Beveiligingsbriefing 8 min leestijd

Ransomware sluit 36 ziekenhuisklinieken + wormbare XMRig verspreidt via air-gap

Ziekenhuissysteem in Mississippi sluit alle 36 klinieken na ransomware-aanval. Wormbare XMRig-cryptojacker verspreidt naar air-gapped systemen via USB. PayPal-datalek onthulde BSN's gedurende 6 maanden. Honderden FortiGate-firewalls gehackt met AI. Kwaadaardige npm supply chain-worm richt zich op AI-codeerassistenten.

Kritiek: ransomware legt compleet ziekenhuissysteem plat

University of Mississippi Medical Center — alle klinieken gesloten

Een ransomware-aanval dwong het University of Mississippi Medical Center om alle ~36 klinieken in de staat te sluiten en electieve ingrepen te annuleren. De patiëntenzorg is actief verstoord.

Dit is een van de meest ingrijpende ransomware-incidenten in de gezondheidszorg dit jaar. De aanval toont aan dat ransomware-operatoren zonder aarzeling kritieke zorginfrastructuur blijven aanvallen.

Zorginstellingen moeten zorgen voor:

Offline back-upsystemen zijn getest en gereed
Netwerksegmentatie isoleert klinische systemen
Incidentresponsplannen omvatten procedures voor patiëntomleiding
EDR-dekking strekt zich uit tot alle eindpunten van medische apparatuur

Wormbare XMRig-campagne overbrugt air-gaps

BYOVD-exploit + USB-verspreiding + tijdgebaseerde logische bom

Trellix-onderzoekers ontdekten een geavanceerde cryptojacking-campagne die zich als een worm verspreidt via externe opslagapparaten, waardoor laterale beweging mogelijk is, zelfs in air-gapped omgevingen.

Belangrijke technische details:

Geleverd via illegale softwarebundels als social engineering-lokmiddelen
Gebruikt Bring Your Own Vulnerable Driver (BYOVD) voor toegang op kernelniveau
Zet een tijdgebaseerde logische bom in om sandboxanalyse te ontwijken
Meerfasige infectie maximaliseert mining-hashrate, waardoor systemen van slachtoffers vaak instabiel worden
Wormachtige verspreiding via USB maakt air-gap-overbrugging mogelijk

Organisaties met air-gapped netwerken moeten strikt beleid voor verwisselbare media handhaven en monitoren op ongebruikelijke CPU-verbruikspatronen.

Honderden FortiGate-firewalls gehackt met AI

AI-gestuurde aanvallen gericht op blootgestelde poorten en zwakke inloggegevens

AWS meldt dat dreigingsactoren die AI-ondersteunde technieken inzetten, honderden FortiGate-firewallapparaten hebben gecompromitteerd door misbruik van blootgestelde beheerpoorten en zwakke inloggegevens.

Aanvalsvector	Mitigatie
Blootgestelde beheerinterfaces	Beperk tot intern/alleen-VPN-toegang
Standaard/zwakke inloggegevens	Dwing MFA + sterk wachtwoordbeleid af
AI-geautomatiseerde verkenning	Beperk snelheid en monitor authenticatiepogingen

Dit volgt op de berichtgeving van vorige week over een Russischtalige hacker die 600+ FortiGate-apparaten hackte — de campagne breidt duidelijk uit.

npm supply chain-worm richt zich op AI-codeerassistenten

SANDWORM_MODE: 19+ kwaadaardige pakketten met MCP-serverinjectie

Socket ontdekte een actieve supply chain-wormcampagne met minimaal 19 kwaadaardige npm-pakketten die inloggegevens, cryptosleutels stelen en nu specifiek AI-codeerassistenten targeten via MCP-serverinjectie.

Nieuwe mogelijkheden in deze golf:

GitHub API-exfiltratie met DNS-fallback
Hook-gebaseerde persistentie in ontwikkelomgevingen
SSH-propagatie-fallback voor laterale beweging
MCP-serverinjectie met ingebedde prompt injection gericht op AI-codeertools
LLM API-sleuteldiefstal uit omgevingsvariabelen

Ontwikkelaars die AI-codeerassistenten gebruiken (Copilot, Cursor, etc.) moeten hun npm-afhankelijkheden controleren en MCP-serverconfiguraties onmiddellijk beoordelen.

PayPal-datalek: BSN's 6 maanden blootgesteld

Applicatiefout leidde tot frauduleuze transacties

PayPal heeft bekendgemaakt dat een applicatiefout persoonlijke informatie van klanten — waaronder burgerservicenummers — gedurende bijna 6 maanden heeft blootgesteld, wat leidde tot frauduleuze transacties.

