Captain Kirk

En, hoe staat het met het probleem?

Aanvallers maken actief misbruik van verschillende beveiligingslekken in Plex Media Server om kwetsbare servers te compromitteren. Plex publiceerde afgelopen september beveiligingsupdates voor de problemen en riep gebruikers op om die zo snel mogelijk te installeren, maar tienduizenden servers zijn nog altijd kwetsbaar. Details over de kwetsbaarheden zijn openbaar gemaakt. Ook is er proof-of-concept (PoC) exploitcode online verschenen. Plex biedt software voor het opzetten van een mediaserver om daarmee media naar apparaten te streamen. Het bedrijf claimt meer dan 25 miljoen gebruikers wereldwijd te hebben. De in totaal vier kwetsbaarheden (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 en CVE-2026-96656) worden nu actief misbruikt, zo melden beveiligingsonderzoekers. Door de problemen te combineren kan een ongeauthenticeerde aanvaller code op kwetsbare Plex-mediaservers uitvoeren. De aanval kreeg de naam 'Plex2Shell'. Bij de nu waargenomen aanvallen worden kwetsbare mediaservers voorzien van cryptominers, die de rekenkracht van het systeem gebruiken voor het minen van cryptovaluta. Daarnaast installeren de aanvallers ook proxysoftware, om vanaf de gehackte mediaserver verdere aanvallen uit te voeren. Dit is mogelijk doordat aanvallers eerst het admin-token weten te stelen dat de toegang tot server geeft. Vervolgens weet de aanvaller via een speciaal geprepareerde video malafide code naar codec directory te schrijven waarmee er een shell op het systeem wordt verkregen. Vorige maand waarschuwde The Shadowserver Foundation dat op internet zo'n 36.000 kwetsbare Plex-mediaservers zijn te vinden. Die situatie is nog altijd niet veel veranderd, zo blijkt uit de laatste meting. Nederland telt nog altijd meer dan vijftienhonderd kwetsbare servers. Gebruikers worden opgeroepen om naar versie 1.43.3 of nieuwer te updaten. De onderzoeker die de kwetsbaarheden rapporteerde ontving hiervoor een beloning van 500 dollar. bron: https://www.security.nl

Een beveiligingslek in Siemens Software Center is gebruikt bij ClickFix-aanvallen, zo laat Siemens weten. Via de kwetsbaarheid kunnen aanvallers malafide code op systemen laden. Siemens kwam op 15 oktober met een beveiligingsbulletin voor de kwetsbaarheid (CVE-2026-110936). Siemens Software Center is een applicatie voor het downloaden, installeren en activeren van aangekocht software. CVE-2026-110936 betreft een kwetsbaarheid in de software waardoor die is te misbruiken om malafide dll-bestanden te laden. Een aanvaller kan in een bepaalde directory een malafide dll-bestand plaatsen. Zodra Siemens Software Center wordt gestart zal het in deze directory naar dll-bestanden zoeken en wanneer gevonden die ook laden. Dit maakt het uitvoeren van willekeurige met de rechten van de applicatie mogelijk. Bij ClickFix-aanvallen worden mensen verleid tot het uitvoeren van malafide commando's op hun systeem, die leiden tot de installatie van malware. Bij de aanvallen waarvoor Siemens waarschuwt plaatsen de aanvallers een kwetsbare versie van Software Center op het systeem en gebruiken dat om een malafide dll-bestand te laden en zo het systeem te infecteren. Bij de ClickFix-aanvallen maken de aanvallers ook gebruik van andere software om malafide dll-bestanden te laden, zo waarschuwde cybersecuritybedrijf Forescout onlangs. Siemens adviseert om nooit commando's gegeven door een website op het eigen systeem uit te voeren. bron: https://www.security.nl

