Deze week stond in het teken van opvallend praktische aanvallen: niet alleen technische hoogstandjes, maar ook gestolen toegang, “kleine” configuratiefouten en kwetsbaarheden die eerder al bekend waren en nu opnieuw doelwit worden. In de kern draait de boodschap om hetzelfde: kijk verder dan alleen wat er kapot is—onderzoek vooral wie binnenkwam, wat er werd geraakt en of de aanvaller terug kan komen.
In dit artikel nemen we de belangrijkste onderdelen van de ThreatsDay-bulletin door. Met extra focus op ThreatsDay Adobe RCE, maar ook op dreigingen rondom DNS-gebaseerde wallet-diefstal, misbruik van VPN-authenticatie en een reeks extra risico’s die in de praktijk snel onderschat worden.
ThreatsDay Adobe RCE: ongeauthenticeerde keten in Adobe AEM
Een van de zwaarste meldingen gaat over Adobe Experience Manager (AEM). Volgens de bulletin-analyse kan een combinatie van vier zwakheden leiden tot ongeauthenticeerde remote code execution (RCE)—dus zonder dat een aanvaller hoeft in te loggen.
De keten bestaat uit meerdere bouwstenen: een ongeauthenticeerde DAM bulk import, opgeslagen cross-site scripting (XSS), onveilig XML-parsen en Groovy-code-executie via een specifieke route (/bin/asynccommand). Daarbij geldt: het betreft alleen de cloud-versie van AEM. De bulletins melden dat de issue is gepatcht.
Wat je hier als security- of IT-team van kunt leren: zelfs wanneer een fabrikant aangeeft dat iets gepatcht is, is “patched” niet hetzelfde als “opgelost voor jouw omgeving”. Check daarom of de betreffende AEM-instanties daadwerkelijk zijn bijgewerkt en of er geen tekenen van eerdere toegang zijn.
Snelle acties na een Adobe AEM RCE-melding
- Bevestig patchstatus: ga na of alle relevante cloud-instanties zijn bijgewerkt naar de fix.
- Controleer toegang en sporen: zoek naar ongebruikelijke requests richting DAM import en de asynccommand-route.
- Herhaal verificatie: een patch sluit lopende misbruikpogingen niet altijd af als er al toegang is ingericht.
DNS-aangedreven wallet-diefstal: Noir en “onzichtbare” backendkeuze
Naast de Adobe-dreiging beschrijft de bulletin ook een cryptocurrency wallet-drainer kit die draait op DNS. De onderzoeksanalyse koppelt de tool aan de naam Noir, waarbij de aanvallers DNS TXT-records gebruiken om te bepalen waar de daadwerkelijke “pool” of backend zich op dat moment bevindt.
De malware-operator maakt daarbij gebruik van een loader die via public DNS-over-HTTPS (DoH) een TXT-record bevraagt om te leren welke backend actief is. Opvallend is ook de functionele aanpak: de drainer zou geen seed phrase, wachtwoord of private key nodig hebben. In plaats daarvan wordt er een strategie gevolgd die content afstemt op de gebruiker, vraagt vervolgens spending permissions aan—en voert de diefstal uit vanuit infrastructuur die door de aanvaller wordt beheerd.
De bulletin vermeldt bovendien dat de malware mogelijk met AI-assistentie is ontwikkeld en onderhouden. Los van de productiewijze blijft het beveiligingsvraagstuk identiek: aanvallers zoeken naar routes die “normaal DNS-verkeer” kunnen laten lijken op legitieme operations, terwijl er in werkelijkheid toestemming wordt misbruikt.
VPN-authenticatie als schijnbaar legale toegang: ransomware misbruik
Een andere belangrijke component van de week is actief misbruik van een authenticatie-bypass in PAN-OS GlobalProtect en Prisma Access. De bulletin stelt dat de kwetsbaarheid (CVE-2026-0257) sinds publicatie in mei 2026 onder actieve exploitatie staat.
Wat dit extra riskant maakt, is de observatie dat het misbruik afkomstig is via de eigen VPN-omgeving van een organisatie. Daardoor kan kwaadwillende activiteit lijken op normaal remote work—met als gevolg dat credential theft, laterale beweging, datadiefstal of ransomware-implementatie pas later opvalt.
Concreet noemt de analyse acties zoals direct upgraden, het uitschakelen van “authentication override cookies” wanneer dat niet nodig is, en het beëindigen van actieve GlobalProtect-sessies nadat er gepatcht is. Ook adviseert men onderzoek naar onverwachte verbindingen, inclusief sessies die gebruikmaken van opvallende hostnames. Belangrijk: het bulletin geeft aan dat alleen patchen mogelijk niet genoeg is om toegang te verwijderen die al vóór de remediation is ontstaan.
