Aanvallers misbruiken FortiGate-firewalls om Active Directory-inloggegevens te stelen uit netwerken van de gezondheidszorg en overheid. KadNap-malware kaapt meer dan 14.000 ASUS-routers voor een stealth proxy-botnet. Microsoft maart Patch Tuesday verhelpt 2 zero-days en 79 kwetsbaarheden. BlackSanta EDR-killer richt zich op HR-afdelingen. HPE patcht kritieke authenticatiebypass in AOS-CX-switches.
Dreigingsactoren misbruiken FortiGate Next-Generation Firewall (NGFW)-appliances als toegangspunten om netwerken van slachtoffers te compromitteren. De campagne richt zich op omgevingen in de gezondheidszorg, overheid en managed service providers, en extraheert configuratiebestanden die serviceaccount-inloggegevens en netwerktopologiegegevens bevatten.
Volgens SentinelOne misbruiken aanvallers recent openbaar gemaakte kwetsbaarheden — CVE-2025-59718, CVE-2025-59719 en CVE-2026-24858 — of zwakke inloggegevens om FortiGate-appliances te compromitteren. Omdat deze apparaten vaak verbonden zijn met Active Directory en LDAP voor op rollen gebaseerde beleidshandhaving, geeft een gecompromitteerd apparaat aanvallers de sleutels tot de volledige authenticatie-infrastructuur.
In een gedocumenteerd incident maakten aanvallers een frauduleus lokaal beheerdersaccount genaamd "support", configureerden vier permissieve firewallbeleidsregels en ontsleutelden later het configuratiebestand om LDAP-serviceaccount-inloggegevens in platte tekst te extraheren. Vervolgens registreerden ze frauduleuze werkstations in Active Directory voordat ze werden gedetecteerd.
Vereiste acties: FortiGate-appliances onmiddellijk bijwerken naar de nieuwste firmware. Alle serviceaccount-inloggegevens die verbonden zijn met FortiGate roteren. MFA inschakelen op alle beheerinterfaces. Monitoren op ongeautoriseerde accountcreatie en wijzigingen in firewallbeleid.
Een nieuwe malware genaamd KadNap heeft meer dan 14.000 edge-netwerkapparaten geïnfecteerd — voornamelijk ASUS-routers — om een stealth proxy-botnet aan te drijven. Meer dan 60% van de slachtoffers bevindt zich in de Verenigde Staten.
Ontdekt door Black Lotus Labs bij Lumen, gebruikt KadNap een aangepaste versie van het Kademlia Distributed Hash Table (DHT)-protocol om zijn command-and-control-infrastructuur te verbergen binnen een peer-to-peer-netwerk, waardoor het zeer weerbaar is tegen takedown-pogingen.
Gecompromitteerde apparaten worden doorgesluisd naar een proxydienst genaamd Doppelgänger (een rebranding van het Faceless proxy-netwerk), die "100% anonieme" residentiële proxy's verkoopt in meer dan 50 landen. De malware richt zich op ARM- en MIPS-processoren, vestigt persistentie via cron-jobs en sluit actief SSH-toegang op poort 22 om herstel te voorkomen.
| Detail | Informatie |
|---|---|
| Geïnfecteerde apparaten | Meer dan 14.000 |
| Primair doelwit | ASUS-routers |
| VS-slachtoffers | 60%+ |
| C2-protocol | Aangepast Kademlia DHT (P2P) |
| Proxydienst | Doppelgänger (Faceless-rebranding) |
| Actief sinds | Augustus 2025 |
Vereiste acties: ASUS-routerfirmware onmiddellijk bijwerken. Controleren op ongeautoriseerde cron-jobs en onbekende processen. Bij compromittering het apparaat naar fabrieksinstellingen resetten. Bekende C2-IP 212.104.141.140 blokkeren.
Microsofts maart 2026 Patch Tuesday pakt 79 beveiligingslekken aan, waaronder 2 publiek bekendgemaakte zero-day-kwetsbaarheden en 3 als kritiek geclassificeerde problemen. Twee kritieke remote code execution-bugs treffen Microsoft Office en kunnen worden geactiveerd via het voorbeeldvenster.
Belangrijke highlights uit deze patchcyclus:
De Copilot-gerelateerde kwetsbaarheid (CVE-2026-26144) is bijzonder opmerkelijk — het vertegenwoordigt een nieuw aanvalsvector waarbij AI-assistenten kunnen worden ingezet als wapen om gegevens te exfiltreren zonder gebruikersinteractie. Dit is een voorbode van het AI-gebaseerde aanvalsoppervlak waarmee organisaties nu worden geconfronteerd.
Vereiste acties: Alle maart 2026-patches onmiddellijk implementeren. Office-updates prioriteren vanwege exploitatie via het voorbeeldvenster. Copilot Agent-machtigingen herzien en netwerk-egress-mogelijkheden beperken.
Een geavanceerde campagne die al meer dan een jaar loopt, levert een nieuwe EDR-killer genaamd BlackSanta aan HR-afdelingen via spear-phishing-e-mails met kwaadaardige ISO-bestanden vermomd als cv's.
De aanvalsketen is zeer ontwijkend: ISO-bestanden bevatten een Windows-snelkoppeling vermomd als PDF, een PowerShell-script en een afbeelding die kwaadaardige code verbergt via steganografie. De geëxtraheerde code gebruikt DLL sideloading via een legitiem SumatraPDF-uitvoerbaar bestand, voert uitgebreide sandbox- en VM-detectie uit en implementeert vervolgens BlackSanta.
