← Terug naar blog

Security Briefing, 26 april 2026: via Teams geleverde Snow-malware, ADT’s ShinyHunters-datalek en LMDeploys exploitvenster van 13 uur

Het patroon van vandaag is hard: aanvallers misbruiken vertrouwde chat, vertrouwde SaaS-identiteit en vertrouwde AI-infrastructuur sneller dan veel teams kunnen patchen of verifiëren.

---

---

1. UNC6692 verandert helpdeskvertrouwen in Microsoft Teams in een volledige Snow-malwareketen

Volgens Google Mandiant gebruikt UNC6692 e-mailbombardementen en imitatie in Microsoft Teams om medewerkers een nep anti-spam-patch te laten installeren. Het slachtoffer start in werkelijkheid de Snow-toolset: de browserextensie SnowBelt, de tunneler SnowGlaze en de Python-backdoor SnowBasin. Daarna dumpen de operators LSASS, bewegen ze lateraal, bereiken ze domeincontrollers en exfiltreren ze Active Directory-materiaal. Dit is niet gewoon nog een phishingmail; het is een chat-native inbraakpad dat eruitziet als interne support.

• Behandel onverwachte IT-benaderingen via Teams als vijandig totdat ze buiten het kanaal zijn geverifieerd.
• Bekijk Quick Assist-, remote-support-, scheduled-task- en browserextensietelemetrie samen in plaats van los van elkaar.
• Ga bij uitvoering van de nep-patch uit van identiteitsdiefstal en laterale beweging.

---

2. ADT bevestigt een datalek nadat ShinyHunters naar verluidt een Okta-gekoppeld werknemersaccount vishte

ADT zegt dat aanvallers gegevens van klanten en prospects hebben gestolen, waaronder namen, telefoonnummers, adressen en in een kleiner aantal gevallen geboortedata en de laatste vier cijfers van SSN’s of fiscale ID’s. ShinyHunters vertelde BleepingComputer dat de aanval begon met een vishing-aanval op een Okta-SSO-account van een medewerker en daarna uitbreidde naar Salesforce. Of elke claim van de aanvaller klopt of niet, de operationele les is duidelijk: zodra een vertrouwde SaaS-identiteit valt, wordt het hele gekoppelde bedrijfsplatform de blast radius.

• Versterk stemverificatie en terugbelprocedures in elke helpdesk- en identiteitsherstelstroom.
• Onderzoek Okta-, Salesforce- en andere SaaS-logs als één incident, niet als losse tickets.
• Controleer nu opnieuw least privilege en exportmonitoring voor CRM- en supportplatforms.

---

3. LMDeploy laat zien dat het AI-exploitvenster tot uren instort

De LMDeploy-SSRF-fout, CVE-2026-33626, zou binnen 12 uur en 31 minuten na disclosure zijn uitgebuit. Aanvallers gebruikten de vision-language image loader om AWS-metadata, Redis, MySQL, lokale admin-oppervlakken en een externe callback-endpoint te verkennen. Dat doet ertoe omdat LMDeploy precies het soort LLM-servingcomponent is dat teams snel uitrollen en licht reviewen. Wanneer een advisory de root cause en het getroffen codepad weggeeft, wachten aanvallers niet op je volgende sprint.

• Patch of schakel kwetsbare LMDeploy vision-language-deployments direct uit.
• Blokkeer standaard dat model-servingpaden cloudmetadata en interne beheerdiensten kunnen bereiken.
• Behandel AI-inferenceservers als internetblootgestelde infrastructuur, want aanvallers doen dat al.

---

Wat securityteams vandaag moeten doen

1. Vergrendel Teams-gebaseerde supportworkflows en verifieer recente remote-assistance-events opnieuw.
2. Voer een SaaS-identiteitsincidentreview uit als je omgeving op Okta, Salesforce of vergelijkbare high-trust-connectors leunt.
3. Inventariseer blootgestelde of bereikbare AI-servingcomponenten en patch LMDeploy vóór de volgende scan-golf.
4. Gebruik deze ochtend om vertrouwensgaten te sluiten, niet alleen tickets.

---

---

Bottom line: Het patroon van vandaag is hard: aanvallers misbruiken vertrouwde chat, vertrouwde SaaS-identiteit en vertrouwde AI-infrastructuur sneller dan veel teams kunnen patchen of verifiëren.