Captain Kirk

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt softwareontwikkelaars voor gehackte npm- en Python-packages en roept op tot actie. De afgelopen dagen wisten aanvallers meerdere npm-packages te compromitteren en te voorzien van malware. Het ging onder andere om vulnerability scanner Trivy en HTTP library Axios. De malware in deze gehackte packages zorgt ervoor dat aanvallers inloggegevens en andere secrets van getroffen ontwikkelaars en hun systemen in handen krijgen. "Als jouw organisatie software ontwikkelt waarin een gecompromitteerd npm- of Python-package wordt gebruikt, hebben de kwaadwillenden toegang tot authenticatiegegevens gekregen. Via deze gegevens krijgen de kwaadwillenden toegang tot andere (ontwikkel)omgevingen of systemen op je netwerk. Ook eindgebruikers van je software lopen een reëel risico, bijvoorbeeld doordat backdoors van de kwaadwillenden in je software terecht zijn gekomen", zo waarschuwt het NCSC. De overheidsdienst zegt dat het aanwijzingen heeft gekregen dat de aanvallers verkregen toegang tot gehackte systemen gebruiken voor het stelen van data en afpersen van getroffen organisaties. "Waarbij ze bijvoorbeeld dreigen om de buitgemaakte data op het internet te publiceren wanneer niet aan een losgeldeis wordt voldaan. Ook is het mogelijk dat buitgemaakte data aan andere cybercriminelen wordt doorverkocht, die de daarin aanwezige credentials vervolgens voor hun eigen vervolgaanvallen misbruiken." Volgens het NCSC is het belangrijk dat softwareontwikkelaars en organisaties die npm of Python-packages van derden gebruiken actie ondernemen. Zo wordt aangeraden om te controleren of de ontwikkelomgeving is gecompromitteerd en een incidentresponsproces te starten als dit het geval is. Daarnaast worden maatregelen geadviseerd om dit soort incidenten te voorkomen, zoals het gebruik van versiepinning wanneer software van externe libraries gebruikmaakt, het toepassen van een dependancy cooldown-periode, uitschakelen van postinstall-scripts en implementeren van npm Trusted Publishing via OpenID Connect (OIDC), in plaats van een vast 'NPM_TOKEN'. Dit voorkomt dat een 'langlevend' publish-token kan worden gestolen of misbruikt. bron: https://www.security.nl

Microsoft waarschuwt gebruikers voor malware die via WhatsApp-berichten wordt verspreid en waarmee aanvallers toegang tot de systemen van slachtoffers krijgen. De aanvallen werden eind februari waargenomen en maken gebruik van social engineering. Hoe deze berichten er precies uit zien laat Microsoft niet weten, maar de aanval werkt alleen als het doelwit gebruikmaakt van WhatsApp Web op Windows. Vorig jaar meldde antivirusbedrijf Trend Micro een aanval gericht op WhatsApp-gebruikers, waarbij die werden gevraagd om het meegestuurde bestand via WhatsApp Web op hun computer op te slaan en daar te openen. Mogelijk dat deze methode ook bij de aanvallen wordt toegepast waarvoor Microsoft waarschuwt. Bij deze aanvallen versturen de aanvallers malafide VBS-scripts. De scripts, zodat geopend op een computer, installeren vervolgens het programma AnyDesk, waarmee aanvallers toegang tot het systeem kunnen krijgen. De aanvallers kunnen dan gegevens stelen, aanvullende malware installeren of het systeem onderdeel van een botnet maken, aldus Microsoft. He techbedrijf adviseert organisaties om personeel te trainen zodat ze verdachte WhatsApp-bijlagen en onverwachte berichten kunnen herkennen. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om de npm-package van de populaire HTTP client library Axios te voorzien van malware. De aanval was mogelijk doordat het account van de primaire maintainer van het Axios-project werd gehackt, zo meldt securitybedrijf StepSecurity in een analyse. Axios is één van de meestgebruikte HTTP clients in het JavaScript-ecosysteem met meer dan honderd miljoen wekelijkse downloads op npmjs.com. Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via de npm Registry biedt het een groot archief met openbare, besloten en commerciële packages. Hoe de aanvallers het account van de maintainer konden compromitteren is onbekend. Nadat er toegang tot het account was verkregen werd het e-mailadres gewijzigd. Vervolgens werden er door de aanvallers verschillende malafide builds uitgebracht. Geen van deze malafide versies bevat kwaadaardige code. In plaats daarvan werd er een zogenaamde dependency geïnjecteerd, die als enig doel heeft het installeren van een cross-platform remote access trojan (RAT). De malware werkt op Linux, macOS en Windows en geeft aanvallers toegang tot het gehackte systeem. De dropper die voor de installatie van de uiteindelijk malware verantwoordelijk is verwijdert zichzelf en vervangt de eigen package met een schone versie als afleidingsmanoeuvre, aldus de onderzoekers. Ontwikkelaars die na de infectie de node_modules folder inspecteren zullen dan ook niets verdachts zien. Volgens StepSecurity was de aanval niet opportunistisch maar goed voorbereid, en hebben de aanvallers veel moeite genomen om hun sporen te verbergen. Ze stellen dat het om één van de meest geraffineerde supplychain-aanvallen tegen een Top 10 npm-package gaat die ooit is gedocumenteerd. Zowel StepSecurity als securitybedrijf Socket hebben informatie gepubliceerd waarmee ontwikkelaars en organisaties kunnen controleren of hun systemen zijn gecompromitteerd en welke verdere stappen genomen moeten worden. bron: https://www.security.nl