BlackSanta schakelt systematisch endpointdetectie uit door:
.dls- en .sys-bestandenVereiste acties: HR-teams waarschuwen over cv-gerelateerde phishingaanvallen. ISO-bijlagen blokkeren bij de e-mailgateway. Monitoren op ongeautoriseerde wijzigingen in Defender-uitzonderingen. Applicatie-allowlisting implementeren.
HPE heeft CVE-2026-23813 gepatcht, een kritieke authenticatiebypass in het Aruba Networking AOS-CX-besturingssysteem waarmee niet-geauthenticeerde externe aanvallers beheerderswachtwoorden kunnen resetten op CX-serie campus- en datacenter-switches.
De kwetsbaarheid bevindt zich in de webgebaseerde beheerinterface en vereist slechts aanvallen met lage complexiteit om te exploiteren. Elke organisatie die HPE AOS-CX-switches met blootgestelde beheerinterfaces draait, loopt onmiddellijk risico.
Mitigaties bij vertraagd patchen:
Ruslands APT28 (Fancy Bear / GRU-eenheid 26165) zet zijn cyberspionagecampagne tegen Oekraïne voort en implementeert twee implantaten — BEARDSHELL en COVENANT — voor langetermijnsurveillance van Oekraïens militair personeel sinds april 2024.
ESET meldt dat het arsenaal ook SLIMAGENT omvat, dat keylogging, schermopname en klembordgegevensverzameling kan uitvoeren. De campagne onderstreept de voortdurende cyberdimensie van het Russisch-Oekraïense conflict en de persistente targeting van militaire communicatie.
Een nieuwe techniek genaamd "Zombie ZIP" stelt aanvallers in staat kwaadaardige payloads te verbergen in speciaal gemaakte gecomprimeerde bestanden die antivirus- en EDR-detectie omzeilen. De techniek maakt gebruik van verschillen in hoe beveiligingstools en legitieme archiefsoftware ZIP-bestanden parsen, waardoor blinde vlekken ontstaan waar malware doorheen kan glippen.
Vereiste acties: Ervoor zorgen dat beveiligingstools geneste en misvormde archiefformaten kunnen inspecteren. Overweeg alle gecomprimeerde bijlagen te sandboxen voor levering aan eindgebruikers.
CISA heeft een recent gepatchte kwetsbaarheid in Ivanti Endpoint Manager (EPM) toegevoegd aan haar catalogus van bekende uitgebuite kwetsbaarheden (KEV) na bevestiging van actieve uitbuiting in het wild. Organisaties die Ivanti EPM draaien moeten patchen onmiddellijk prioriteren.
Het patroon van Ivanti-kwetsbaarheden die snel bewapend worden zet zich voort — dit is de laatste in een lange reeks kritieke Ivanti-kwetsbaarheden die binnen dagen van openbaarmaking naar uitbuiting gaan.
Een nieuwe Android-bankingtrojaan genaamd BeatBanker wordt verspreid via nep Google Play Store-websites en doet zich voor als een Starlink-applicatie. Eenmaal geïnstalleerd kaapt de malware apparaten om bankinloggegevens en financiële transacties te onderscheppen.
Vereiste acties: Alleen apps installeren vanuit de officiële Google Play Store. Google Play Protect inschakelen. Gebruikers voorlichten over nepappstores.
Positief nieuws: Microsoft rolt passkey-ondersteuning voor Microsoft Entra uit op Windows-apparaten, waarmee phishing-resistente wachtwoordloze authenticatie via Windows Hello mogelijk wordt. Dit is een belangrijke stap richting het elimineren van wachtwoordgebaseerde aanvallen — organisaties moeten beginnen met het plannen van Entra passkey-implementatie.
| Verhaal | Impact |
|---|---|
| Noord-Koreaanse UNC4899 compromitteert cryptobedrijf | Getrojaniseerd AirDrop-bestand + living-off-the-cloud-technieken stelen miljoenen in cryptovaluta |
| Windows 10 KB5078885 ESU uitgebracht | Uitgebreide beveiligingsupdate voor Windows 10 pakt maart Patch Tuesday-kwetsbaarheden aan inclusief 2 zero-days |
| Kwaadaardig npm-pakket imiteert OpenClaw | Pakket installeert RAT en steelt macOS-inloggegevens, SSH-sleutels, crypto-wallets en iMessage-geschiedenis |
✅ Edge-apparaatmonitoring — Detecteer gecompromitteerde FortiGate-, ASUS- en HPE-apparaten voordat aanvallers dieper pivoteren
✅ Patch-intelligence — Geprioriteerde CVE-tracking voor Microsoft, Ivanti en netwerkinfrastructuur binnen uren na openbaarmaking
✅ EDR-integriteitscontroles — Identificeer BlackSanta-achtige manipulatie van endpoint-beveiligingsconfiguraties
✅ AI-beveiligingshouding — Monitor Copilot- en AI-agentmachtigingen om gegevensexfiltratievectoren zoals CVE-2026-26144 te voorkomen
AI-aangedreven kwetsbaarheidsscanning en continue beveiligingsmonitoring. Start vandaag uw gratis scan.
Gratis scan starten →Blijf veilig. Blijf waakzaam.
🗡️ KENSAI Beveiligingsteam