De langdurige blootstellingsperiode is zorgwekkend. Getroffen gebruikers moeten:

Fraudewaarschuwingen of kredietbevriezingen plaatsen bij grote bureaus
Financiële rekeningen monitoren op ongeautoriseerde activiteit
PayPal-inloggegevens wijzigen en hardware-gebaseerde MFA inschakelen

Meer koppen

Diagnostisch zorgbedrijf gehackt — 140K getroffen

Amerikaans zorgbedrijf Vikor Scientific (nu Vanta Diagnostics) bevestigt dat 140.000 personen getroffen zijn door een datalek. De Everest-ransomwaregroep claimt de verantwoordelijkheid.

Mentale gezondheidsapps: 14,7M downloads, nul beveiliging

Meerdere mentale gezondheidsapps op Google Play met 14,7 miljoen gecombineerde installaties bleken ernstige beveiligingskwetsbaarheden te bevatten die de gevoelige medische informatie van gebruikers konden blootstellen.

Grandstream telefoon RCE — CVE-2026-2329

Kritieke kwetsbaarheid in Grandstream VoIP-telefoons maakt ongeauthenticeerde code-uitvoering op afstand met rootrechten mogelijk. Gesprekken kunnen worden onderschept. Patch onmiddellijk.

Spanje arresteert hacktivistengroep

Spaanse autoriteiten arresteerden vier vermeende leden van Anonymous Fenix voor DDoS-aanvallen op overheidsministeries, politieke partijen en openbare instellingen.

Oekraïner veroordeeld voor Noord-Koreaanse IT-fraude

Oleksandr Didenko kreeg 5 jaar gevangenisstraf in de VS voor het verkopen van gestolen Amerikaanse identiteiten aan Noord-Koreaanse agenten, waardoor zij konden worden aangenomen op freelanceplatforms.

Kwetsbaarheidsoverzicht

Product	Probleem	Status
BeyondTrust (CVE-2026-1731)	RCE misbruikt bij ransomware-aanvallen	🔴 Actieve exploitatie
RoundCube Webmail	XSS via SVG animate-tags	🔴 Actieve exploitatie
Grandstream-telefoons (CVE-2026-2329)	Ongeauth. RCE met root	🟡 Patch beschikbaar
FortiGate-firewalls	AI-gestuurde inloggegevensaanvallen	🔴 Massale exploitatie

Datalekken & ransomware

Doelwit	Impact	Actor
Univ. of Mississippi Medical Center	36 klinieken gesloten, ingrepen geannuleerd	Ransomware (nader te bepalen)
Vanta Diagnostics (Vikor)	140.000 personen getroffen	Everest
PayPal	BSN's 6 maanden blootgesteld, fraude opgetreden	Applicatiefout
Optimizely	Klantgegevens via vishing-aanval	Social engineering

Successen rechtshandhaving: Roemeense hacker Catalin Dragomir heeft schuld bekend voor het verkopen van toegang tot een netwerk van de overheid van Oregon. FBI meldt $20M aan verliezen door 700 ATM-jackpottingaanvallen met Ploutus-malware in 2025.

Cijfers van vandaag

Metriek	Waarde
Gesloten ziekenhuisklinieken	36
Mentale gezondheidsapp-installaties in gevaar	14,7M
PayPal BSN-blootstellingsduur	~6 maanden
Kwaadaardige npm-pakketten (SANDWORM_MODE)	19+
Gecompromitteerde FortiGate-apparaten	Honderden
ATM-jackpottingverliezen (2025)	$20M

Prioriteiten van vandaag

PATCHEN: BeyondTrust CVE-2026-1731 + RoundCube + Grandstream-telefoons
VERGRENDELEN: FortiGate-beheerinterfaces — schakel externe toegang onmiddellijk uit
CONTROLEREN: npm-afhankelijkheden op SANDWORM_MODE-indicatoren; beoordeel MCP-serverconfiguraties
MONITOREN: Zorgsector — verwacht nabootsingsaanvallen na Mississippi-incident
BEOORDELEN: Beleid voor verwisselbare media bij air-gapped omgevingen (XMRig-worm)

Bescherm uw organisatie met KENSAI

AI-gestuurd kwetsbaarheidsbeheer met 333.000+ geïndexeerde CVE's.

Start gratis scan

Blijf veilig. Blijf waakzaam.

🗡️ KENSAI Beveiligingsteam