Waarom “vertrouwde login” en “tijdige patch” niet genoeg zijn
Als je alle verhalen naast elkaar legt, komt hetzelfde patroon terug: aanvallers hebben zelden één alleenstaande zwakte nodig. Soms is het een onbekende bug, maar net zo vaak is het een combinatie van factoren—zoals een kwetsbaarheid met een aantrekkelijk misbruikpad, toegang die lang genoeg blijft hangen, of een omgeving waarin beveiliging te veel leunt op aannames.
Daarom werkt de aanpak “check wat kapot is” maar half. De boodschap uit de ThreatsDay-samenvatting is helder: ga ook na wie is binnengekomen, wat is aangeraakt en of de aanvaller een weg terug heeft.
Meer dreigingen uit de bulletin: van Discord RAT tot live-screen surveillance
De bulletin bevat ook andere opvallende cases die laten zien hoe breed het dreigingslandschap is. Denk aan:
- Discord als command & control: er is een Rust-gebaseerde remote access trojan (CikaBika Bot) beschreven die via een document-lure wordt geleverd. De keten omvat o.a. een Nim loader en technieken rond UAC-bypass en DLL search-order hijacking, waarna Discord wordt gebruikt voor C2, recon en data-exfiltratie.
- RAT als combinatie van diefstal en intimidatie: de bulletin beschrijft KGB RAT, een Windows RAT die onder meer credential theft, ransomware en psychologische “harassment”-functies combineert.
- Live-screen toezicht: er is een multi-stage Windows-infectieketen gezien met een .NET RAT die live screen surveillance mogelijk maakt. De chain schakelt beveiligingscontrolemechanismen uit (o.a. TLS certificate validation) en werkt met geplande herstartlogica.
Het praktische punt hier: als C2 niet meer via “klassieke” kanalen loopt, maar via platforms die voor gebruikers bekend zijn, neemt de kans toe dat teams minder snel opvallen. Monitor daarom niet alleen domeinen of IP’s, maar ook afwijkend gedrag rond sessies, downloads, geplande taken en datastromen.
Extra focuspunten: gestolen AI- en ontwikkelcredentials
In de ThreatsDay-bulletin komen ook aanvallen voorbij die gericht zijn op credentials rond AI-assistenten en agentic coding tools. De kern is dat API keys en OAuth- of session tokens kwaadwillenden in staat kunnen stellen om acties uit te voeren onder een legitieme ontwikkelaaridentiteit.
Het risico is niet beperkt tot “wat er gelezen kan worden”. Zulke toegang kan ook verbonden repositories, cloudservices en CI/CD-pijplijnen blootleggen. Bovendien kan het controlemechanismen omzeilen die ervan uitgaan dat requests afkomstig zijn van een vertrouwde gebruiker.
Daarnaast wordt een MaaS-achtige aanpak genoemd waarbij infostealers maatwerk uitvoerbaar maken—bijvoorbeeld via Python-builders die een eigen loader en configuratie-injectie ondersteunen. Dat betekent voor verdedigers: beleid rond secrets, least privilege en detectie op ongebruikelijke API-activiteit blijft cruciaal.
Praktische checklist voor security teams deze week
Wil je de les van deze ThreatsDay-bulletin vertalen naar actie? Gebruik dan een korte checklist die je helpt om sneller van signalen naar verificatie te gaan:
- Prioriteer patches op basis van misbruikbaarheid: ThreatsDay Adobe RCE staat bovenaan als je AEM cloud gebruikt.
- Controleer sessies na patchen: beëindig of herbeoordeel sessies wanneer een bulletin dat expliciet aanbeveelt (zoals bij VPN-misbruik).
- Onderzoek toegangspatronen: zoek naar afwijkende verbindingen, ongebruikelijke routes en onverwachte request-waarden.
- Herijk detectie op “vertrouwde kanalen”: platforms als Discord kunnen misbruik worden als C2.
- Bescherm ontwikkel- en AI-credentials: behandel API keys en tokens als hoogwaardig doelwit.
Conclusie: patch, maar bewijs dat de aanvaller weg is
De ThreatsDay-bulletin maakt één ding duidelijk: het dreigingslandschap beweegt snel, maar de kern van het probleem is consistent. Of het nu gaat om ThreatsDay Adobe RCE in AEM, wallet-diefstal via DNS TXT, of ransomware die via VPN-toegang “legaal” lijkt—teams moeten doorpakken met zowel technische fixes als gerichte verificatie.
Patch de kwetsbaarheden, maar toon vervolgens aan dat de aanvaller geen toegang meer heeft en niet kan terugkomen. Dat is de vertaalslag die deze week het verschil maakt.
Gerelateerd lezen: contextuele cyberdefensie: van losse meldingen naar actie helpt je om incidentsignalen om te zetten in opvolging. Daarnaast kan AI confidence is geen validatie: zoborg je bewijs relevant zijn bij het verifiëren van detecties rondom gestolen of misbruikte credentials.
Bron: https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html
