegen. Microsoft adviseert het gebruik van multifactorauthenticatie voor systeembeheerders en het monitoren van het gebruik van deze accounts. Als laatste en derde stap wordt aangeraden om het lastiger voor aanvallers te maken om binnen te komen. Zo moet de "security hygiëne" worden verbeterd door het aanvalsoppervlak te verkleinen en patchmanagement toe te passen. Verder moet er worden ingezet op bescherming, detectie en response. "Om de dreiging van ransomware tegen te gaan is het belangrijk om belangrijke assets, of het nu data of infrastructuur is, te identificeren en beveiligen, en klaar te zijn om die in het geval van een aanval te herstellen", zegt Microsofts Mark Simos. Hij stelt dat het belangrijk is dat de top van de organisatie hierbij betrokken is.

Amerikaanse universiteit annuleert lessen wegens ransomware-aanval

De Amerikaanse Howard University heeft meerdere lessen wegens een ransomware-aanval moeten annuleren. De campus is alleen open voor personeel. Dat meldt de onderwijsinstelling via de eigen website. De universiteit detecteerde op 3 september verdachte activiteit op het universiteitsnetwerk. Vervolgens werd besloten, als onderdeel van het 'cyber response protocol', om het volledige universiteitsnetwerk uit te schakelen. Details over de aanval zijn schaars, behalve dat de aanvallers ransomware hebben gebruikt. Voor zover bekend is geen persoonlijke informatie van studenten en medewerkers benaderd of gestolen. Het onderzoek is echter nog gaande en allerlei systemen en applicaties van de universiteit zijn offline. Gisteren werden alle lessen geannuleerd. Voor vandaag gaan alle online en hybride lessen niet door. Het wifi-netwerk op de campus is ook offline, maar er zal voor studenten een alternatief wifi-netwerk worden uitgerold. Het is nog onbekend wanneer dit netwerk beschikbaar is. Tevens wordt de deadline verlengd om vakken te laten vallen of kiezen. Eerder waarschuwden de FBI en het Witte Huis nog voor ransomware-aanvallen tijdens het afgelopen Labor Day-weekend in de Verenigde Staten.

Grootste bank van Nieuw-Zeeland kampt met uitval door cyberaanval

De grootste bank van Nieuw-Zeeland ANZ en andere financiële instellingen waaronder de nationale postdienst werden woensdag getroffen door een cyberaanval melden officiële bronnen en de getroffen partijen. Het Computer Emergency Response Team (CERT) van het land melde op de hoogte te zijn van "een DDoS-aanval (Distributed Denial of Service) gericht op een aantal Nieuw-Zeelandse organisaties." "We houden de situatie in de gaten en werken waar mogelijk samen met de betrokken partijen", voegde het bureau toe, zonder verdere details over het incident te specificeren. Ondertussen melde ANZ New Zealand op Twitter dat het "momenteel hebben we een storing met onze app voor internetbankieren en goMoney". "Onze technische teams werken er hard aan om alles zo snel mogelijk te repareren!". Staatsbedrijf Kiwibank melde ook op Twitter dat het bezig was om "intermitterende toegang" tot zijn app, internetbankieren, telefoonbankieren en website te repareren. Tot nu toe is niet bekend wie er achter de cyberaanval zat en of er sprake was van een datalek. Bron

Franse website voor visumaanvraag ervaren cyberaanval - persoonlijke gegevens van aanvragers zijn gelekt

De Franse autoriteiten hebben aangekondigd dat de persoonlijke gegevens van bijna 9.000 mensen die een Frans visum hebben aangevraagd, in gevaar zijn gebracht door een cyberaanval op de officiële visum aanvraag website van het land die een maand geleden, op 10 augustus, plaatsvond. Bron

Groove VS Babuk; Groove Ransom Manifesto & RAMP Underground Platform Secret Inner Workings

Op 7 september 2021 besloot een vertegenwoordiger van het nieuw gevormde Groove ransomware-syndicaat om hun inzichten en hun perspectief op de innerlijke aspecten van de ransomware-business te delen.

Hoe Groove Gang de Ransomware-as-a-Service-markt opschudt om partners te versterken

McAfee Enterprise ATR is van mening dat de Groove-bende geassocieerd is met de Babuk-bende, hetzij als een voormalig filiaal of subgroep. Deze cybercriminelen zetten graag eerdere Ransomware-as-a-Service-hiërarchieën opzij om zich te concentreren op de onrechtmatig verkregen winsten die kunnen worden behaald met het controleren van de netwerken van slachtoffers, in plaats van de eerdere aanpak die prioriteit gaf aan controle over de ransomware zelf.

7 september

Ransomwaregroep waarschuwt slachtoffers om niet naar politie te stappen

De criminelen achter de Ragnar Locker-ransomware hebben via hun eigen website een waarschuwing aan slachtoffers gegeven dat ze niet naar de politie moeten stappen of bedrijven moeten inschakelen die over het losgeld onderhandelen, aangezien dan alle gestolen data meteen wordt gepubliceerd. Volgens de criminelen krijgen ze steeds vaker met professionele onderhandelaars te maken wat het onderhandelingsproces niet eenvoudiger of veiliger maakt, aldus de groep. Die stelt dat dergelijke onderhandelaars voor de politie werken of hier een band mee hebben en niet geïnteresseerd zijn in het commerciële belang van hun klanten of de veiligheid van hun data. "Dus vanaf nu waarschuwen we al onze clients, als je een recoverybedrijf voor de onderhandelingen inschakelt of een verzoek naar de politie/FBI stuurt, zullen we dit als een vijandige actie beschouwen en alle gestolen data meteen publiceren", zo laat de waarschuwing weten die door DarkFeed openbaar werd gemaakt. De Ragnar Locker-groep is één van de ransomwaregroepen die data van slachtoffers steelt en dreigt te publiceren wanneer het losgeld niet wordt betaald. De Ragnar Locker-groep zou achter aanvallen zitten op geheugenfabrikant ADATA, Campari, Capcom en reisorganisatie CWT. Dit laatste slachtoffer zou de criminelen 4,5 miljoen dollar losgeld hebben betaald.