Aanvallers hebben WordPress plug-in Rank Math PRO van een backdoor voorzien, zo hebben de ontwikkelaars aangekondigd. De besmette versie werd op 15 en 16 oktober via de officiële website aangeboden, alsmede als update voor al geïnstalleerde versies. Rank Math PRO is een betaalde 'SEO' (search engine optimization) plug-in voor WordPress die ervoor moet zorgen dat websites beter door zoekmachines worden gevonden. WordPress-beheerders die de plug-in op de genoemde dagen hebben gedownload of geüpdatet moeten hun website als gecompromitteerd beschouwen en hun site via een schone back-up herstellen. Ook wordt aangeraden om alle wachtwoorden en andere credentials met betrekking tot de website aan te passen. Hoe de backdoor aan de plug-in kon worden toegevoegd is niet bekendgemaakt. De gratis WordPress plug-in Rank Math SEO, afkomstig van dezelfde ontwikkelaars, is niet door het incident getroffen. bron: https://www.security.nl

Smart home en gebouwautomatiserings-specialist LOXONE is getroffen door een cyberaanval op de interne bedrijfssystemen. De aanval werd op zondag 18 oktober 2026 ontdekt. Volgens LOXONE zijn klantinstallaties en de online diensten die nodig zijn voor de werking daarvan niet getroffen. De mogelijke gevolgen voor bedrijfsgegevens en persoonsgegevens worden nog onderzocht. LOXONE heeft vandaag bekendgemaakt (PDF) dat het bedrijf slachtoffer is geworden van een cyberaanval. Nadat het incident werd ontdekt zijn per omgaande maatregelen getroffen om de gevolgen te beperken. Zo zijn gecompromiteerde interne systemen geïsoleerd en zijn externe securityspecialisten ingeschakeld om de aanval te onderzoeken. Het bedrijf werkt momenteel aan het vaststellen van de omvang van het incident en het herstellen van de getroffen systemen. Ook zijn de relevante autoriteiten inmiddels geïnformeerd. LOXONE benadrukt dat de cyberaanval geen gevolgen heeft voor de werking van de klantinstallaties. Zowel de installaties zelf als de online diensten die nodig zijn voor de bediening en werking ervan zijn volgens het bedrijf niet getroffen. LOXONE wijst in dit kader op de decentrale architectuur van zijn automatiseringsoplossingen. De LOXONE Miniserver vormt het hart van de installatie en verwerkt automatiseringsfuncties lokaal zonder verder afhankelijk te zijn van een permanente internetverbinding of centrale cloud servers. Dit zorgt ervoor dat installaties zelfstandig kunnen blijven functioneren, ook wanneer externe systemen of verbindingen niet beschikbaar zijn. Hoewel klantinstallaties volgens LOXONE veilig zijn, bestaat er nog wel onzekerheid over de mogelijke gevolgen voor bedrijfsgegevens en persoonsgegevens. Het onderzoek moet nu uitwijzen of onbevoegden toegang hebben gekregen tot gevoelige informatie en of daarbij gegevens zijn gestolen. LOXONE geeft aan betrokken personen rechtstreeks te zullen informeren wanneer blijkt dat hun persoonsgegevens daadwerkelijk zijn getroffen. Over de aard van de aanval, de mogelijke daders en de exacte omvang van het incident zijn vooralsnog geen verdere details bekendgemaakt. LOXONE heeft aangekondigd informatie te delen zodra er meer duidelijkheid is over de gevolgen van de aanval. bron: https://www.security.nl

