Dagelijks Dreigingsoverzicht

Stryker: Iran-gelieerde wiper-aanval treft ~80.000 apparaten

De hacktivistengroep Handala (Iran-gelieerd) heeft een Stryker-beheerdersaccount gecompromitteerd, een nieuwe Global Administrator aangemaakt in Microsoft Entra ID en het Intune remote wipe-commando gebruikt om ~80.000 apparaten te wissen tussen 5:00 en 8:00 UTC op 11 maart. Er werd geen malware ingezet — de aanvallers bewapenden legitieme MDM-functionaliteit. Sommige medewerkers verloren persoonlijke gegevens van BYOD-apparaten die in het bedrijfsnetwerk waren ingeschreven. Elektronische bestelsystemen zijn nog offline; medische apparatuur is bevestigd veilig. Microsoft DART en Palo Alto Unit 42 onderzoeken het incident.

Oracle EBS-lek: 4 grote bedrijven nog steeds stil

Het Oracle E-Business Suite-datalek blijft zich ontvouwen waarbij Broadcom, Bechtel, Estée Lauder en Abbott Technologies de enige grote bedrijven zijn die nog geen publieke verklaring hebben afgegeven over de mogelijke impact. Details over de initiële aanvalsvector en omvang blijven onder embargo terwijl het onderzoek voortduurt.

Starbucks medewerkersgegevens gelekt via phishing

Starbucks heeft een datalek bevestigd dat honderden medewerkers treft na phishing-aanvallen op een medewerkersportaal. Persoonlijke medewerkersinformatie is gecompromitteerd. Het incident onderstreept de aanhoudende risico's van credential-gebaseerde aanvallen op interne HR-systemen.

Loblaw klantgegevens gelekt

De Canadese retailgigant Loblaw heeft bekendgemaakt dat hackers toegang hebben verkregen tot klant-PII, waaronder namen, e-mailadressen en telefoonnummers. De omvang van het lek en de aanvalsvector zijn nog niet volledig bekendgemaakt.

UK Companies House beveiligingslek legt bedrijfsgegevens bloot sinds oktober 2025

De WebFiling-dienst van de Britse overheidsinstantie werd vrijdag offline gehaald na de ontdekking van een beveiligingslek dat bedrijfsinformatie had blootgesteld sinds oktober 2025 — bijna 5 maanden onopgemerkte blootstelling. De dienst is inmiddels weer online met de fix toegepast.

Chrome 0-Days: CVE-2026-3909 & CVE-2026-3910 (Actief misbruikt)

CVE-2026-3909: Out-of-bounds write in Skia 2D grafische bibliotheek. CVE-2026-3910: Onjuiste implementatie in V8 JavaScript/WebAssembly-engine die leidt tot OOB-toegang. Beide worden actief misbruikt. Google heeft patches uitgebracht — werk Chrome onmiddellijk bij.

Wing FTP Server — CISA waarschuwt voor actief misbruik

CISA heeft een Wing FTP Server-kwetsbaarheid toegevoegd aan de Known Exploited Vulnerabilities-catalogus en waarschuwt dat deze actief wordt gecombineerd met andere kwetsbaarheden voor remote code execution. Federale instanties moeten patchen conform BOD 22-01-deadlines.

HPE AOS-CX: Ongeauthenticeerde beheerderwachtwoord-reset

Een kritieke kwetsbaarheid in HPE Aruba AOS-CX netwerkswitches stelt externe, ongeauthenticeerde aanvallers in staat om beheerderswachtwoorden te resetten, waardoor bestaande authenticatiecontroles volledig worden omzeild. Patch onmiddellijk — dit treft kernnetwerkinfrastructuur.

n8n Workflow Automation-kwetsbaarheid misbruikt

Een kwetsbaarheid in het populaire n8n workflow-automatiseringsplatform wordt actief misbruikt. Details kwamen naar boven in SecurityWeek's wekelijkse overzicht. Organisaties met zelf-gehoste n8n-instanties moeten onmiddellijk controleren op updates en toegangscontroles herzien.