Nieuwe wetgeving zorgt ervoor dat de politie van Hong Kong de wachtwoorden van telefoons, laptops en andere apparaten van reizigers kan eisen. Reizigers die de inloggegevens weigeren te geven maken zich schuldig aan een misdrijf en kunnen worden veroordeeld tot een gevangenisstraf van een jaar en een boete van omgerekend 11.000 euro, meldt de BBC. De Amerikaanse ambassade in Hong Kong heeft wegens de wetswijziging een waarschuwing afgegeven. De politie van Hong Kong heeft geen gerechtelijk bevel nodig om wachtwoorden, decryptiesleutels en andere "redelijke en noodzakelijke informatie of hulp" van een verdachte te eisen. Douanebeambten mogen nu ook apparaten in beslag nemen die tot "opruiing" kunnen leiden. Wanneer reizigers valse of misleidende informatie aan de autoriteiten verstrekken kunnen ze een gevangenisstraf van drie jaar en een boete van 55.000 euro krijgen. Naar aanleiding van de waarschuwing van de Amerikaanse ambassade werd de Amerikaanse ambassadeur door de autoriteiten in Hong Kong ontboden. bron: https://www.security.nl

Een kritiek SQL Injection-beveiligingslek in Fortinet FortiClientEMS wordt al sinds een aantal dagen actief misbruikt bij aanvallen, zo waarschuwt securitybedrijf Defused. Fortinet kwam op 6 februari van dit jaar met beveiligingsupdates voor het probleem, aangeduid als CVE-2026-21643. Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller op kwetsbare systemen code of commando's uitvoeren. FortiClient EMS is een oplossing waarmee beheerders op afstand systemen kunnen beheren waarop de FortiClient-software draait. Zo is het bijvoorbeeld mogelijk om zaken als antivirussoftware, webfilters, vpn en signature-updates in te stellen. CVE-2026-21643 betreft een kwetsbaarheid in de admin-interface van FortiClientEMS waardoor SQL Injection mogelijk is. Door het versturen van speciaal geprepareerde HTTP requests kan een aanvaller ongeautoriseerde code of commando's uitvoeren, aldus het beveiligingsbulletin van Fortinet, dat geen verdere informatie bevat. Defused waarschuwde afgelopen zaterdag via X dat het misbruik van CVE-2026-21643 had waargenomen. De aanvallen zouden al zeker sinds 24 maart plaatsvinden. Verdere details zijn echter niet gegeven. Fortinet heeft het misbruik nog niet bevestigd. Twee jaar geleden liet Fortinet wel weten dat misbruik van een andere SQL Injection kwetsbaarheid in FortiClientEMS (CVE-2023-48788) plaatsvond. De Australische overheid riep organisaties destijds op om direct in actie te komen, de patches te installeren en te controleren of systemen al niet zijn gecompromitteerd. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in Citrix Netscaler ADC en Citrix Netscaler Gateway waardoor aanvallers kwetsbare systemen in het ergste geval kunnen overnemen, zo meldt securitybedrijf watchTowr op basis van eigen onderzoek. Beveiligingsupdates voor het probleem, aangeduid als CVE-2026-3055, zijn sinds 23 maart beschikbaar. Citrix liet weten dat eigen onderzoekers het probleem hadden gevonden. Volgens watchTowr vinden aanvallen waarbij de kwetsbaarheid wordt misbruikt al zeker sinds 27 maart plaats. Door onvoldoende invoervalidatie kan een 'Out-of-bounds Read' ontstaan, waardoor aanvallers allerlei gevoelige informatie uit het geheugen van de Citrix-apparaten kunnen lezen, om daarmee verdere aanvallen uit te voeren. Het gaat onder andere om 'authenticated administrative session ID's', waarmee een aanvaller admintoegang tot de Citrix-apparaten kan krijgen, aldus de onderzoekers van watchTowr. NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd NetScaler-systeem kan dan ook groot zijn. Het Britse National Cyber Security Centre (NCSC) deed op 25 maart een oproep aan Britse organisaties om de update voor CVE-2026-3055 meteen te installeren. WatchTowr stelt op basis van eigen informatie dat de kwetsbaarheid tenminste sinds 27 maart bij aanvallen is ingezet. Nog geen vier dagen na het uitkomen van de update. "Dit is een indrukwekkende doorlooptijd voor een beveiligingslek dat Citrix intern had gevonden...", zo laten de onderzoekers van het securitybedrijf weten. Die voegen toe dat het memory management van Citrix-apparaten "niet best" is, mede omdat CVE-2026-3055 veel lijkt op twee andere geheugenlekken in de apparatuur, die bekendstaan als CitrixBleed en CitrixBleed2. bron: https://www.security.nl

