Er loopt een federale zaak in de Verenigde Staten rond cryptomining-aanvallen op universiteiten. In de beschrijving van de aanklacht gaat het om een meerjarige campagne waarbij aanvallers rekenkracht van academische systemen zouden hebben overgenomen om heimelijk cryptocurrency te minen.
Voor universiteiten en andere organisaties met zware rekenclusters is dit extra relevant: zodra één component is gecompromitteerd, kan een aanvaller niet alleen de toegang misbruiken, maar ook lateraal bewegen en payloads inzetten. In dit artikel zetten we de kern van de zaak op een rij en vertalen we dit naar praktische aandachtspunten.
Wat is er volgens de aanklacht gebeurd?
Volgens de aanklacht stonden twee mannen, Ryan James Roach en Mathiew James Stubbings, erom bekend een campagne van meerdere jaren te hebben opgezet. De periode die wordt genoemd loopt van juni 2016 tot december 2019. Daarbij zouden systemen zijn aangetast bij universiteiten in meerdere Amerikaanse staten: New York, Massachusetts, North Carolina en Tennessee.
De verdachten zouden computing resources hebben gehijackt via een infrastructuur die over meerdere landen liep. Hun aanpak zou hebben gebruikgemaakt van frauduleuze identiteiten om de servers op te zetten en te beheren.
Hoe werden universiteitscomputers ingezet voor mining?
De DOJ-omschrijving (zoals aangehaald in het artikel) stelt dat de servers malware en mining-software naar de systemen van slachtoffers stuurden. Daarnaast zouden er gestolen inloggegevens zijn opgeslagen—informatie die aanvallers direct kunnen gebruiken om hun toegang verder uit te bouwen.
Een belangrijk detail is dat de verdachten zich specifiek zouden hebben gericht op campussen met supercomputers. Prosecutors geven aan dat eerder gecompromitteerde machines als pivot points zouden zijn ingezet om de herkomst van de aanvallen te verbergen en toegang uit te breiden.
Reconnaissance en laterale beweging
“Once inside a network” beschrijven aanklagers de vervolgstappen: nadat aanvallers eenmaal binnen waren, zouden ze geavanceerde technieken en tooling hebben gebruikt voor reconnaissance en om hun toegang binnen het netwerk uit te breiden. Dit past in een bredere aanvalsmethode waarbij aanvallers eerst het landschap verkennen, vervolgens de beste ingangen kiezen en daarna de controle vergroten.
Als je dit vertaalt naar verdediging, betekent het dat enkel focussen op “perimeter” niet genoeg is. Ook in het binnennetwerk kan een aanvaller snel waarde vinden—zeker als er omgevingen zijn die veel verkeer, geautomatiseerde taken of job-automatisering draaien.
Welke cryptocurrency stond centraal?
Volgens de aangehaalde stukken uit Canadese rechtbankdocumenten zou de gehijackte universiteitshardware zijn hergebruikt voor het minen van Electroneum. Dat laat zien dat aanvallers niet alleen de rekenkracht willen, maar ook specifieke mining-doelen kunnen nastreven.
Voor teams die threat hunting doen, is dat relevant: de uiteindelijke “business value” van de aanval kan verschillen, waardoor je indicatoren en logging niet alleen op generieke malware moet baseren.
Juridische stand van zaken en mogelijke straffen
De federale aanklacht noemt meerdere feiten: onder meer samenzwering om informatie te verkrijgen en schade te veroorzaken aan protected computers, het verkrijgen van informatie via een protected computer en opzettelijke computerschade.
Roach is op 28 oktober vanuit Canada uitgeleverd. Voor Stubbings loopt de uitleidingsprocedure nog bij Canadese rechtbanken.
Bij een veroordeling staan volgens de beschreven maximale wettelijke consequenties tien jaar gevangenisstraf en $250.000 boete op elk van de aanklachten. De zaak benadrukt dat cryptomining-aanvallen niet als “kleine cybercrime” worden gezien, zeker niet wanneer er sprake is van meerdere slachtoffers en langdurig misbruik.
Wat kun je hiervan leren voor je eigen beveiliging?
Ook al gaat deze zaak over universiteiten, dezelfde risico’s spelen bij elk netwerk met krachtige systemen, veel gebruikers en complexe toegangen. Hieronder staan praktische punten die aansluiten op de beschrijving van de campagne.
1) Bescherm accounts en voorkom dat gestolen credentials doorslaat
De aanklacht noemt dat aanvallers inloggegevens zouden hebben gestolen. Zorg dat je identiteitslaag robuust is: minimaliseer rechten, gebruik sterke authenticatie en houd toegang met beleid in de hand. Als je wilt weten hoe aanvallen via tokens of sessies kunnen escaleren, kan je ook lezen over AI-toegangslekken waarbij aanvallers tokens misbruiken.
2) Monitor op abnormaal gebruik van rekenkracht
Cryptomining leunt op compute. Dat betekent dat je je detectie niet alleen moet baseren op “bekende malware”, maar ook op gedrag: onverwachte CPU/GPU-belasting, job-patterns die afwijken van normaal, of runs die niet passen bij geplande activiteiten.
Voor omgevingen met supercomputers en research workloads is het extra belangrijk om baseline-metrics te hebben. Zonder referentie is het lastig om afwijkingen betrouwbaar te signaleren.
3) Beperk laterale beweging door segmentatie en harde controles
Volgens de aanklacht zouden aanvallers binnen netwerken toegang hebben uitgebreid met reconnaissance en pivoting. Door netwerksegmentatie, sterke interne toegangsregels en “least privilege” te hanteren, verklein je de kans dat één compromis direct leidt tot wijdverspreid misbruik.
Heb je virtuele omgevingen? Dan is het ook zinvol om isolatie en hypervisor-risico’s mee te nemen. Ter verdieping over VM-isolatieproblemen kan je kijken naar Xen hypervisor kwetsbaarheden en het risico op VM-isolatiebreuk.
4) Controleer de keten: van toegang tot payload
De zaak beschrijft dat aanvallers malware en mining-software via hun infrastructuur naar slachtoffers stuurden. Dat maakt het belangrijk om niet alleen endpoints te bekijken, maar ook de volledige keten: hoe wordt toegang verkregen, hoe wordt code gedistribueerd en hoe wordt persistence ingericht?
Bij supply chain-achtige patronen helpt het om updates, kanalen en integriteit serieus te behandelen. Als je daar eerder over hebt gelezen, is dit onderwerp verwant met wat je moet doen na een supply chain aanval met cPGuard.
Conclusie: cryptomining is geen incident, maar een proces
De beschreven zaak laat zien hoe cryptomining-aanvallen op universiteiten kunnen uitgroeien tot een langdurige campagne. Niet alleen de rekenkracht wordt misbruikt: aanvallers lijken ook doelbewust te werken aan toegang, reconnaissance en het veiligstellen van hun operatie via gestolen credentials.
Voor verdedigers betekent dit vooral: combineer technische detectie (zoals afwijkend compute-gebruik) met stevige identiteits- en netwerkmaatregelen. Zo maak je het voor aanvallers moeilijker om binnen te komen, zich lateraal te bewegen en hun mining-payload duurzaam te laten draaien.
