Een blik in het playbook van hackers: wat organisaties kunnen leren van een echte cyberaanval
Wat kunnen cybercriminelen ons leren over cybersecurity? Inzichten uit een recente ransomwareonderhandeling tonen hoe één kwetsbaarheid kan uitgroeien tot een ernstig beveiligingsincident en welke lessen organisaties hieruit kunnen trekken.
Een unieke blik achter de schermen van een echte cyberaanval
Bij Secutec analyseren we cyberaanvallen niet alleen vanop afstand. We krijgen ook rechtstreeks inzichten van de mensen die erachter zitten.
Als internationaal erkend cyberonderhandelaar staat Geert Baudewijns, oprichter en CEO van Secutec, regelmatig in contact met Ransomware organisaties namens bedrijven die slachtoffer zijn geworden van ransomwareaanvallen.
Deze onderhandelingen bieden een unieke kijk op hoe aanvallers te werk gaan, welke kwetsbaarheden ze misbruiken en hoe ze zich door bedrijfsnetwerken bewegen. Inzicht krijgen in de oorzaak van een aanval vormt vaak een belangrijk onderdeel van het onderhandelingsproces.
Tijdens een recente onderhandeling gaf een ransomwaregroepering een opmerkelijk gedetailleerde beschrijving van hoe ze naar eigen zeggen het netwerk van een organisatie hadden gecompromitteerd, beheerdersrechten hadden verkregen, toegang hadden gekregen tot kritieke infrastructuur en gevoelige gegevens hadden buitgemaakt.
Deze case illustreert hoe één kwetsbaarheid, in combinatie met onvoldoende beveiligingsmaatregelen, mogelijk kan leiden tot de compromittering van een volledig netwerk.
Het onderstaande verhaal is gebaseerd op informatie die de aanvallers tijdens de onderhandelingen hebben verstrekt. Hun beweringen konden niet volledig onafhankelijk worden geverifieerd en alle identificerende details werden verwijderd.
De aanval, verteld door de aanvallers zelf
De uitleg van de hackers brengt verschillende belangrijke lessen aan het licht over hoe moderne cyberaanvallen verlopen.
1. Het eerste toegangspunt: misbruik van een blootgestelde kwetsbaarheid
De aanval begon naar verluidt niet met een phishingmail, maar met het misbruiken van een kwetsbaarheid in infrastructuur die rechtstreeks toegankelijk was via het internet.
VPN-gateways, firewalls en publiek toegankelijke servers zijn aantrekkelijke doelwitten omdat ze potentiële toegangspoorten vormen tot bedrijfsnetwerken. Aanvallers scannen actief naar kwetsbare systemen, vooral wanneer beveiligingsupdates nog niet zijn geïnstalleerd.
De les: Organisaties moeten voortdurend inzicht hebben in hun externe aanvalsoppervlak. Het identificeren van publiek toegankelijke systemen, opsporen van kwetsbaarheden en prioriteren van beveiligingsupdates zijn essentieel om de kansen voor aanvallers te beperken.
2. Het domino-effect van gecompromitteerde inloggegevens
Eenmaal binnen het netwerk ontdekten de aanvallers naar eigen zeggen de inloggegevens van een domeinbeheerder op een server.
Met deze gegevens zouden ze toegang hebben gekregen tot het volledige Windows-domein. Door verschillende wachtwoordvarianten uit te proberen, slaagden ze er vervolgens in om bijkomende kritieke infrastructuur te compromitteren.
Wat begon als toegang tot één enkel systeem, groeide uit tot controle over grote delen van de IT-omgeving van de organisatie.
De les: Accounts met verhoogde toegangsrechten vereisen extra bescherming. Multifactor-authenticatie (MFA), Privileged Access Management (PAM), afzonderlijke beheerdersaccounts en netwerksegmentatie kunnen de mogelijkheden van aanvallers om zich lateraal door het netwerk te bewegen aanzienlijk beperken.
Eén gecompromitteerd account mag nooit de sleutel tot een volledig netwerk worden.
3. Gegevensdiefstal begint al vóór de losgeldeis
Een van de meest opvallende details was het moment waarop de gegevensdiefstal plaatsvond.
Terwijl de aanvallers hun volgende stappen nog aan het voorbereiden waren, waren ze al volop bezig met het buitmaken van gevoelige informatie.
Dit illustreert een belangrijke realiteit van moderne ransomwareaanvallen: de schade kan al lang begonnen zijn voordat versleuteling of een losgeldeis de aanval zichtbaar maakt.
Aanvallers kunnen geruime tijd onopgemerkt blijven terwijl ze systemen verkennen, hun toegangsrechten uitbreiden en waardevolle gegevens verzamelen.