Update: Het Europees Parlement heeft in een spannende stemming opnieuw tegen 'chatcontrole 1.0' gestemd, waardoor techbedrijven zoals Meta, Google en Microsoft binnenkort moeten stoppen met het op grote schaal en willekeurig scannen van berichten van Europese burgers. Met slechts één stem verschil werd het geautomatiseerd beoordelen van onbekende privéfoto's en chatberichten als "verdacht" of "niet-verdacht" verworpen. Bij de daaropvolgende eindstemming behaalde het gewijzigde voorstel ook geen meerderheid. Daarop zal de verlenging van 'chatcontrole 1.0' op 3 april aflopen. Een tijdelijke uitzondering op de ePrivacy Verordening, ook wel 'chatcontrole 1.0' genoemd', staat aanbieders van interpersoonlijke communicatiediensten toe om het verkeer van gebruikers vrijwillig op misbruikmateriaal te controleren. Het gaat dan bijvoorbeeld om chatapps. Dit verschilt van het plan van de Europese Commissie voor 'chatcontrole 2.0', waarbij chatapps en andere partijen verplicht zouden worden om alle berichten van hun gebruikers te controleren. De tijdelijke uitzondering verloopt op 3 april van dit jaar. Afgelopen december kwam de Europese Commissie met een voorstel om de uitzondering met twee jaar te verlengen, tot 3 april 2028. De EU-lidstaten willen de verlenging zelfs permanent maken. Het Europees Parlement stemde begin maart voor een aangepast voorstel, waarbij de maatregel onder voorwaarden voor een periode van een jaar kon worden verlengd. Het ongericht en op grote schaal controleren van berichten zou niet meer worden toegestaan. De onderhandelingen tussen het Europees Parlement en de EU-lidstaten over een verlenging liepen onlangs stuk. Na de stukgelopen onderhandelingen besloot de EVP-fractie van het Europees Parlement chatcontrole 1.0 opnieuw op de agenda te krijgen, waarbij werd geprobeerd om het voorstel van de Europese Commissie over te nemen. Hoewel de EVP-fractie de grootste van Europees Parlement is, trokken voorstanders van chatcontrole vandaag opnieuw aan het kortste eind. Volgens voormalig Europarlementariër en digitale rechtenexpert Patrick Breyer is er tijdens het wetgevingsproces flink gelobbyd. Breyer stelt dat allerlei door het buitenland gefinancierde lobbygroepen en techbedrijven chatcontrole proberen in te voeren. Zo ontwikkelt de Amerikaanse organisatie Thorn de scansoftware die voor de controle gebruikt kan worden en spendeerde het grote bedragen om in Brussel te lobbyen. "De tech-industrie lobbyde samen met bepaalde organisaties voor een wet die kinderen niet beschermt, maar hun eigen winsten en datatoegang veiligstelt", aldus Breyer. De voormalige Europarlementariër waarschuwt om ondanks de stemming van vandaag niet te vroeg te juichen. "Ze zullen het opnieuw proberen. De onderhandelingen voor een permanente chatcontrole gaan onder hoge druk verder, en binnenkort zal de geplande leeftijdsverificatie voor chatapps de anonieme communicatie op internet bedreigen. De strijd voor digitale vrijheid gaat door!"

Reddit gaat menselijke verificatie verplichten voor accounts die 'verdacht gedrag' vertonen, zo heeft ceo Steve Huffman in een bericht op het platform aangekondigd. Om welk gedrag het dan precies gaat wordt niet gemeld. Onlangs kwam Huffman al in het nieuws omdat hij Face ID of Touch ID een laagdrempelige oplossing voor het verifiëren van gebruikers noemde. In het bericht op Reddit stelt Huffman dat het nodig is om bots van mensen te kunnen onderscheiden en het platform daarom een aantal aanpassingen doorvoert. Zo zal duidelijk worden vermeld wanneer een account 'niet-menselijk' is. Daarnaast wordt menselijke verificatie verplicht voor geautomatiseerd of 'anderzijds verdacht gedrag'. Reddit stelt dat deze accounts een verzoek zullen krijgen om te bevestigen 'dat er een mens achter zit' en de meeste gebruikers hier niet mee te maken krijgen. "Verifiëren of iemand mens is, is niet hetzelfde als weten wie het is", aldus Huffman. "We hebben je echte identiteit niet en willen die ook niet." De Reddit-ceo benadrukt dat de website geen algemene menselijke verificatie invoert, laat staan identiteitsverificatie. Huffman stelt ook dat de verificatie plaatsvindt op een manier waarbij de privacy van gebruikers niet wordt geschonden. "De beste langetermijnoplossingen zijn gedecentraliseerd, geïndividualiseerd, privé en vereisen idealiter geen identiteitsbewijs." Volgens de Reddit-ceo gaat de voorkeur uit naar third-party tools, om zo afstand te houden tussen de verificatie en het platform. Daarbij noemt Huffman verschillende opties, zoals passkeys, third-party biometrische controle zoals World ID, en third-party overheids-ID-diensten. "Het systeem dat we gebruiken zal niet je echte identiteit aan Reddit bekendmaken noch je Reddit-gebruikersnaam aan een derde partij." bron: https://www.security.nl

De ontwikkelaars van het op privacy gerichte besturingssysteem Tails hebben een nieuwe versie uitgebracht waarin wachtwoordmanager KeePassXC door Secrets is vervangen. Gebruikers die van KeePassXC gebruik willen blijven maken kunnen de wachtwoordmanager zelf installeren. Tails staat voor The Amnesic Incognito Live System en is een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen. Het privacy-OS kan vanaf een usb-stick of dvd worden gestart. Tails maakte standaard gebruik van KeePassXC als wachtwoordmanager voor het opslaan van wachtwoorden van gebruikers. Met de lancering van Tails 7.6 heeft deze wachtwoordmanager plaats gemaakt voor Secrets. "Secrets heeft een eenvoudigere interface en is beter geïntegreerd in de GNOME desktop", aldus de ontwikkelaars. Zo werken met Secrets weer bepaalde toegankelijkheidsfeatures, zoals het schermtoetsenbord en cursorgrootte. Secrets zal automatisch de eerdere KeePassXC-database van gebruikers ontgrendelen, omdat zowel Secrets als KeePassXC hetzelfde bestandsformaat gebruiken om wachtwoorden op te slaan. Gebruikers die de meer geavanceerde features van KeePassXC missen kunnen de wachtwoordmanager als aanvullende software installeren. bron: https://www.security.nl

Webwinkels die zijn gebaseerd op Magento en Adobe Commerce worden op grote schaal via een nieuw beveiligingslek aangevallen, zo meldt securitybedrijf Sansec. Via de kwetsbaarheid is remote code execution mogelijk of kunnen aanvallers accounts kapen. Een beveiligingsupdate voor het probleem is alleen beschikbaar voor de "pre-release branch" van de webwinkelsofware. Productieversies van Magento en Adobe Commerce moeten het vooralsnog zonder update doen. De kwetsbaarheid bevindt zich in de REST API van de webwinkelsoftware en laat een ongeauthenticeerde aanvaller uitvoerbare bestanden naar kwetsbare webshops uploaden. Alle versies van Magento en Adobe Commerce tot en met versie 2.4.9-alpha2 bevatten deze "unrestricted file upload" kwetsbaarheid. Daarnaast zijn alle webshops die gebruikmaken van Apache-webserver voor versie 2.3.5 of een aangepaste webserverconfiguratie kwetsbaar voor stored cross-site scripting, waardoor een aanvaller accounts kan overnemen. In het geval van een overgenomen admin-account zou een aanvaller zo toegang tot de webshop kunnen krijgen. Securitybedrijf Sansec kwam op 17 maart met een waarschuwing voor het probleem, dat het 'PolyShell' noemt. Volgens onderzoekers van het bedrijf vindt sinds 19 maart grootschalig misbruik en zijn PolyShell-aanvallen op 56,7 procent van alle kwetsbare webshops aangetroffen. Bij een autofabrikant trof Sansec een "skimmer" aan, malware die op de betaalpagina allerlei informatie steelt en doorstuurt naar criminelen. Vermoedelijk is de websop via de PolyShell-aanval gecompromitteerd. bron: https://www.security.nl