GlassWorm ForceMemo: Gestolen GitHub-tokens → Malware in Python-repo's

De GlassWorm-campagne is dramatisch geëscaleerd. Aanvallers gebruiken GitHub-tokens die bij de eerdere VS Code-extensie-aanval zijn gestolen om geobfusceerde malware te injecteren in honderden Python-repositories — Django-apps, ML-onderzoekscode, Streamlit-dashboards en PyPI-pakketten. De techniek (genaamd "ForceMemo") rebaset kwaadaardige commits op legitieme commits, waarbij originele auteursinformatie en commit-berichten behouden blijven om detectie te ontwijken. Iedereen die pip install uitvoert vanuit een gecompromitteerde repo activeert de malware. Injecties gaan terug tot 8 maart.

ClickFix-campagnes verspreiden MacSync macOS-infostealer

Drie afzonderlijke ClickFix-campagnes verspreiden de MacSync-infostealer via nep AI-tool-installatieprogramma's (waaronder een nep "OpenAI Atlas"-browser). De aanval is volledig afhankelijk van gebruikersinteractie — slachtoffers kopiëren en voeren geobfusceerde terminalcommando's uit. Verspreid via gesponsorde Google-zoekresultaten die leiden naar valse Google Sites-pagina's. Sophos-onderzoekers documenteerden de volledige aanvalsketen vanaf november 2025.

Storm-2561: Valse VPN-clients stelen inloggegevens

Dreigingsactor Storm-2561 verspreidt getrojaniseerde VPN-clients via SEO-poisoning, zet trojans in en onderschept inloggegevens van nietsvermoedende gebruikers die zoeken naar legitieme VPN-software.

Slopoly-malware opgedoken

Een nieuwe malwarefamilie genaamd "Slopoly" werd gesignaleerd in SecurityWeek's wekelijkse overzicht. Details zijn nog in ontwikkeling, maar het is vermeld naast andere opmerkelijke dreigingen van de week.

DRILLAPP: Russisch-gelieerde backdoor richt zich op Oekraïne via Edge-debugging

Een nieuwe JavaScript-gebaseerde backdoor genaamd DRILLAPP misbruikt Microsoft Edge's remote debugging-functie voor heimelijke spionage tegen Oekraïense entiteiten. De malware kan bestanden uploaden/downloaden, de microfoon benaderen en webcambeelden vastleggen — allemaal via de native browserfunctionaliteit. Verspreid via juridisch en liefdadigheidsthematische lokdocumenten met LNK-bestanden. Toegeschreven aan Laundry Bear (Void Blizzard), een Russisch-gelieerde dreigingsgroep. Campagne waargenomen sinds februari 2026.

CL-STA-1087: China richt zich op Zuidoost-Aziatische legers

Palo Alto Unit 42 onthulde een geduldige China-gelieerde spionageoperatie (actief sinds 2020) gericht op Zuidoost-Aziatische militaire organisaties met aangepaste AppleChris- en MemFun-malware. De aanvallers toonden "strategisch operationeel geduld" en richtten zich op zeer specifieke documenten over militaire capaciteiten in plaats van massale gegevensdiefstal.

Iran-gelieerde hackers breiden doelen uit naar Amerikaanse infrastructuur

Pro-Iraanse hackers breiden hun bereik uit van Midden-Oosterse doelen naar de Verenigde Staten, wat risico's verhoogt voor defensie-aannemers, energiecentrales en waterzuiveringsinstallaties tijdens de aanhoudende regionale conflicten.

Pools nucleair onderzoekscentrum: hackpoging (mogelijk Iran)

Een hackpoging is gemeld bij het Poolse nucleaire onderzoekscentrum. Eerste aanwijzingen wijzen naar Iran, hoewel functionarissen erkenden dat het een false flag-operatie kan zijn. Het onderzoek loopt nog.

