[DAGBRIEFING]
Ransomwaregroep Hive-affiliate veroordeeld, politie bekritiseert late aangifte Ahold Delhaize
Een 36-jarige Oekraïense man is in de Verenigde Staten veroordeeld tot 70 maanden gevangenisstraf voor zijn rol als 'affiliate' van de ransomwaregroepen Hive en Nefilim. Hij was verantwoordelijk voor aanvallen op diverse internationale bedrijven, waaronder transportbedrijf Toll, staalproducent BlueScope, technisch dienstverlener Spie Group en witgoedfabrikant Whirlpool met Nefilim-ransomware. Deze aanvallen veroorzaakten miljoenen dollars schade. Tussen juni 2021 en januari 2023 voerde de man ook aanvallen uit met Hive-ransomware, waarbij onder andere een Amerikaans advocatenkantoor, een tandarts en een zorgverlener werden getroffen 11. De verdachte werd in juni 2024 in Spanje aangehouden en vorig jaar aan de VS uitgeleverd, waarna hij schuld bekende 11.
De Nederlandse politie heeft kritiek geuit op Ahold Delhaize, dat pas ruim een week na een recente cyberaanval formeel aangifte deed. Volgens Remco van den Hoven, hoofd opsporing high tech crime van Politie Nederland, is er geen reden om aangifte uit te stellen, omdat dit het vinden van sporen op aangevallen netwerken bemoeilijkt. Ahold Delhaize gaf aan dat de focus lag op het offline halen van systemen, maar seinde wel snel het Nationaal Cyber Security Centrum (NCSC) in 17. Linda Durand van Microsoft Nederland benadrukte dat snelle aangifte ook helpt bij het sneller uitschakelen van criminele tooling 17.
Beveiligingsonderzoekers van Arctic Wolf waarschuwen voor een grootschalige aanvalsmethode waarbij criminelen Microsoft Teams misbruiken om zich voor te doen als IT-servicedesk. De aanvallers sturen honderden tot duizenden spamberichten, waarna ze via Teams contact opnemen als 'IT Service Desk' om hulp aan te bieden bij de mailproblemen. Ze vragen vervolgens toegang tot het systeem via Quick Assist en installeren beheersoftware zoals AnyDesk of ScreenConnect om een persistent achterdeurtje te creëren. Het doel is netwerkverkenning, waarschijnlijk ter voorbereiding op malware of ransomware 1. Deze methode is al honderden keren waargenomen en werkt goed omdat Teams externe communicatie standaard toestaat voor alle Microsoft 365-gebruikers 1.
Het Nederlandse bitcoinbedrijf Bitonic heeft bekendgemaakt dat een aanvaller toegang kreeg tot hun systemen via een kwetsbaarheid in de pdf-library van hun verificatiesysteem. Deze kwetsbaarheid maakte het mogelijk om de accounts van vijf klanten over te nemen, waarbij van drie klanten bitcoin ter waarde van ongeveer tweehonderd euro werd gestolen 21. Bitonic heeft de schade vergoed, de getroffen klanten ingelicht en het incident gemeld bij de Autoriteit Persoonsgegevens (AP) en de Autoriteit Financiële Markten (AFM) 21. Het onderzoek naar het incident is nog gaande 21.
De Bank of America adviseert klanten om hun inloggegevens niet te delen met AI-agents of andere externe diensten. De bank waarschuwt dat klanten zelf verantwoordelijk zijn voor activiteiten die voortvloeien uit het delen van inloggegevens 28.
Kernpunten
- Een 36-jarige Oekraïense man is in de VS veroordeeld tot 70 maanden cel voor zijn rol als affiliate van de ransomwaregroepen Hive en Nefilim, verantwoordelijk voor miljoenen dollars schade 11.
- De Nederlandse politie bekritiseert Ahold Delhaize voor het pas ruim een week na een cyberaanval doen van formele aangifte, wat het opsporen van sporen bemoeilijkt 17.
- Criminelen misbruiken Microsoft Teams en Quick Assist om zich voor te doen als IT-servicedesk, toegang te krijgen tot systemen en beheersoftware te installeren, een methode die honderden keren is waargenomen 1.
- Bitcoinbedrijf Bitonic meldt dat een aanvaller via een kwetsbaarheid in een pdf-library de accounts van vijf klanten overnam en voor ongeveer 200 euro aan bitcoins stal 21.
- De Bank of America adviseert klanten om inloggegevens niet te delen met AI-agents, omdat zij dan zelf verantwoordelijk zijn voor de daaruit voortvloeiende activiteiten 28.
Zorg · NEN 7510
Een affiliate van de Hive-ransomwaregroep heeft zorgverleners aangevallen, wat voor zorginstellingen met vergelijkbare kwetsbaarheden kan leiden tot versleuteling van medische systemen en uitgestelde behandelingen 11.
Alle zorgnieuws →Overheid · BIO / NIS2
De politie benadrukt het belang van snelle aangifte na een cyberaanval, wat voor overheidsorganisaties cruciaal is voor effectieve opsporing en het sneller uitschakelen van criminele tooling 17.
Alle overheidsnieuws →Risico's
Scenario's, geen voorspellingen — hoe groot de kans is dat het jou treft weeg je zelf.
-
KRI Ransomwaregroep versleutelt kritieke systemen via gestolen inloggegevens of kwetsbaarheden in de infrastructuur, met stilstand van de primaire dienstverlening en miljoenen dollars schade als gevolg, als je een organisatie bent met een jaaromzet van meer dan honderd miljoen dollar 11.
Relevant voor jou als: je een organisatie bent met een jaaromzet van meer dan honderd miljoen dollar
-
HOO Aanvaller verkrijgt toegang tot werkstations via social engineering via Microsoft Teams en Quick Assist, met installatie van beheersoftware en netwerkverkenning als gevolg, als je Microsoft 365 gebruikt en externe communicatie in Teams toestaat 1.
Relevant voor jou als: je Microsoft 365 gebruikt en externe communicatie in Teams toestaat
-
HOO Aanvaller neemt klantaccounts over en steelt tegoeden via een kwetsbaarheid in een pdf-library van het verificatiesysteem, met financieel verlies en een meldplichtig datalek als gevolg, als je een online dienst aanbiedt met een pdf-uploadfunctie 21.
Relevant voor jou als: je een online dienst aanbiedt met een pdf-uploadfunctie
-
MID Aanvaller pleegt fraude of misbruikt accounts via inloggegevens die zijn gedeeld met AI-agents, met financieel verlies en aansprakelijkheid voor de gebruiker als gevolg, als je medewerkers of klanten inloggegevens delen met externe AI-diensten 28.
Relevant voor jou als: je medewerkers of klanten inloggegevens delen met externe AI-diensten
Aanbevolen acties
- Beperk externe communicatie in Microsoft Teams tot vertrouwde partijen [1].
- Informeer medewerkers over phishing via Teams en het misbruik van Quick Assist [1].
- Controleer en patch pdf-libraries in verificatiesystemen [21].
- Deel geen inloggegevens met AI-agents of externe diensten [28].