Het Europees Parlement stemt vandaag opnieuw over het verlengen van 'chatcontrole 1.0', nadat het voorstel eerder deze maand nog door een meerderheid werd verworpen. Daardoor bestaat het risico dat techbedrijven door mogen blijven gaan met de grootschalige controle van chatberichten en e-mails van hun gebruikers. Daarnaast stellen critici dat op deze manier het democratische fundament van de Europese Unie wordt aangetast. Een tijdelijke uitzondering op de ePrivacy Verordening, ook wel 'chatcontrole 1.0 genoemd', staat aanbieders van interpersoonlijke communicatiediensten toe om het verkeer van gebruikers vrijwillig op misbruikmateriaal te controleren. Het gaat dan bijvoorbeeld om chatapps. Dit verschilt van het plan van de Europese Commissie voor 'chatcontrole 2.0', waarbij chatapps en andere partijen verplicht zouden worden om alle berichten van hun gebruikers te controleren. De tijdelijke uitzondering verloopt op 3 april en de onderhandelingen tussen het Europees Parlement en de EU-lidstaten over een verlenging zijn onlangs stukgelopen. Afgelopen december kwam de Europese Commissie met een voorstel om de uitzondering met twee jaar te verlengen tot 3 april 2028. Eerder ging de Europese Raad al akkoord met een voorstel om de uitzondering zelfs permanent te maken. Europese wetgeving vindt plaats via een trialoog, waarbij de Europese Commissie, het Europees Parlement en de Raad van Ministers onderhandelen over wetgevende voorstellen en elk een eigen positie innemen. Onlangs kwam het Europees Parlement met een eigen voorstel, waarin werd gesteld dat de uitzondering onder voorwaarden met een jaar kan worden verlengd. Zo moet het scannen proportioneel en gericht zijn en niet worden toegepast op end-to-end versleutelde communicatie. Het scannen van verkeersdata naast contentdata wordt niet toegestaan. Daarnaast mag het scannen alleen bij personen die door een gerechtelijke instantie als verdachte zijn aangewezen. Dit voorstel werd op 11 maart aangenomen. De lidstaten en het parlement konden het niet eens worden over de voorwaarden voor de verlenging, waardoor er geen akkoord is bereikt. De EVP-fractie van het Europees Parlement heeft het voorstel opnieuw op de agenda gezet, wat inhoudt dat het voorstel alsnog kan worden aangenomen. De EVP-fractie is de grootste fractie in het Europees Parlement. "In een ongekende actie probeert de EVP een gedwongen herstemming te laten plaatsvinden, om zo het principiële besluit van 11 maart terug te draaien en in plaats daarvan voor massale, willekeurige surveillance te kiezen", zegt de maker van de website Fight Chat Control op Hacker News. De Groenen in het Europees Parlement probeerden de herstemming gisteren tegen te houden, maar dat voorstel werd weggestemd. Daardoor zal het Parlement vandaag opnieuw over het voorstel stemmen om chatcontrole 1.0 onaangepast te verlengen zoals de Europese Commissie wil. Daarbij zouden meerdere partijen verdeeld zijn, terwijl de EVP volledig achter chatcontrole staat. Democratisch fundament ondermijnd Voormalig Europarlementariër en digitale rechtenexpert Patrick Breyer stelt dat er de afgelopen dagen een grootschalige "desinformatie" campagne van politici, opsporingsdiensten en techbedrijven heeft plaatsgevonden om de publieke opinie te beïnvloeden. Daarnaast waarschuwt hij voor de werkwijze van de EVP. "Wanneer een democratisch besluit herhaaldelijk in stemming wordt gebracht totdat het gewenste resultaat is bereikt, wordt het Parlement zelf gedevalueerd", aldus Breyer. "Deze aanpak schept een gevaarlijk precedent. Het ondermijnt de betrouwbaarheid van democratische processen en geeft het signaal af dat meerderheden alleen tellen wanneer ze politiek gezien opportuun zijn. De verantwoordelijke partijen schaden niet alleen het vertrouwen in de Europese instellingen, maar ook de fundamenten van de democratie zelf.” bron: https://www.security.nl

Extra: Mozilla heeft gisteren een nieuwe versie van Firefox gelanceerd die is voorzien van een ingebouwde gratis vpn-functie. Volgens de Firefox-ontwikkelaar hoeven gebruikers niet bang te zijn dat hun gegevens bij het gebruik van de feature zullen worden verkocht. Daarnaast zal de vpn-functie binnenkort voor gebruikers in meer landen beschikbaar komen. Op dit moment is de feature alleen beschikbaar voor Firefox-gebruikers in Duitsland, Frankrijk, het Verenigd Koninkrijk en de Verenigde Staten. De ingebouwde vpn-functie laat het verkeer van gebruikers via een proxy lopen. Dat maakt het volgens Mozilla een eenvoudige manier om te voorkomen dat Big Tech het ip-adres van gebruikers kan tracken. "We zijn bekend met de zorgen over zogenaamd "gratis vpn's", die vaak gebruikmaken van reclame of gebruikersgegevens verkopen om inkomsten te genereren", aldus Mozilla. "De in Firefox ingebouwde vpn zit anders in elkaar. Het verkooopt niet je browsinggegevens en injecteert geen advertenties in je verkeer." Vooralsnog bevindt de vpn-fucntie zich in de bètafase en is zoals gezegd alleen door Amerikaanse, Britse, Duitse en Franse gebruikers te gebruiken. Mozilla zegt dat het met de komende releases van Firefox de feature voor gebruikers in andere landen beschikbaar zal maken. In tegenstelling tot Mozilla's betaalde vpn-dienst, waarbij al het verkeer vanaf een apparaat via een vpn-tunnel gaat, is de Firefox-vpn alleen voor het browserverkeer bedoeld. Daarnaast is het dataverkeer tot vijftig gigabyte per maand beperkt. bron: https://www.security.nl