Onderzoekers verwachten dat aanvallers snel misbruik zullen maken van een kritieke kwetsbaarheid in webshopsoftware Adobe Commerce en Magento voor het aanvallen van webwinkels. Het beveiligingslek, aangeduid als CVE-2026-103849, laat ongeauthenticeerde aanvallers willekeurige code op de server van de webshop uitvoeren. De CVSS-impactscore bedraagt 10.0 op een schaal van 1 tot en met 10. Adobe kwam op 13 oktober met beveiligingsupdates voor het probleem. Naar schatting draaien meer dan honderdduizend webwinkels op Magento en Adobe Commerce. De laatstgenoemde wordt vooral door grote webshops gebruikt. Cybersecuritybedrijf Sansec waarschuwt dat aanvallers op korte termijn misbruik van het probleem zullen maken en houdt rekening met grootschalige aanvallen. Het Nationaal Cyber Security Centrum (NCSC) heeft ook een waarschuwing voor het probleem gegeven. "Als deze kwetsbaarheden niet worden aangepakt, kunnen aanvallers de webshop overnemen, gegevens wijzigen of verwijderen, en schadelijke code uitvoeren. Ook kunnen ze toegang krijgen tot gevoelige informatie, zoals klantgegevens en betaalinformatie", aldus de overheidsinstantie, die adviseert om de Adobe-updates zo snel mogelijk te installeren. bron: https://www.security.nl

Aanvallers hebben de update-servers van AOMEI Backupper meerdere keren misbruikt om gebruikers met malware te infecteren, zo melden Google en ManageEngine. Backupper is een oplossing van AOMEI voor het maken van back-ups, disk cloning en disaster recovery. Onderzoekers ontdekten dat de update-server werd gebruikt voor een supplychain-aanval op gebruikers van de back-upsoftware. Wat de aanval volgens Google opvallend maakt is dat de besmette 'update' slechts korte tijd aan gebruikers werd aangeboden, van vijf tot tien minuten per keer. Daarna kregen systemen die verbinding met de update-server maakten weer de normale update. Alle systemen die in het venster dat de aanval actief was verbinding maakten met de update-server ontvingen op deze manier malware. Volgens Google vonden de aanvallen in ieder geval plaats op 28 mei, 16 juli en 20 juli, maar de onderzoekers sluiten niet uit dat er ook andere momenten zijn geweest. Onderzoek werd ook bemoeilijkt omdat de gebruikte dropper-malware die via de 'update' werd geïnstalleerd zichzelf verwijderde. Twee klanten van ManageEngine werden door de aanval op 28 mei getroffen. Eén van deze niet nader genoemde organisaties nam op 7 juni contact op met ManageEngine. Op dat moment was de dropper-malware al van het getroffen systeem verdwenen. De EDR-software van ManageEngine had de activiteit van de malafide update wel opgeslagen, alsmede de telemetrie, waardoor er toch informatie beschikbaar was. Dezelfde dag nam ManageEngine contact op met AOMEI. Het softwarebedrijf stelde in eerste instantie dat aanvallers de data onderweg hadden aangepast. Onderzoek van ManageEngine wees echter uit dat de bestanden al waren aangepast toen die bij AOMEI vandaan kwamen. Door het ontbreken van de daadwerkelijke bestanden konden de onderzoekers niet aantonen dat de infrastructuur van AOMEI de malware verspreidde. ManageEngine besloot daarop specifieke url's van AOMEI te monitoren, wat uiteindelijk op 16 juli het gezochte bewijs opleverde. De aanvallers wijzigden gedurende een periode van slechts zes minuten de configuratiebestanden waardoor clients die verbinding met de update-server maakten malware kregen aangeboden. Het bleek om een backdoor te gaan. Op 20 juli ontdekten onderzoekers van Google een nieuwe aanval. Dit keer werd er via de malafide update een html-bestand op de systemen van slachtoffers geladen, die vervolgens via SMB of WebDAV verbinding maakten met de server van de aanvallers. Die ontvingen zo de NetNTLMv2 hash van systeem, die vervolgens kan worden gekraakt of voor relay-aanvallen is te gebruiken. Na te zijn ingelicht liet AOMEI weten dat het corrigerende maatregelen heeft genomen. Hoe de aanvallers de configuratiebestanden konden aanpassen is niet bekendgemaakt. Google stelt op basis van verzamelde telemetrie dat slachtoffers van de aanval zich in allerlei sectoren bevinden, zoals it-dienstverlening, telecommunicatie, onderwijs en gerelateerde entiteiten, in Australië, Brazilië, India, Pakistan, Portugal, Singapore, Zuid-Afrika, Spanje, Zwitserland, Turkije en de Verenigde Staten. De onderzoekers voegen toe vermoedelijk meer organisaties zijn getroffen dan zij hebben kunnen waarnemen. bron: https://www.security.nl

