We besteden in IT vaak vooral energie aan het voorkomen van een eerste inbraak. Toch werd in een incident dat door Huntress is onderzocht duidelijk waarom dat maar één deel van het verhaal is. Zodra een aanvaller eenmaal binnen is, draait het al snel om een post-breach aanval: tijd nemen om zich te vestigen, toegang duurzaam te maken en detectie te omzeilen.
Wat opviel in deze zaak (uit juni) is dat de dreigingsactor niet haastig handelde. In plaats daarvan wijzigde hij de omgeving stap voor stap, met meerdere technieken tegelijk. Dat is precies waarom verdedigers hun aanpak na een incident niet moeten beperken tot het verwijderen van tools of malware.
Van eerste toegang naar een volledig ‘ingericht’ systeem
Volgens de analyse begon de verdachtheid bij een proces op een Microsoft SQL Server. Analisten verwachtten aanvankelijk dat de aanvaller direct op de database zou mikken, maar dat bleek niet het geval. De ingang lag in een webpagina op dezelfde server: een SQL-injection die gebruikersinput onvoldoende valideerde.
SQL-injection is een bekende en vaak vermijdbare fout. Het ontstaat wanneer een website informatie die een gebruiker invult (bijvoorbeeld in een zoek- of loginveld) zonder adequate checks direct doorstuurt naar een databasesysteem. In dit geval gaf die zwakte de aanvaller toegang tot de onderliggende Windows-machine.
Recon en ‘instappen’: eerst overzicht, dan acties
Na binnenkomst gedroeg de aanvaller zich niet als een opportunist die meteen data steelt of ransomware inzet. Eerst deed hij recon: hij draaide een ingebouwd Windows-commando om te inventariseren welke services er draaiden. Dit helpt aanvallers om te bepalen wat interessant is en welke processen ze mogelijk kunnen verhullen.
Vervolgens werden de resultaten naar een server gestuurd die door de aanvaller werd beheerd. Dat wijst erop dat hij de uitkomst niet alleen gebruikte in de directe fase, maar mogelijk ook later wilde analyseren of koppelen aan verdere automatisering.
Toegang duurzaam maken: remote desktop en een nieuwe beheerder
Daarna veranderde de aanvaller de configuratie zodat de toegang herhaalbaar bleef. Hij zette bijvoorbeeld Remote Desktop (RDP) aan, terwijl die daarvoor niet ingeschakeld was. Dat verhoogt de kans dat de aanvaller later opnieuw kan inloggen.
Ook maakte hij een nieuw gebruikersaccount aan en plaatste dit in de lokale Administrators-groep. Daarmee kreeg hij direct hoog privilege, en bovendien bleef die toegang bestaan bij reboot of basisreiniging. Vervolgens logde hij in via Remote Desktop met dat nieuwe account.
Beveiliging verzwakken zonder alles omver te gooien
Een opmerkelijke keuze was dat Windows Defender werd uitgeschakeld. Dat is een logische stap om bescherming tegen malware te verminderen. Tegelijkertijd bleven andere detectie- en beveiligingscomponenten, zoals EDR, volgens de analyse onaangeroerd.
Dat maakt de aanpak verdacht ‘gericht’: de aanvaller lijkt óf niet te hebben opgemerkt dat EDR actief was, óf niet in staat te zijn geweest om die ook uit te schakelen. Voor verdedigers is dit een belangrijke les: niet elk incident verloopt volgens hetzelfde standaardpatroon.
De webserver als aanvalswapen: BadIIS
De aanvaller installeerde daarna kwaadaardige add-ons voor Internet Information Services (IIS). Deze componenten maken deel uit van een bekende malwarefamilie die wordt aangeduid als BadIIS.
BadIIS wordt typisch gebruikt om legitiem websiteverkeer te kapen met als doel frauduleuze effecten te bereiken, zoals beïnvloeding van zoekresultaten en advertenties. In de praktijk kan dat gaan om bezoekers doorsturen, verborgen links injecteren of inhoud serveren die afwijkt van wat de eigenaar verwacht.
Met andere woorden: een compromis kan zich uitrollen richting web- en advertentie-infrastructuur, zonder dat de beheerder meteen ziet dat zijn site wordt misbruikt.
Cryptomining: waarde uit de compute-kracht
Daarnaast werd er een programma neergezet om cryptocurrency te minen. Dit is een veelgebruikte manier voor aanvallers om extra opbrengst te halen uit de rekenkracht van een slachtoffer. De kosten komen dan indirect op het bord van de organisatie, bijvoorbeeld via energie- en hardwarebelasting.
Om dit te verbergen werden de bestanden gemarkeerd met attributen zoals hidden, system en read-only, zodat ze minder snel opvallen bij een snelle inspectie in bestandsverkenners. Ook werd de miner als Windows-service ingericht, zodat die automatisch start en blijft draaien na herstarten. Tot slot werd er nog een extra tool geplaatst om detectie lastiger te maken.
Scripts op de achtergrond: stil, geautomatiseerd en breed inzetbaar
Door het hele incident heen haalde de aanvaller meerdere PowerShell-scripts en batchbestanden binnen van externe servers. Dat patroon is praktisch: het voorkomt dat alle functionaliteit vanaf het begin in één payload aanwezig hoeft te zijn.
Daarbij werd PowerShell ingezet op een manier die bedoeld is om zichtbaarheid te beperken. Denk aan het draaien zonder opgetoonde vensters, zonder zichtbare prompts en zonder dat Windows’ scriptuitvoeringsbeperkingen de aanval in de weg staan.
Wat Huntress vooral benadrukte is niet dat elk individueel onderdeel uitzonderlijk is, maar dat de aanvaller in één sessie meerdere ingrepen deed: van toegang en verberging tot webmisbruik en cryptomining.
Waarom een goede opruimactie niet genoeg is
Na een inbraak is de natuurlijke reflex: tools verwijderen, accounts uitzetten, malware weghalen. Dat is nodig, maar in deze casus was de kern dat de entry point intact bleef: de SQL-injectionfout.
Stel dat een team alle zichtbare sporen had opgeschoond, maar de kwetsbaarheid niet had gerepareerd. Dan kan een aanvaller terugkomen via dezelfde kwetsbare webpagina. Met andere woorden: zonder root-cause aanpak is schoonmaken alleen een tijdelijke onderbreking.
Praktische stappen voor verdedigers
Huntress’ aanbevelingen starten bij de basis: weet wat je bezit. Bouw en onderhoud daarom een actuele inventaris van systemen (fysiek en virtueel), en van applicaties inclusief versies. Vanuit dat overzicht kun je gerichter werken aan risicobeperking.
- Verklein het aanvalsoppervlak: verminder blootgestelde diensten en applicaties.
- Verwijder wat niet nodig is: ongebruikte of ongeautoriseerde onderdelen vormen alleen maar extra risico.
- Beperk toegang: alleen geautoriseerde gebruikers, en waar mogelijk standaard multifactor-authenticatie.
- Patch en monitor continu: houd actieve applicaties up-to-date en borg dat ze binnen je monitoring vallen.
- Onderzoek de oorzaak, elke keer: stop niet bij “malware weg”, maar achterhaal hoe de aanvaller binnenkwam en versterk daarmee je verdediging.
De kernboodschap is duidelijk: een aanvaller probeert de ‘home field advantage’ van verdedigers weg te nemen door het systeem aan te passen. Door na incidenten niet alleen oppervlakkig op te schonen, maar ook de oorspronkelijke deur te sluiten, blijft die voorsprong bij jou.