Aanvaller zijn erin geslaagd om Python-project LiteLLM van infostealer-malware te voorzien. Volgens de ontwikkelaar gaat het om een supplychain-aanval als gevolg van de aanval op vulnerability scanner Trivy. De Python Package Index (PyPI) heeft het project inmiddels in quarantaine geplaatst. LiteLLM biedt één interface waarmee ontwikkelaars van meer dan honderd Large language models (LLMs) gebruik kunnen maken. De laatste versie van de software blijkt infostealer-malware te bevatten die allerlei credentials en andere data van systemen steelt, zoals omgevingsvariabelen, SSH keys, inloggegevens voor Git, AWS, GCP en Azure, shell history, allerlei cryptowallets, SSL/TLS private keys, CI/CD secrets en inloggegevens voor verschillende databases. De data wordt vervolgens door de malware teruggestuurd naar de aanvallers. De maintainer van het project laat op Hacker News weten dat de ontwikkelomgeving via een besmette versie van vulnerability scanner Trivy is gecompromitteerd. Vorig week werd bekend dat aanvallers deze software, die wordt gebruikt voor het scannen van systemen op kwetsbaarheden en misconfiguraties, van infostealer-malware hadden voorzien. Deze malware probeerde op besmette systemen de bovengenoemde credentails en andere data te stelen. Vanwege de malware werden gebruikers van Trivy opgeroepen om op besmette systemen al hun credentials en secrets aan te passen Nu blijkt dat de aanvallers met de gestolen data in ieder geval LiteLLM hebben kunnen compromitteren. LiteLLM wordt aangeboden via de Python Package Index (PyPI). Dit is een repository voor de Python-programmeertaal en bevat allerlei door de Python-community ontwikkelde packages. Vanwege de malware heeft PyPI LiteLLM in quarantaine geplaatst. Daardoor kunnen clients de software niet meer installeren en is die niet door maintainers aan te passen. bron: https://www.security.nl

Mozilla heeft net Firefox 149 gelanceerd, die is voorzien van een gratis ingebouwde vpn-functie. Daarnaast is een groot aantal kwetsbaarheden in de browser verholpen. De vpn-functie is vooralsnog alleen beschikbaar voor Firefox-gebruikers in Duitsland, Frankrijk, het Verenigd Koninkrijk en de Verenigde Staten. Wanneer de feature voor Nederlandse gebruikers beschikbaar komt is onbekend. Via de vpn-functie wordt het Firefox-verkeer van gebruikers via een proxy gerouteerd. De vpn-feature biedt vijftig gigabyte aan dataverkeer per maand en is per website in of uit te schakelen. De ingebouwde vpn-optie verschilt van Mozilla's betaalde vpn-dienst Mozilla VPN. Daarmee kunnen gebruikers al het verkeer van hun systeem via een vpn-tunnel laten lopen. Firefox VPN doet dit alleen voor het verkeer van de browser. Mozilla stelt verder dat het hier om een geleidelijke uitrol gaat, waardoor de feature niet bij alle gebruikers op hetzelfde moment beschikbaar komt. Op deze manier zouden eventuele problemen vroegtijdig moeten worden ondervangen voordat straks alle Firefox-gebruikers de feature kunnen gebruiken. Verder blokkeert Firefox nu automatisch notificaties en trekt permanent alle permissies in van websites die door Google Safebrowsing als kwaadaardig zijn bestempeld. Dit moet voorkomen dat onveilige websites in de achtergrond notificaties naar gebruikers kunnen sturen, wat vaak wordt gebruikt voor advertenties, spam of phishing, aldus Mozilla. Tevens zijn 46 kwetsbaarheden in de browser verholpen, wat voor Mozilla's doen een groot aantal is. Geen van de beveiligingslekken is als kritiek aangemerkt. Wel stelt Mozilla dat sommige van de problemen met genoeg moeite kunnen worden gebruikt voor het uitvoeren van willekeurige code op systemen van gebruikers. Updaten naar Firefox 149 kan via de automatische updatefunctie en Firefox.com. bron: https://www.security.nl

Ruim een half miljoen Microsoft Internet Information Services (IIS) servers die toegankelijk vanaf het internet zijn, waaronder 6700 in Nederland, zijn end-of-life en ontvangen standaard geen beveiligingsupdates meer. Dat meldt The Shadowserver Foundation vandaag. IIS is een veelgebruikte webserver voor het hosten van websites. Er zijn verschillende versies van IIS. De meest recente versie op dit moment is IIS 10, waarvan de support begin 2029 afloopt. De support van Microsoft IIS 8 en 8.5 stopte op 10 oktober 2023. Organisaties kunnen echter tegen betaling maximaal drie jaar lang beveiligingsupdates blijven ontvangen. Dit vindt plaats via het Extended Security Updates (ESU) programma. Alleen voor IIS 8 en 8.5 zijn ESU-updates beschikbaar. Andere versies worden niet meer via het programma ondersteund. The Shadowserver Foundation is een stichting die onderzoek naar kwetsbare systemen op internet doet. Het deed onlangs een scan naar Microsoft IIS-servers. Het onderzoek leverde meer dan 511.000 Microsoft IIS-servers op die end-of-life zijn. Daarvan vallen meer dan 277.000 servers buiten het ESU-programma van Microsoft en ontvangen helemaal geen updates meer. De overige 234.000 IIS-servers komen nog wel in aanmerking voor de betaalde ESU-updates, maar het is onduidelijk of die hiervan gebruikmaken. De meeste end-of-life servers werden in de Verenigde Staten waargenomen (119.000). In Nederland gaat het om 6700 IIS-servers. Daarvan vallen 2200 servers buiten het ESU-programma. bron: https://www.security.nl