Een supplychain-aanval via ConnectWise Cloud Backup, eerder nog bekend als SkyKick, heeft tal van bedrijven en andere organisaties geraakt, zo meldt cybersecuritybedrijf Huntress. Microsoft heeft inmiddels ook een waarschuwing voor de aanval afgegeven. ConnectWise heeft toegang van de Cloud Backup applicatie uitgeschakeld, wat gevolgen heeft voor de back-updiensten waar klanten gebruik van maken. ConnectWise Cloud Backup is een back-up- en recoverydienst waarmee managed serviceproviders (MSP's) de Microsoft 365- en Google Workspace-data van hun klanten beschermen. De applicatie krijgt hiervoor brede toegang tot de mailboxes, OneDrive, SharePoint, Teams en directory data van elke omgeving waarin de applicatie is geïnstalleerd. Aanvallers hebben de OAuth-app van de ConnectWise Cloud Backup gecompromitteerd, om zo access tokens van klanten te stelen en toegang tot hun omgevingen te krijgen, aldus Microsoft. Met deze tokens kunnen de aanvallers mailboxes, bestanden en directory data lezen, net als de back-upsoftware kan. Huntress meldt dat de omgevingen van meer dan 170 organisaties op deze manier zijn gehackt. Microsoft meldt dat de aanvallers aan de gehackte omgevingen credentials voor de service principal toevoegen om toegang te behouden. Organisaties worden onder andere opgeroepen om logins van de service principal te controleren. Huntress stelt dat de aanvaller ook de M365-applicaties van ConnectWise Cloud Management voor Exchange Online, MS Teams en SharePoint online heeft gecompromitteerd. bron: https://www.security.nl

De makers van het contentmanagementsysteem Drupal waarschuwen voor twee kritieke kwetsbaarheden die remote code execution mogelijk maken, waardoor aanvallers kwetsbare websites kunnen overnemen. De problemen zijn in alle ondersteunde versies van Drupal aanwezig. Er zijn updates uitgebracht om de beveiligingslekken te verhelpen. Drupal roept webmasters en beheerders op om de patches zo snel mogelijk te installeren, omdat exploits voor de problemen binnen uren of dagen kunnen verschijnen. De eerste kwetsbaarheid (CVE-2026-108097) is aanwezig in de Field UI module van Drupal core. De kwetsbaarheid is niet direct te misbruiken binnen Drupal core, maar de ontwikkelaars waarschuwen dat er meerdere exploitmogelijkheden in combinatie met andere modules zijn. Daarnaast is het beveiligingslek door ongeauthenticeerde aanvallers te misbruiken. De tweede kwetsbaarheid CVE-2026-108099 raakt de Entity List module. Wederom is het probleem niet direct te misbruiken binnen Drupal core, maar wel in combinatie met andere modules. Beheerders worden opgeroepen om naar de laatste versies van Drupal 10 of 11l te updaten. Tevens laten de ontwikkelaars weten dat Drupal 8 en 9 end-of-life zijn. bron: https://www.security.nl