Duitsland waarschuwt voor Russische cyberaanvallen

Een Russische hackersgroep genaamd GhostWriter doet er alles aan om de aankomende parlementsverkiezingen in Duitsland te torpederen. Het hackerscollectief verspreidt desinformatie via sociale media, om zo de publieke opinie te beïnvloeden. Daarnaast voeren de aanvallers phishingcampagnes uit op politici, in een poging om hun accounts over te nemen. Dat schrijft Associated Press. Volgens het persbureau heeft de regering van Angela Merkel hierover geklaagd bij de Russische overheid.

Hacker zet gestolen gegevens online omdat hogeschool weigert te betalen

De hacker die eerder deze maand gegevens van studenten en medewerkers van de Hogeschool van Arnhem en Nijmegen (HAN) heeft gestolen, heeft deze op het internet gezet. Dat meldt RTL Nieuws dinsdag na inzage in de gegevens. De hacker eiste losgeld, maar de hogeschool meldde eerder dat niet te gaan betalen. Daarop besloot de persoon, die op internet de schuilnaam 'masterballz' gebruikt, de gegevens online te zetten. Volgens RTL Nieuws worden de gestolen gegevens nu verspreid via een populaire downloaddienst. Het is onduidelijk of de gegevens ook te koop worden aangeboden of dat criminelen ze alleen onderling met elkaar delen. Het zou gaan om gegevens van honderdduizenden mensen, onder wie veel (oud-)studenten. Onder andere hun volledige namen, e-mailadressen, geboortedatums, telefoonnummers en woonadressen zijn uitgelekt. Ook zouden duizenden wachtwoorden zijn gestolen. Die zijn grotendeels van alumni van de HAN en niet van huidige studenten. De hogeschool meldt op haar website nog niet te kunnen bevestigen dat de buitgemaakte data zijn gepubliceerd. Wel ligt dat "in de lijn der verwachting". Volgend de HAN zijn er geen actuele wachtwoorden gestolen. De school ontdekte het lek vorige week woensdag. De onderwijsinstelling heeft daarop onafhankelijke experts ingeschakeld om de zaak te laten onderzoeken. Ook heeft de HAN aangifte gedaan bij de politie en het lek gemeld bij de Autoriteit Persoonsgegevens (AP).

6 september

Verdachte achter ontwikkeling Trickbot-malware aangehouden in Zuid-Korea

De Zuid-Koreaanse autoriteiten hebben vorige week op de luchthaven van Seoul op verzoek van de Verenigde Staten een Russische man aangehouden die ervan wordt verdacht code voor de beruchte Trickbot-malware te hebben ontwikkeld. Trickbot is ontwikkeld om onder andere inloggegevens en creditcarddata te stelen en ransomware te installeren. Verschillende grote ransomware-uitbraken worden aan Trickbot toegeschreven. De Russische man zat vanwege de coronamaatregelen al anderhalf jaar in Zuid-Korea, zo meldt het Zuid-Koreaanse KBS News. Gedurende deze tijd was zijn paspoort verlopen en moest hij bij de Russische ambassade een nieuw paspoort aanvragen. Toen de coronamaatregelen in Zuid-Korea deels werden vrijgegeven en vliegverkeer weer mogelijk was hadden de Amerikaanse autoriteiten inmiddels een uitleveringsverzoek voor de man uitgevaardigd. Een Zuid-Koreaanse rechter heeft zich vorige week over het uitleveringsverzoek gebogen. De Zuid-Koreaanse overheid wil de man aan de Verenigde Staten uitleveren. De advocaat van de Russische verdachte stelde dat de rechten van zijn cliënt in de VS in het geding zijn en er een grote kans is dat hij een excessief hoge straf krijgt. Wanneer de rechter uitspraak doet is onbekend. In juni van dit jaar werd in de Verenigde Staten een 55-jarige vrouw uit Letland aangeklaagd voor het ontwikkelen van code voor Trickbot.

Centrale Bank van Curaçao en Sint Maarten getroffen door cyberaanval

De Centrale Bank van Curaçao en Sint Maarten (CBCS) is het slachtoffer geworden van een cyberaanval, zo heeft de bank zondag bekendgemaakt. De CBCS ontdekte afgelopen donderdag dat er mogelijk is ingebroken in zijn computersysteem. De bank haalde zijn computernetwerk donderdag offline. Ook de e-mailserver en de externe telefoondiensten zijn uit voorzorg tijdelijk uitgeschakeld. De CBCS probeert nu vast te stellen of er gegevens zijn buitgemaakt. De bank zegt dat zijn betalingsplatform niet is getroffen door de aanval. De CBCS zegt dat het "de autoriteiten op de hoogte heeft gebracht" en dat de mogelijke inbraak wordt onderzocht. Omdat er een onderzoek gaande is, wil de bank geen verdere uitspraken doen over de aanval. Hoelang de uitgeschakelde diensten van de bank offline blijven, is nog niet duidelijk.

Bron: Diverse | Met speciale dank aan: Anonieme tipgevers

Tips of verdachte activiteiten gezien? Meld het hier.

Meer weekoverzichten