Microsoft komt met een optie om de installatie van updates tijdens het installeren van Windows 11 over te slaan, zodat gebruikers sneller bij de desktop komen. Daarnaast wordt Copilot uit verschillende applicaties gehaald. Dat heeft Microsoft in een blogposting aangekondigd. Het techbedrijf zegt op basis van feedback van gebruikers verschillende aanpassingen aan het besturingssysteem te zullen doorvoeren, die de kwaliteit ten goede moeten komen. Eén van de aanpassingen betreft het verminderen van overlast door Windows-updates. Volgens Microsoft moet het ontvangen van updates voorspelbaar zijn en eenvoudig in te plannen. Het techbedrijf stelt dat het gebruikers in dit proces meer controle wil geven. Zo krijgen gebruikers straks de optie om tijdens een Windows-installatie het installeren van updates over te slaan. Ook wordt het mogelijk om de computer zonder het installeren van updates te herstarten of uit te schakelen, en de installatie van updates langer te pauzeren. Verdere details over deze aanpassing zijn niet door Microsoft gegeven. Zo wordt niet gemeld of het hier alleen feature-updates betreft of ook beveiligingsupdates. Een andere aanpassing betreft het verwijderen van "onnodige Copilot entry points". Zo wordt de AI-chatbot verwijderd uit apps zoals Snipping Tool, Photos, Widgets en Notepad. Microsoft meldt dat de aanpassingen het komende jaar worden doorgevoerd. bron: https://www.security.nl

QNAP heeft meerdere beveiligingsupdates uitgebracht die kritieke kwetsbaarheden in verschillende producten van de fabrikant verhelpen. In de QHora-routers van QNAP zijn vier beveiligingslekken verholpen waardoor een aanvaller in het ergste geval via SQL Injection de apparaten kan overnemen. De problemen zijn verholpen in firmware versie QuRouter 2.6.3.009 en nieuwer. Voor QNAP's QuNetSwitch zijn ook updates beschikbaar, die in totaal vier kritieke beveiligingslekken verhelpen waardoor een aanvaller wederom het apparaat zou kunnen overnemen. Het gaat onder andere om de aanwezigheid van command injection en hardcoded credentials. De problemen zijn gepatcht in QuNetSwitch versie 2.0.4.0415 en versie 2.0.5.0906 en nieuwer. De derde kritieke beveiligingsupdate is voor de software QVR Pro. Via deze applicatie is het mogelijk om beveiligingscamera's aan de NAS-systemen van QNAP te koppelen en vervolgens beelden te bekijken en op te slaan. Doordat authenticatie voor een "kritieke functie" ontbreekt kunnen aanvallers op afstand toegang tot het systeem krijgen. Gebruikers wordt aangeraden om te updaten naar QVR Pro 2.7.4.1485 of nieuwer. bron: https://www.security.nl

Tientallen Microsoft SharePoint-servers met een Nederlands ip-adres bevatten een kwetsbaarheid waarvan actief misbruikt wordt gemaakt, zo stelt The Shadowserver Foundation op basis van eigen onderzoek. Het Nationaal Cyber Security Centrum (NCSC) houdt rekening met grootschalig misbruik. Via het beveiligingslek, aangeduid als CVE-2026-20963, is remote code execution (RCE) mogelijk. Microsoft kwam op 13 januari van dit jaar met een beveiligingsupdate. Op 18 maart meldde het Amerikaanse cyberagentschap CISA dat aanvallers actief misbruik van het probleem maken. Details over deze aanvallen zijn niet gegeven. The Shadowserver Foundation is een stichting die zich bezighoudt met onderzoek naar kwetsbare systemen op internet. Het deed onlangs een online scan naar SharePoint-servers die kwetsbaar zijn voor CVE-2026-20963. Dit leverde meer dan elfhonderd ip-adressen op, waarvan 35 in Nederland. Het grootste deel van de kwetsbaree servers bevindt zich in de VS. Vanwege de ernst van het beveiligingslek kregen Amerikaanse overheidsinstanties op 18 maart het bevel om de patch binnen drie dagen te installeren, mocht dat nog niet zijn gedaan. Microsoft SharePoint wordt onder andere gebruikt voor het maken van websites, delen van informatie, opslag van bestanden en laat medewerkers van organisaties samenwerken aan documenten. "De kwetsbaarheid stelt een kwaadwillende in staat om willekeurige code uit te voeren op een kwetsbaar Sharepoint systeem. Met name publiek toegankelijke installaties lopen verhoogd risico op misbruik", aldus het NCSC. "Buiten meldingen van actief misbruik is (nog) geen publieke Proof-of-Concept-code of exploit bekend. Door de media-aandacht echter, verwacht het NCSC dat deze wellicht op korte termijn beschikbaar komt, waardoor het risico op grootschalig misbruik zal toenemen." bron: https://www.security.nl