Criminelen verdienen aan de bandbreedte van gehackte D-Link- en Ubiquiti-apparaten, zo laat cybersecuritybedrijf GreyNoise op basis van eigen onderzoek weten. Het bedrijf ontdekte meerdere digitale videorecorders en NAS-systemen van Ubiquiti en D-Link die waren gehackt en voorzien van commerciële proxysoftware. In het geval van de D-Link-apparaten waren hiervoor kwetsbaarheden gebruikt die al sinds 2024 bekend zijn. In het geval van de Ubiquiti digitale videorecorders ging het om een probleem uit 2021. De aanvallers hebben het ook voorzien op kwetsbare installaties van SAP NetWeaver Visual Composer. Vervolgens installeren de aanvallers software van een commercieel proxynetwerk. Dit netwerk betaalt gebruikers als ze software installeren waarmee anderen van hun bandbreedte en ip-adres gebruik kunnen maken. Deze betalende klanten van de proxydienst kunnen bijvoorbeeld cybercriminelen zijn. Door een residential proxy te gebruiken kan de aanvaller zijn eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Een inlogpoging op een account vanuit dezelfde regio waar de aangevallen organisatie zich bevindt is minder verdacht dan een inlogpoging uit een ver land. Een residential proxy biedt cybercriminelen zodoende allerlei voordelen. Er zijn verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra mensen de app installeren zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn bijvoorbeeld vpn-aanbieders met verborgen voorwaarden, gehackte IoT-apparaten, malware en mensen die bewust tegen betaling proxysoftware op hun systemen installeren. "Omdat residential proxies gebruikmaken van echte, vertrouwde ip-adressen, is malafide gebruik ervan veel moeilijker te detecteren of blokkeren. Veel beveiligingssystemen en websites vertrouwen verkeer van residential proxy-IP’s meer dan verkeer van datacenters of anonieme vpn's. De residential proxies behoren immers toe aan reguliere burgers die evengoed een werknemer of klant kunnen zijn", zo liet het Nationaal Cyber Security Centrum (NCSC) eerder dit jaar weten. De overheidsinstantie waarschuwde ook dat residential proxies een gevaar voor de digitale veiligheid van Nederland zijn. Proxynetwerken kunnen ook gevolgen hebben voor gebruikers waarvan het ip-adres wordt gebruikt. Zo waarschuwde de politie onlangs dat als criminelen gebruikmaken van proxynetwerken, de ip-adressen van onschuldige burgers en bedrijven onterecht als verdacht kunnen worden aangemerkt in opsporingsonderzoeken. In het geval van de gehackte D-Link- en Ubiquiti-apparaten verdienen de aanvallers via de commerciële proxysoftware aan de bandbreedte van hun slachtoffers, die vaak niets door hebben. Daarbij accepteren de aanvallers in naam van het slachtoffer de voorwaarden van de proxydienst. GreyNoise ontdekte gehackte apparaten in 34 verschillende landen. bron: https://www.security.nl

Microsoft heeft een feature voor Edge aangekondigd waardoor beveiligingsupdates automatisch worden geïnstalleerd als de browser niets doet. 'Restart to update on idle' staat standaard uitgeschakeld, maar gebruikers kunnen de optie zelf inschakelen. Volgens Microsoft kan Restart to update herkennen wanneer gebruikers de browser of computer gebruiken, bijvoorbeeld voor het bewerken van documenten of streamen van content. Wanneer Edge detecteert dat de browser en computer niet worden gebruikt toont het vervolgens een waarschuwing dat er een herstart gaat plaatsvinden voor het installeren van een update. De gebruiker heeft dan nog de keuze om de herstart te stoppen. Microsoft waarschuwt dat de feature ervoor kan zorgen dat gebruikers data kunnen verliezen, bijvoorbeeld als ze niet opgeslagen werk of open tabs hebben die het updateproces zal sluiten. Daarnaast kijkt Microsoft ook naar een oplossing waarbij de browser nooit meer wordt herstart voor de installatie van updates. De browser zal updates installeren en meteen voor alle nieuwe tabs de bijgewerkte versie gebruiken. In het geval er tabs voor de installatie van de update waren geopend zal Edge deze niet sluiten, maar op een gepast moment wachten dat het die ook kan updaten. Dit houdt wel in dat tot dat moment deze tabs met kwetsbare browsercode draaien. Microsoft werkt aan een prototype van dit updateproces. bron: https://www.security.nl