Betterleaks: Open-source secrets-scanner (Gitleaks-opvolger)

Gemaakt door Zach Rice (oorspronkelijke Gitleaks-auteur, nu Head of Secrets Scanning bij Aikido Security), Betterleaks is een volledige herschrijving met grote verbeteringen: CEL-gebaseerde regelvalidatie, BPE-tokenisatie voor 98,6% recall (vs 70,4% met entropie), pure Go-implementatie, automatische afhandeling van meervoudig gecodeerde secrets, geparallelliseerde Git-scanning en een uitgebreid provideregelset. Aankomende functies zijn onder meer LLM-ondersteunde classificatie en automatische secret-intrekking.

Bold Security: $40M stealth-lancering — AI-aangedreven apparaatagenten

Bold Security kwam uit stealth-modus met $40M aan financiering. Hun aanpak: apparaten omvormen tot actieve AI-agenten die gebruikersacties begrijpen en realtime bescherming bieden. De moeite waard om te volgen als potentiële concurrent/partner in de AI-beveiligingsruimte.

Android 17: Accessibility API-vergrendeling tegen malware

Google test een beveiligingsfunctie in Android 17 Beta 2 die niet-toegankelijkheidsapps blokkeert van het gebruik van de Accessibility Services API onder de Geavanceerde Beschermingsmodus. Dit richt zich rechtstreeks op een primaire aanvalsvector voor Android-bankingtrojans en spyware.

Belangrijke trends deze week

Verschillende convergerende patronen om in de gaten te houden:

1. MDM als wapen: De Stryker-aanval bewijst dat legitieme beheertools (Intune, SCCM, Jamf) nu eersteklas aanvalsoppervlakken zijn. Geen malware nodig — alleen beheerdersgegevens en een wis-commando. Verwacht navolgers.

2. Supply chain-cascade (GlassWorm → ForceMemo): Eén enkele supply chain-compromittering (VS Code-extensies) cascadeert nu in een tweederangs aanval op Python-repo's. Dit kettingreactiepatroon — waarbij gestolen inloggegevens van de ene aanval de volgende voeden — versnelt.

3. ClickFix gaat cross-platform: De ClickFix social engineering-techniek (gebruikers misleiden om terminalcommando's uit te voeren) is nu overgestoken van Windows naar macOS, verspreid via nep AI-tool-installatieprogramma's. AI-hype is het nieuwe phishing-lokmiddel.

4. Browser als C2: Zowel DRILLAPP (Edge-debugging) als de Chrome 0-days tonen aan dat browsers het meest waardevolle aanvalsoppervlak blijven. De grens tussen "browsen" en "gecompromitteerd" wordt steeds dunner.

5. Iran-escalatie: Drie Iran-gerelateerde berichten in 24 uur — Stryker-wiper, aanvallen op Amerikaanse infrastructuur, Pools nucleair centrum. Geopolitieke spanningen vertalen zich rechtstreeks naar cyberoperaties.

Korte meldingen

• Microsoft Exchange Online-storing — Aanhoudend probleem blokkeert toegang tot mailboxen/agenda's (16 mrt)
• Google betaalde $17M aan bug bounties in 2025 — $3,7M voor Chrome alleen, $3,5M voor cloudbeveiliging
• Shadow AI-governance — Nudge Security meldt groeiende ongecontroleerde adoptie van AI-tools binnen bedrijven
• Leidinggevende beveiligingsbedrijf als doelwit — Geavanceerde phishing met DKIM-ondertekende e-mails, vertrouwde redirects en Cloudflare-beschermde phishingpagina's
• Interpol cybercrime-operatie — Multinationale operatie gesignaleerd in wekelijkse overzichten
• Telus Digital-datalek — Canadese telecomdochter getroffen
• Linux AppArmor-kwetsbaarheden — Fouten die root-privilegeverhoging mogelijk maken