Instagram stopt binnenkort met de mogelijkheid om end-to-end versleutelde berichten te versturen, zo heeft het platform bekendgemaakt. "End-to-end versleutelde berichten op Instagram worden vanaf 8 mei 2026 niet meer ondersteund", aldus de boodschap. Een reden voor de beslissing wordt niet gegeven. Onlangs maakte TikTok bekend dat het bewust geen end-to-end encryptie toepast, omdat de beveiligingsmaatregel gebruikers minder veilig zou maken. Politie en veiligheidsmedewerkers kunnen door end-to-end encryptie privéberichten van gebruikers niet lezen als dat nodig is, aldus TikTok. "End to end versleutelde berichten en telefoongesprekken zorgen ervoor dat alleen jij en de mensen met wie je communiceert kunnen zien of luisteren wat er wordt verstuurd, en niemand anders, zelfs Meta niet", aldus Instagram op de eigen website. De beveiligingsmaatregel staat niet standaard ingeschakeld. Gebruikers moeten end-to-end versleuteld zelf voor privéchats inschakelen. Vanaf 8 mei zal het echter niet langer meer mogelijk zijn om end-to-end via Instagram te communiceren. Gebruikers die end-to-end versleutelde chats hebben zullen instructies ontvangen hoe ze media of berichten die ze willen behouden kunnen downloaden. bron: https://www.security.nl

Microsoft waarschuwt voor aanvallers die fake vpn-software voor bedrijven verspreiden wat in werkelijkheid malware is. De malware heeft als doel om vpn-inloggegevens van het slachtoffer te stelen. Bij de aanval wordt gebruikgemaakt van search engine optimization (SEO) poisoning om websites met de malafide vpn-software hoger in de zoekresultaten te krijgen, aldus Microsoft. Het techbedrijf ontdekte tal van dergelijke websites waarop zogenaamd vpn-software van Ivanti, Fortinet, Cisco, Checkpoint, Sophos, SonicWall en WatchGuard wordt aangeboden. Wanneer gebruikers naar de zakelijke vpn-software zoeken kunnen ze deze websites in de zoekresultaten tegenkomen. De websites bevatten een link naar een bij GitHub gehost bestand dat het installatieprogramma zou zijn. Dit programma installeert de malware. Om gebruikers niets te laten vermoeden toont het geïnstalleerd programma een inlogvenster dat op dat van de echte vpn-software lijkt. Wanneer slachtoffers hun wachtwoord en vpn-configuratie invoeren wordt deze data naar de aanvaller gestuurd. Hierna laat de malafide applicatie een fake foutmelding aan de gebruiker zien, die vervolgens de opdracht krijgt om de legitieme vpn-software te installeren. Daarbij kan ook de browser van het slachtoffer worden geopend met de legitieme website van de vpn-software. Hierdoor kan het zijn dat gebruikers niets vermoeden, stelt Microsoft. Het techbedrijf meldt tevens dat de malware aanpassingen aan het register doorvoert zodat die ook bij het opstarten van het systeem wordt geladen. bron: https://www.security.nl

Onderzoekers hebben verschillende kritieke kwetsbaarheden in Linux AppArmor ontdekt waardoor een lokale aanvaller root kan worden. Volgens securitybedrijf Qualys, dat de problemen ontdekte en rapporteerde, maken wereldwijd 12,6 miljoen enterprise Linux instances standaard gebruik van AppArmor. Er zijn updates beschikbaar gemaakt om de problemen te verhelpen. De in totaal negen verschillende beveiligingslekken die de aanval mogelijk maken hebben de naam 'CrackArmor' gekregen. AppArmor is een door Canonical beheerde Linux kernel security module waarmee systeembeheerders de mogelijkheden van programma's via een apart profiel per programma kunnen beperken. Zo kan er via de profielen bijvoorbeeld worden aangegeven of een programma netwerktoegang mag hebben of de mogelijkheid om bestanden te lezen, schrijven of uit te voeren. Volgens Qualys is AppArmor het standaard access control mechanisme van Ubuntu, Debian, SUSE en tal van cloudplatforms. Via de CrackArmor-kwetsbaarheden kan een unprivileged gebruiker de AppArmor-profielen manipuleren, door ze te laden, verwijderen of vervangen, user-namespace beperkingen omzeilen en willekeurige code binnen de kernel uitvoeren. Door de gevonden problemen te combineren kan een aanvaller die al toegang tot een systeem heeft zijn rechten verhogen tot die van root. Ook kan misbruik tot een denial of service leiden. Er zijn op dit moment nog geen CVE-nummers voor de kwetsbaarheden beschikbaar. Qualys zegt dat het proof-of-concept exploitcode heeft ontwikkeld om misbruik van de problemen te demonstreren, maar maakt die nog niet beschikbaar zodat organisaties de tijd krijgen om de beschikbare patches uit te rollen en het risico voor ongepatchte omgevingen te beperken. De kwetsbaarheden werden vorig jaar juli, augustus en september gerapporteerd. Updates zijn sinds gisteren beschikbaar. bron: https://www.security.nl

Wereldwijd zijn wifi-routers van D-Link, Netgear, TP-Link, Zyxel en andere fabrikanten geïnfecteerd met de AVrecon-malware, zo waarschuwt de FBI (pdf). De Amerikaanse opsporingsdienst adviseert eigenaren van dergelijke wifi-routers om een patchschema te maken en zo periodiek te controleren of er firmware-updates beschikbaar zijn en die dan meteen te installeren. Veel routers beschikken namelijk niet over een automatische updatefunctie, aldus de opsporingsdienst. De met AVrecon besmette routers werden via de SocksEscort-proxydienst aangeboden. Afnemers van deze dienst, die inmiddels door de autoriteiten offline is gehaald, konden via de besmette routers hun verkeer laten lopen. Volgens de FBI is de AVrecon-malware op routers en ip-camera's in 163 landen aangetroffen. De malware is in staat om twaalfhonderd apparaatmodellen van Cisco, D-Link, Hikvision, MicroTik, Netgear, TP-Link en Zyxel te infecteren. Hiervoor maken de aanvallers gebruik van kritieke kwetsbaarheden in de apparaten. Het gaat zowel om apparaten die end-of-life zijn en geen beveiligingsupdates ontvangen of apparaten waarvan de eigenaar beschikbare patches niet heeft geïnstalleerd. Bij sommige van de besmette apparaten installeerden de aanvallers custom firmware om toegang te behouden. Ook werd de firmware van besmette routers aangepast, waardoor de features om het apparaat te updaten of te flashen werden uitgeschakeld. Dit maakt het volgens de FBI zeer lastig om de AVrecon-malware te verwijderen. Bij sommige apparaten volstaat het rebooten van het besmette apparaat om de malware te verwijderen, omdat die niet over 'persistence' beschikt, maar er zijn gevallen bekend waarbij het apparaat meteen via de eerder gebruikte kwetsbaarheden opnieuw werd geïnfecteerd. Naast het fungeren als proxy worden besmette routers en ip-camera's ook ingezet voor het scannen naar andere kwetsbare apparaten. De FBI adviseert eigenaren van routers en andere IoT-apparaten om firmware-updates tijdig te installeren. Aangezien veel van deze apparaten niet over een automatische updatefunctie beschikken wordt aangeraden een patchschema op te stellen en zelf periodiek te controleren of er patches beschikbaar zijn en die dan te installeren. Verder wordt aangeraden om SOHO-routers en IoT-apparaten te monitoren, isoleren en de toegang ertoe te beperken. Tevens moeten end-of-life apparaten worden vervangen. bron: https://www.security.nl