Microsoft kwam afgelopen dinsdag met de grootste Patch Tuesday in de geschiedenis van het techbedrijf. Tijdens het vaste patchmoment dat elke tweede dinsdag van de maand plaatsvindt werden meer dan 1400 beveiligingslekken in de verschillende softwareproducten van het techbedrijf verholpen. Nu blijkt dat het aantal nog hoger ligt, omdat Microsoft het bestaan van tientallen kwetsbaarheden is vergeten te melden. Voor deze beveiligingslekken zijn wel afgelopen dinsdag updates verschenen. Het gaat onder andere om dertig kwetsbaarheden in Microsoft Office die kunnen leiden tot remote code execution of diefstal van informatie. Afgelopen dinsdag meldde Microsoft dat het 1413 verschillende kwetsbaarheden in de eigen software had gepatcht, waaronder 134 in Microsoft Office. Het totaal aantal verholpen kwetsbaarheid is nu aangepast naar 1453. Het aantal Office-lekken is gestegen naar 164. Microsoft benadrukt dat gebruikers die de oktober-updates al hebben geïnstalleerd geen extra actie hoeven te ondernemen. Hoe het kan dat de kwetsbaarheden in eerste instantie niet werden gemeld laat Microsoft niet weten. bron: https://www.security.nl

Het Nationaal Cyber Security Centrum (NCSC) verwacht een toename van het aantal aanvallen op Cisco Secure Email Gateways. Cisco kwam op 14 oktober met een beveiligingsupdate voor een kwetsbaarheid aangeduid als CVE-2026-76519. Misbruik vond op dat moment al plaats. Nu er een patch is verschenen waarschuwt het NCSC voor verder misbruik. De Secure Email Gateway, eerder bekend als Email Security Appliance, is zowel een virtuele als hardwarematige appliance voor het filteren van e-mailverkeer op allerlei dreigingen. Het product is in het verleden vaker het doelwit geweest van aanvallen, waaronder vorige maand. CVE-2026-76519 betreft een probleem met het verwerken van e-mailbijlagen als de file reputation service op de gateway staat ingeschakeld. Deze service controleert of ontvangen bestanden bekende kwaadaardige bestanden zijn. Door een speciaal geprepareerde e-mailbijlage te versturen, die vervolgens door de gateway wordt gescand, kan een aanvaller willekeurige bestanden wegschrijven en vervolgens op het onderliggende besturingssysteem van de server commando's als root uitvoeren. Daarmee heeft een aanvaller volledige controle over het systeem. "Als deze kwetsbaarheid niet wordt aangepakt, kan een aanvaller het systeem overnemen en gevoelige informatie stelen of aanpassen. Ook kan de aanvaller het systeem gebruiken voor verdere aanvallen", aldus het NCSC. De overheidsdienst meldt dat er nog geen publieke proof-of-concept exploitcode voor CVE-2026-76519 beschikbaar is, maar verwacht wel dat dit snel zal gebeuren. "Door de aard van de kwetsbaarheid is het aannemelijk dat op korte termijn een PoC of exploit publiek beschikbaar komt. Het NCSC verwacht daarom een toename in scanverkeer en pogingen tot misbruik." Organisaties worden opgeroepen om de Cisco-update zo snel mogelijk te installeren. bron: https://www.security.nl

