Security Briefing5 min read2026-04-14

Security Briefing, 14 april 2026: ontmanteling van W3LL, Facebook-lokmiddelen van APT37, certificaatrotatie bij OpenAI, Storm-infostealer en valse wolfSSL-certificaten

Het signaal van vandaag is hard: social engineering wordt geduldiger, sessiediefstal stiller en vertrouwensankers, van login-kits tot code signing en TLS-bibliotheken, staan tegelijk onder druk.

Top line: Eén grote phishingkit-takedown, één Noord-Koreaanse social-engineeringketen, één supply-chain-inperkingsstap van OpenAI, één stiller infostealermodel en één smerige certificaatvalidatiebug in software die diep in embedded omgevingen zit.

1. W3LL laat zien dat phishingkits complete fraudeplatforms zijn geworden

De FBI en de Indonesische politie hebben de W3LL-operatie verstoord, infrastructuur in beslag genomen en de vermeende ontwikkelaar aangehouden. De kit zou in 2023 en 2024 tegen meer dan 17.000 slachtoffers zijn gebruikt en meer dan 20 miljoen dollar aan poging tot fraude hebben ondersteund, vooral via gestolen Microsoft 365-gegevens en sessiecookies in adversary-in-the-middle-stromen.

Controleer Microsoft 365 op gaten in phishingbestendige MFA.
Zoek naar token-hergebruik, onmogelijke loginpatronen en misbruik van mailboxregels.
Behandel goedkope phishingkits als schaalbare criminele infrastructuur.

2. APT37 maakt van Facebook-vertrouwen een malwarekanaal

Onderzoekers koppelen APT37 aan een campagne met nep-Facebookprofielen, Messenger-chats en Telegram-opvolging om doelwitten een getrojaniseerde PDF-viewer te laten installeren. De keten levert RokRAT, misbruikt een gecompromitteerde legitieme website voor C2 en verstopt een latere payload in een afbeeldingsbestand.

Waarschuw risicogroepen dat een vriendschapsverzoek het begin van spionage kan zijn.
Blokkeer onverwachte documentviewer-installaties op beheerde endpoints.
Controleer uitgaand verkeer naar cloudopslag en vreemde image-fetches op verborgen C2.

3. OpenAI roteerde zijn macOS-signingcertificaat na het Axios-incident

OpenAI meldde dat een GitHub Actions-workflow in het macOS-signingpad de vergiftigde Axios-versie had opgehaald. Er is geen bewijs van data-exfiltratie of certificaatdiefstal, maar het certificaat is toch ingetrokken en vervangen; oude appversies verliezen na 8 mei 2026 updates en standaardvertrouwen van macOS.

Breng in kaart welke build-pipelines signingmateriaal kunnen aanraken.
Behandel blootgestelde certificaten als gecompromitteerd, ook zonder hard bewijs van exfiltratie.
Dwing desktopgebruikers vóór de deadline naar actuele gesigneerde versies.

4. Storm verplaatst credential theft van endpoint naar aanvallersinfrastructuur

Volgens BleepingComputer steelt Storm browserdatabases, cookies, walletgegevens en tokens en ontsleutelt en herstelt het sessies daarna server-side bij de aanvaller in plaats van lokaal. Daarmee verdwijnt precies een klassiek endpointsignaal waar verdedigers op leunden.

Geef prioriteit aan token-intrekking en sessietelemetrie, niet alleen wachtwoordresets.
Hunt op browserdatastaging, archiefdrops en proxy-gekoppelde sessieherstelacties.
Ga ervan uit dat cookiediefstal MFA kan omzeilen als de sessie al geauthenticeerd is.

5. wolfSSL repareerde een certificaatvervalsingsfout met brede downstream-impact

CVE-2026-5194 verzwakt certificaatvalidatie in wolfSSL doordat te kleine digests voor meerdere handtekeningsschema’s worden geaccepteerd. wolfSSL zit in miljarden apps en apparaten, vooral embedded, IoT, industrieel en appliances, dus dit is veel groter dan alleen webservers.

Identificeer producten en firmware die wolfSSL meeleveren.
Prioriteer upgrades naar wolfSSL 5.9.1 of leverancierspatches.
Zie certificaatvalidatiebugs in embedded vlootomgevingen als echt lateraal risico.

Wat securityteams vandaag moeten doen

Versterk phishingbestendige identity-controls rond Microsoft 365 en risicogebruikers.
Bekijk hoe sociale platforms, messaging en file sharing samenkomen in gerichte aanvallen.
Audit signing-pipelines en roteer gevoelig materiaal zodra supply-chainvertrouwen geraakt is.
Breid detectie uit van wachtwoorddiefstal naar sessiediefstal en token replay.
Vind wolfSSL in embedded en OT-zware omgevingen voordat het inventarisgat je verrast.

Bronnen voor deze briefing: artikelen van The Hacker News en BleepingComputer van 13 april 2026 plus de daar aangehaalde vendor- en onderzoeksmeldingen.

Verklein de vertrouwenskloof voordat aanvallers hem gebruiken

KENSAI helpt securityteams blootgestelde identitypaden, broze softwareleveringsketens en stil risicovolle internetgerichte systemen te vinden voordat ze incidenten worden.

Start Free Scan →

Blijf scherp.

🗡️ KENSAI Security Team