EN: Click here and choose your language using Google's translation bar at the top of this page ↑

In 2023 ontdekte het Ministerie van Defensie van Nederland een indringer in een van hun netwerken. Deze indringer had toegang verkregen door een kwetsbaarheid in FortiGate-apparaten te exploiteren. Dit incident bracht een onbekende malware aan het licht, genaamd COATHANGER, een zogenaamde Remote Access Trojan (RAT) die speciaal was ontworpen om FortiGate-apparaten aan te vallen. Het bijzondere aan COATHANGER is dat het zichzelf kan verbergen en overleven na herstarten van het apparaat en zelfs na firmware-upgrades.

Een ongeziene dreiging: De ontdekking van COATHANGER

De Nederlandse inlichtingen- en veiligheidsdiensten, MIVD en AIVD, wezen met hoge zekerheid naar een door de staat gesponsorde actor uit de Volksrepubliek China als de dader achter deze aanval. Dit incident is onderdeel van een bredere trend van politieke spionage gericht tegen Nederland en zijn bondgenoten. Het gebruik van COATHANGER wordt gezien als gericht, waarbij Chinese dreigingsactoren op grote schaal kwetsbare randapparatuur scannen om toegang te krijgen en COATHANGER te introduceren als communicatiekanaal voor geselecteerde slachtoffers.

De aanval op het Ministerie van Defensie betrof een netwerk met minder dan 50 gebruikers, gericht op onderzoek en ontwikkeling van niet-geclassificeerde projecten. Door het netwerk te segmenteren, bleef de impact van de indringing beperkt. De MIVD en AIVD hebben geconcludeerd dat naast politieke spionage, het doel van deze aanvallen ook het verzamelen van informatie en mogelijk ondermijning van de nationale veiligheid kan zijn.

Tegelijkertijd toont onderzoek van de NOS aan dat wereldwijd tienduizenden computersystemen, waaronder duizenden in Nederland, kwetsbaar zijn voor aanvallen door cybercriminelen en inlichtingendiensten. Veel van deze systemen zijn bekend onveilig, maar worden niet bijgewerkt met de nieuwste beveiligingsoplossingen. Dit opent de deur voor aanvallen zoals het installeren van ransomware of het uitvoeren van spionageactiviteiten.

Deze kwetsbaarheden blijven bestaan ondanks dat er vaak al oplossingen beschikbaar zijn. Het probleem ligt bij het niet tijdig bijwerken van systemen, soms omdat organisaties zich niet bewust zijn van de aanwezigheid van een systeem of de noodzaak van een update. Het incident met het Ministerie van Defensie en de algemene kwetsbaarheid van vele systemen benadrukken het belang van een proactieve houding ten aanzien van cybersecurity. Dit omvat het regelmatig updaten van systemen, het segmenteren van netwerken om de impact van mogelijke inbreuken te beperken, en het bewustzijn van de constante dreiging van staat gesponsorde en criminele cyberaanvallen.

COATHANGER onder de loep: Kenmerken en detectie

COATHANGER is een geraffineerde vorm van malware die specifiek ontworpen is om onopgemerkt te blijven binnen de systemen die het infecteert. Dit maakt het een krachtig hulpmiddel voor cyberaanvallen, met name voor diegenen met de middelen en de motivatie om op hoog niveau cyberespionage te bedrijven, zoals staatsactoren. De ontdekking van COATHANGER door de Nederlandse defensie en inlichtingendiensten onderstreept de geavanceerde aard van de bedreigingen waarmee moderne netwerken worden geconfronteerd.

Eenmaal geïnstalleerd op een FortiGate-apparaat, zorgt COATHANGER voor een duurzame aanwezigheid. Het verbergt zichzelf effectief door systeemaanroepen te onderscheppen die het zouden kunnen detecteren, en kan zelfs overleven door systeemherstarts en firmware-upgrades. Dit niveau van persistentie betekent dat zelfs na het identificeren van een infectie, het verwijderen van COATHANGER uit het systeem bijzonder uitdagend kan zijn.

De dreigingsactoren achter COATHANGER hebben niet alleen de capaciteit om kwetsbare systemen op grote schaal te scannen, maar ook om dit malwarehulpmiddel selectief te introduceren bij specifieke doelwitten. Dit suggereert een hoge mate van selectiviteit en doelgerichtheid bij hun operaties, waardoor de inzet van COATHANGER potentieel nog gevaarlijker wordt voor de getroffen entiteiten.