Een kritieke kwetsbaarheid in BeyondTrust Remote Support is zeker sinds 29 augustus misbruikt bij aanvallen, aldus BeyondTrust. Op 8 oktober kwam het bedrijf met een beveiligingsupdate. Het bestaan van de kwetsbaarheid en het misbruik daarvan werd gisterenavond pas bekendgemaakt. Via BeyondTrust Remote Support kunnen beheerders allerlei systemen op afstand beheren, waaronder desktops, servers en smartphones. De on-premises versie van de oplossing wordt geïnstalleerd op een fysieke of virtuele server waarvandaan de andere apparaten zijn te beheren. Het product is meerdere keren het doelwit van aanvallen geweest. Volgens onderzoek maakten aanvallers op 29 augustus misbruik van het kritieke beveiligingslek, aangeduid als CVE-2026-102764. Het gaat om een 'authentication bypass' waardoor ongeauthenticeerde aanvallers toegang tot de server kunnen krijgen. Bij de aanval werd een BeyondTrust-hosted Remote Support instance en een self-hosted Remote Support appliance gehackt. Op 27 september vond een succesvolle aanval tegen een andere 'security device provider' plaats. Dat leidde tot onderzoek en ontdekking van de kwetsbaarheid, aldus BeyondTrust. Op 8 oktober publiceerde BeyondTrust patch BT26-05 om het probleem te verhelpen. In het geval van SaaS-klanten werd de update automatisch geïnstalleerd. Self-hosted klanten moeten dit zelf doen. Bij de aanvallen installeerden de aanvallers een webshell op de gehackte BeyondTrust-server, om zo toegang te behouden en verdere aanvallen uit te voeren. Vervolgens verhoogt de aanvaller zijn rechten van het web service account naar root. Daarmee heeft de aanvaller volledige controle over het systeem en toegang tot alle credentials die op de server zijn opgeslagen. Ook kan de aanvaller bestanden aanpassen die een reboot of reset van de configuratie overleven. Cybersecuritybedrijf Mandiant analyseerde de aanvallen en zag dat de aanvallers credentials direct uit de secrets management database op het apparaat wisten te stelen. Verder verwijderen de aanvallers allerlei logbestanden om ontdekking en onderzoek te bemoeilijken, aldus de onderzoekers. De aanvallers vielen ook systemen aan die via Remote Support worden beheerd. Daarbij werden gevoelige interne documenten van endpoints gestolen. Mandiant stelt dat de aanvallen het werk zijn van een aan China gelieerde aanvalsgroep. Verder benadrukt het cybersecuritybedrijf dat elke BeyondTrust-server die tijdens de kwetsbare periode vanaf het internet toegankelijk was als gehackt moet worden beschouwd totdat onderzoek heeft kunnen plaatsvinden. Mandiant heeft ook Indicators of Compromise gepubliceerd waarmee organisaties kunnen kijken of ze zijn gehackt. Voor CVE-2026-102764 zijn drie andere kwetsbaarheden in Remote Support misbruikt bij aanvallen, aldus het Amerikaanse cyberagentschap CISA. bron: https://www.security.nl