De les: Preventie alleen volstaat niet. Continue monitoring, Endpoint Detection & Response (EDR/XDR) en gedragsgebaseerde dreigingsdetectie zijn essentieel om verdachte activiteiten vroegtijdig te identificeren. Denk daarbij aan laterale bewegingen binnen het netwerk, ongebruikelijke toegangspatronen en abnormale gegevensoverdrachten.
4. Wanneer cybercriminelen zelf beveiligingsadvies geven
Misschien wel het meest ironische moment van de hele uitwisseling kwam op het einde.
De aanvallers gaven zelf een lijst met aanbevelingen om de cybersecurity te verbeteren. Daarop stonden onder meer moderne endpointbeveiliging, systematische toepassing van MFA, regelmatige beveiligingsupdates, goed beschermde back-ups en gespecialiseerde cybersecurityexpertise.
Advies van cybercriminelen moet uiteraard altijd kritisch worden bekeken. Toch bevestigen hun aanbevelingen een ongemakkelijke waarheid: veel ernstige cyberincidenten zijn het gevolg van tekortkomingen in fundamentele beveiligingsmaatregelen.
De les: Effectieve cybersecurity betekent niet noodzakelijk dat organisaties steeds meer technologie moeten toevoegen. Het gaat er vooral om dat essentiële beveiligingsmaatregelen correct worden geïmplementeerd, goed samenwerken en voortdurend worden gemonitord.
Wat kunnen organisaties hieruit leren?
Deze case toont hoe verschillende zwakke plekken in de beveiliging elkaar kunnen versterken, waardoor één enkele inbraak kan uitgroeien tot een ernstig cyberincident.
Een organisatie beschermen vraagt meer dan het aanpakken van individuele kwetsbaarheden. Het vereist een gecoördineerde aanpak op vijf essentiële domeinen.
-
Attack Surface Management:
Breng continu alle systemen en bedrijfsmiddelen in kaart die via het internet toegankelijk zijn, detecteer kwetsbaarheden en geef prioriteit aan het verhelpen ervan voordat aanvallers ze kunnen misbruiken.
-
Identity Security:
Bescherm accounts met verhoogde toegangsrechten via PAM, MFA, strikte toegangscontroles en aangepaste netwerksegmentatie.
-
Continue dreigingsdetectie:
Monitor verdacht gedrag op endpoints, binnen identiteitsomgevingen en in de IT-infrastructuur om bedreigingen te identificeren voordat ze escaleren.
-
24/7 Security Operations:
Zorg voor permanente detectie, onderzoek en respons, ook buiten de reguliere kantooruren.
-
Voorbereiding op incidenten:
Voorzie goed beschermde en regelmatig geteste back-ups en duidelijke incidentresponsprocedures om de impact van een aanval te beperken en het herstel te versnellen.
De belangrijkste conclusie? Cyberweerbaarheid draait niet alleen om het voorkomen dat aanvallers een netwerk binnendringen. Het gaat er ook om hun aanwezigheid tijdig te detecteren, hun bewegingsvrijheid te beperken en in te grijpen voordat ze aanzienlijke schade kunnen aanrichten.
Van rechtstreekse inzichten naar sterkere cyberbeveiliging
Voor Secutec betekent deze uitwisseling meer dan een interessante case study.
Ons rechtstreekse contact met cybercriminelen, gecombineerd met voortdurend onderzoek naar cyberdreigingen en monitoring van criminele ecosystemen, helpt ons om nieuwe aanvalstechnieken te identificeren, terugkerende kwetsbaarheden te begrijpen en onze beveiligingsdiensten af te stemmen op de dreigingen waarmee organisaties daadwerkelijk worden geconfronteerd.
Via het SecureSIGHT Exposure Management Platform helpt Secutec organisaties om kwetsbaarheden en beveiligingsrisico's in kaart te brengen voordat aanvallers ze kunnen misbruiken.
Onze managed detection & response-diensten, ondersteund door ons 24/7 Security Operations Center (SOC), zorgen voor continue zichtbaarheid, dreigingsdetectie en respons. Wanneer zich toch een incident voordoet, helpt onze expertise in incident response organisaties om de dreiging in te dammen en hun systemen te herstellen.
Het doel is niet om steeds meer afzonderlijke beveiligingstools toe te voegen, maar om exposure management, preventie, detectie en respons samen te brengen in één gecoördineerde aanpak.
De echte vraag: hoe ver kunnen aanvallers gaan?
Deze case legt een ongemakkelijke realiteit bloot: één kwetsbaarheid kan voldoende zijn om de deur voor aanvallers te openen. Maar het zijn de tekortkomingen in de beveiligingsmaatregelen die bepalen hoe ver ze kunnen doordringen, hoelang ze onopgemerkt blijven en of ze kunnen worden gestopt voordat ze aanzienlijke schade aanrichten.
Bij Secutec zetten we rechtstreekse inzichten uit de wereld van cybercriminaliteit om in concrete dreigingsinformatie waarmee we organisaties helpen cybercriminelen een stap voor te blijven.