Organisaties die FortiGate-apparaten gebruiken, worden aangeraden om na te gaan of zij getroffen zijn door de aanwezigheid van COATHANGER. Er zijn specifieke detectiemethoden beschikbaar, waaronder het gebruik van YARA-regels en JA3-hashes, evenals verschillende command-line interface (CLI) commando's die kunnen helpen bij het identificeren van de malware. Deze methoden zijn uiteengezet in de cybersecurityadviezen en bieden essentiële hulpmiddelen voor organisaties om de veiligheid van hun netwerken te evalueren.

Om toekomstige aanvallen te voorkomen, is het essentieel dat organisaties regelmatig veiligheidsupdates installeren zodra deze beschikbaar komen. Dit advies geldt niet alleen voor FortiGate-apparaten, maar voor alle internetgerichte (edge) apparaten binnen een organisatie. Daarnaast zijn er verdere preventieve maatregelen aanbevolen, zoals het implementeren van best practices voor apparaatbeveiliging, het beperken van de toegang tot het internet voor internetgerichte apparaten, en het monitoren van logbestanden voor ongebruikelijke activiteiten.

Tegelijkertijd is het duidelijk dat de bedreiging niet beperkt blijft tot de wereld van defensie en inlichtingendiensten. Zoals het onderzoek van de NOS aantoont, zijn er wereldwijd tienduizenden computersystemen, waaronder duizenden in Nederland, kwetsbaar voor cyberaanvallen. Deze kwetsbaarheden worden niet alleen uitgebuit door criminelen voor het installeren van ransomware, maar ook door inlichtingendiensten voor spionageactiviteiten. Dit benadrukt het belang van een proactieve benadering van cybersecurity, niet alleen voor overheidsorganisaties maar voor alle sectoren.

Verdediging versterken: Lessen uit de cyberfrontlinie

In de wereld van vandaag, waar technologie en internet een fundamenteel onderdeel van ons dagelijks leven vormen, heeft de ontdekking van de COATHANGER-malware en de kwetsbaarheid van tienduizenden computersystemen wereldwijd, inclusief die in Nederland, een cruciale boodschap voor ons allemaal. Deze incidenten tonen aan dat cybersecurity niet alleen de verantwoordelijkheid is van overheidsinstanties of grote organisaties, maar van iedereen die verbonden is met het internet.

De aanval op het Ministerie van Defensie van Nederland door middel van COATHANGER en de brede kwetsbaarheid van systemen benadrukken een dringende noodzaak voor proactieve maatregelen en bewustwording op alle niveaus. Het is duidelijk dat het bijwerken van systemen en het installeren van beveiligingspatches een eerste verdedigingslinie vormt tegen dergelijke dreigingen. Het nalaten hiervan opent de deur voor kwaadwillenden om gevoelige informatie te stelen, systemen te saboteren, of zelfs ernstige schade aan de nationale veiligheid toe te brengen.

Een belangrijke les uit deze incidenten is het belang van waakzaamheid en onderwijs over cyberveiligheid. Organisaties en individuen moeten zich bewust zijn van de risico's die verbonden zijn aan hun digitale voetafdruk en proactieve stappen ondernemen om hun netwerken en apparaten te beveiligen. Dit omvat regelmatige controles op kwetsbaarheden, het segmenteren van netwerken om de impact van mogelijke inbreuken te beperken, en het trainen van personeel over de basisprincipes van cyberhygiëne.

Bovendien is het belangrijk om te erkennen dat cybersecurity een continu proces is. De dreigingsactoren ontwikkelen voortdurend nieuwe methoden en technieken om beveiligingsmaatregelen te omzeilen, wat betekent dat de verdediging tegen deze dreigingen moet evolueren. De samenwerking tussen overheden, het bedrijfsleven, en cybersecuritygemeenschappen is essentieel om kennis te delen en collectief te reageren op nieuwe bedreigingen.

Ten slotte, in een tijd waarin de afhankelijkheid van digitale technologieën blijft groeien, is het cruciaal dat we een cultuur van cybersecuritybewustzijn en -praktijk ontwikkelen. Dit betekent dat we niet alleen onze eigen systemen moeten beschermen, maar ook een actieve rol moeten spelen in het veiliger maken van het digitale ecosysteem. Door de richtlijnen van cybersecurityexperts op te volgen, regelmatig updates uit te voeren, en alert te blijven op ongebruikelijke activiteiten, kunnen we een stap voor blijven op degenen die onze digitale wereld willen ondermijnen.

Samengevat, de strijd tegen cyberdreigingen vereist een gecoördineerde inspanning en een voortdurende toewijding aan veiligheid, educatie en samenwerking. Door gezamenlijk te handelen, kunnen we werken aan een veiligere digitale toekomst voor iedereen.

Download PDF MIVD: Ministry of Defence of the Netherlands uncovers COATHANGER, a stealthy Chinese FortiGate RAT

Bron: MIVD PDF, NOS

Meer informatie over hacking 

Meer hacking nieuws