Google heeft beveiligingsupdates uitgebracht voor twee actief aangevallen kwetsbaarheden in Chrome. Beide beveiligingslekken werden zelf door Google op 10 maart ontdekt. Het gaat om CVE-2026-3909 en CVE-2026-3910, aanwezig in de Skia- en V8-onderdelen van de browser. Chrome gebruikt de Skia graphics engine voor het weergeven van tekst en afbeeldingen. V8 is de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In beide onderdelen zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen. De impact van beide kwetsbaarheden is door Chrome beoordeeld als 'high'. Bij kwetsbaarheden met het stempel 'high' kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Google geeft geen details over de waargenomen aanvallen. De kwetsbaarheden zijn verholpen in Google Chrome 146.0.7680.75/76 voor Windows en macOS en Chrome 146.0.7680.75 voor Linux. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van kwetsbaarheden met het stempel 'high' echter tot zestig dagen duren. Gebruikers die de update direct willen ontvangen zullen dan ook een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar. bron: https://www.security.nl

De Nederlandse politie heeft samen met de FBI en andere opsporingsdiensten de servers van proxydienst SocksEscort offline gehaald. Volgens de politie bestond SocksEscort wereldwijd uit meer dan 369.000 gehackte en geïnfecteerde apparaten, zoals routers en ip-camera’s van thuisgebruikers. Tegen betaling kon er van de proxydienst gebruik worden gemaakt. De politie stelt dat via SocksEscort strafbare feiten werden gepleegd. Gisteren werd de infrastructuur van de proxydienst offline gehaald. Zo werden 23 servers in zeven landen beslag genomen, alsmede 34 domeinen. Daarnaast is de website waarop de dienst werd aangeboden overgenomen. Tevens is een grote hoeveelheid data in beslag genomen en veiliggesteld. "De volledige omvang van het proxynetwerk en de afnemers van deze dienst is hiermee duidelijk geworden", aldus de politie. In het onderzoek is samengewerkt met de Amerikaanse, Franse en Oostenrijkse autoriteiten. Ook Europol was betrokken. Via een proxydienst kunnen gebruikers hun verkeer via andere apparaten laten lopen. "Hoewel niet iedere proxydienst illegaal is, worden ze ook door criminelen misbruikt om hun identiteit te verbergen. Dit maakt het opsporen en vervolgen van daders moeilijker en lijkt het alsof het strafbare feit door de eigenaar van het kwetsbare apparaat is gepleegd", laat de politie weten. De kenmerken van de besmette apparaten die onderdeel uitmaakten van SocksEscort zijn gedeeld met de opsporingsdiensten in meer dan veertig landen. Deze landen kunnen maatregelen nemen, zodat deze apparaten niet opnieuw onderdeel van een proxydienst worden. De politie meldt dat in Nederland een beperkt aantal apparaten geïnfecteerd was en het de eigenaren persoonlijk zal informeren. bron: https://www.security.nl

Gebruikers van het web moeten standaard anoniem blijven, aldus Mozilla, dat zegt te werken aan oplossingen voor identificatie en leeftijdsverificatie. Mensen kunnen op straat rondlopen zonder dat ze een naambordje hoeven te dragen of zich tegenover voorbijgangers moeten identificeren, aldus de Firefox-ontwikkelaar. Wie een winkel binnengaat hoeft zich niet eerst te introduceren en alleen zijn portemonnee te trekken als er iets wordt gekocht. "Wanneer dit de norm is, kan iedereen van de voordelen van privacy genieten zonder veel moeite te doen om hun identiteit te verbergen - iets dat voor de meeste mensen niet praktisch is", zegt Mozilla's Martin Thomson. "Het is gemakkelijk om anonimiteit als vanzelfsprekend te beschouwen, maar het is afhankelijk van een fragiel evenwicht dat continu wordt bedreigd." Dergelijke anonimiteit staat op het web onder druk, aldus Thomson. Zo verplichten steeds meer landen online leeftijdsverificatie. Daarnaast werken steeds meer landen met digitale identiteitsbewijzen. "Dat maakt het voor veel meer websites praktisch om om fysieke identificatie te vragen en het voor allerlei nieuwe doeleinden te gebruiken, die handig voor hen zijn, maar niet in het belang van ieders privacy zijn." Thomson stelt dat zero-knowledge proof protocollen en encryptie kunnen helpen om de anonimiteit op het web te behouden. "We zullen de komende maanden meer informatie over deze aanpak delen. Sommige details worden nog uitgewerkt in samenwerking met onze partners in het ecosysteem, maar we hebben er vertrouwen in dat het mogelijk is om misbruik, leeftijdsverificatie en authenticatie van burgers op te lossen zonder dat het web anonimiteit hoeft op te geven." bron: https://www.security.nl