Online advertenties zijn gericht gebruikt om mensen met 'zero-click mercenary spyware' te infecteren, zo stellen onderzoekers van het Canadese Citizen Lab. De malafide advertenties zouden ook zijn getoond op systemen van het Internationaal Strafhof in Den Haag en het Nederlandse ministerie van Economische Zaken. Volgens de onderzoekers staat vast dat via de advertenties zeker 45 Windowscomputers van nieuwzender Al Jazeera met spyware van spywareleverancier Candiru besmet zijn geraakt. Het bedrijf gaat tegenwoordig als Integrity Labs door het leven. Alleen het laden van de advertenties was voldoende. Er was geen interactie van gebruikers vereist. De onderzoekers adviseren mensen die zich willen beschermen om online advertenties te blokkeren. Volgens de onderzoekers is dit voor het eerst dat bevestigd is dat advertenties zijn ingezet voor spyware-aanvallen. De advertenties werden niet alleen gebruikt om doelwitten met spyware te infecteren. Miljoenen systemen wereldwijd werden doorgestuurd naar servers van spywareleverancier Candiru, vermoedelijk voor grootschalige tracking en verkenning. De onderzoekers hebben de aanvallen de naam 'AdFection' gegeven. Citizen Lab is onderdeel van de universiteit van Toronto dat onderzoek doet naar het gebruik van politieke macht in cyberspace. Ook doet het al jaren uitgebreid onderzoek naar het gebruik van spyware tegen activisten, journalisten en dissidenten. De besmette advertenties waren ingekocht door een Israelisch bedrijf genaamd Discover-Tech, dat zich als legitiem advertentiebedrijf voordoet. Het fungeert als facilitator voor spywarebedrijven en biedt een platform genaamd 'Controlium' voor het aanvallen van mensen via advertenties. Via dit platform kunnen spywareleveranciers automatisch systemen de-anonimiseren, fingerprinten en met spyware infecteren zodra de advertentie op het systeem wordt weergegeven. Klanten kunnen via Controlium het mobiele advertentie-ID. browser identifier en/of ip-adres opgeven om een specifiek iemand aan te vallen of profileren. Uit het onderzoek blijkt dat de advertenties van Discover-Tech gedurende een periode van vier maanden op bijna 200.000 unieke websites en binnen Android/iOS-app zijn weergeven in tientallen landen. Dat baseren de onderzoekers op de 'bidding records' van Discover-Tech. Advertentiebedrijven kunnen bieden op de advertentieruimte op websites en binnen apps. Via 'bid requests' kan een grote hoeveelheid informatie over internetgebruikers worden verzameld. Deze informatie wordt normaal gebruikt om te bepalen welke advertentie het best aan een specifieke gebruiker kan worden getoond, maar is zoals het onderzoek laat zien ook te gebruiken voor gerichte spyware-aanvallen. Zoals gezegd is bij de aanvallen geen enkele interactie van slachtoffers vereist, wat ook wel een zero-click-aanval wordt genoemd. Alleen het te zien krijgen van een advertentie is voldoende. Zero-click-aanvallen maken misbruik van kwetsbaarheden die op het aangevallen systeem aanwezig zijn. Het onderzoeksrapport laat niet weten welke kwetsbaarheden bij de advertentie-aanvallen zijn gebruikt, maar de genoemde spywareleveranciers hebben in het verleden meerdere zerodaylekken in onder andere Windows en Google Chrome bij aanvallen ingezet. De spywareleveranciers leveren hun producten aan overheden. De afgelopen jaren is herhaaldelijk gebleken dat overheden deze 'mercenary spyware' inzetten tegen journalisten, activisten, oppositie en andere critici. De advertenties zijn wereldwijd getoond, waaronder ook in Nederland. Zo zouden advertenties onder andere te zien zijn geweest op systemen van het Internationaal Strafhof en het ministerie van Economische Zaken. De onderzoekers adviseren mensen die zich tegen dit soort aanvallen willen beschermen om online advertenties te blokkeren. Organisaties zouden dit op de gateway tot hun netwerk moeten doen. Op overheidssystemen zouden adblockers zelfs moeten worden verplicht stellen de onderzoekers. Verschillende advertentiebedrijven, waaronder Google, hebben de toegang die Discover-Tech tot hun advertentieplatforms had inmiddels opgeheven. Daarnaast pleiten de onderzoekers voor een grondige hervorming van de online advertentie-industrie en strenger toezicht. Grootschalige de-anonimisering van internetgebruikers De infrastructuur van Discover-Tech is niet alleen gebruikt door spywareleveranciers, aldus de onderzoekers. Die ontdekten ook een andere 'threat actor' die er gebruik van maakt. Deze aanvaller, die de naam 'Dark Cartographer' kreeg, gebruikt kwetsbaarheden bij allerlei telecomproviders om het advertentie-ID van telefoons aan telefoonnummers te koppelen. De onderzoekers spreken van het grootschalig de-anonimiseren van internetgebruikers. In een toekomstig rapport zal de werkwijze van deze partij worden besproken. Daarnaast werken de onderzoekers samen met leveranciers om de de-anonimiseringsaanval van Dark Cartographer tegen te gaan. bron: https://www.security.nl