ThreatsDay laat opnieuw zien hoe snel aanvallen kunnen escaleren—en hoe vaak het misgaat door iets eenvoudigs. Deze editie draait om een ransomware affiliate die het niet alleen op slachtoffers had gemunt, maar ook zijn eigen keten te slim af was. Tegelijkertijd duiken er signalen op van geïnjecteerde malware via ontwikkelaarsbibliotheken, misleidende phishing via bekende platforms en technische gaten die webshells mogelijk maken.
Wat het bijzonder maakt, is de opvallende kloof tussen moeite en resultaat: sommige campagnes zijn extreem zorgvuldig opgebouwd, terwijl andere verrassend ver komen dankzij ontwerpkeuzes of het nalaten van controles. Voor security teams is dat een duidelijke boodschap: “goed genoeg patchen” is zelden genoeg—je moet ook kijken naar ketens, misbruikpaden en zwakke basisassumpties.
Een ransomware affiliate die zijn eigen programma omzeilt
In het verhaal rond de ransomware affiliate draait de breuk niet om een externe tegenstander, maar om dubbelspel binnen dezelfde criminele samenwerking. Een Russische affiliate uit het Gentlemen-netwerk beroofde tientallen slachtoffers in meerdere landen en besloot vervolgens de buit voor zichzelf te houden. Daarbovenop publiceerde de affiliate gestolen gegevens op een eigen, private lek-site.
De kernles hier is dat “vertrouwen” in een aanvallersketen geen garantie is. RaaS-operators en affiliates hebben verschillende belangen en kunnen in conflicten doorschieten richting datalekken, eigen extortie of het verbreken van de afspraken. Dat vergroot de impact voor slachtoffers: hun data kan op meerdere plekken terechtkomen, met extra risico op identiteitsfraude en langdurige herverkoop.
Waarom exposed staging en ‘vergeten’ tools blijven werken
Een ander signaal uit ThreatsDay: een serveromgeving die door een aanvaller werd gebruikt als staging bleef zichtbaar, inclusief sporen en tooling. Los van de onduidelijkheid over de exacte eerste toegang, beschreef de rapportage hoe de infrastructuur post-exploitation tools bevatte voor acties zoals credential-dumping en file transfer.
Bijzonder is dat het materiaal niet alleen intern is gebleven. Er waren ook snelle internettoegangsmomenten vanaf andere hosts nadat de slachtoffer-activiteiten waren bevestigd. Daardoor ontstaat een tweede risico: niet alleen slachtoffers worden getroffen, maar ook de aanvaller loopt extra blootstelling op—en dat kan weer leiden tot extra attributie, detectie of verspreiding van misbruikcode.
Phishing wordt geloofwaardiger dankzij legitieme platforms
Phishing blijft evolueren. In één campagne werd misbruik gemaakt van legitieme Power BI-domeinen. Het proces was doelbewust opgebouwd: slachtoffers kregen een mail die leek te verwijzen naar een document, waarna een nieuwe tab op een domein onder controle van de aanvaller opende. Daar werd eerst gefingerprint en daarna pas de download van een rogue installer gestart.
De aanval combineert daardoor social engineering met technische afstemming. Niet iedereen krijgt hetzelfde pad, en sommige stappen worden vertraagd zodat een simpele analyse of automatische sandbox-run minder snel de uiteindelijke payload toont.
WhatsApp-lures en multi-stage RAT’s
Ook in berichtenkanalen zie je dat aanvallers niet blijven hangen bij één truc. Er werd gerapporteerd over een WhatsApp-lure met een Windows-attachment (“Statement.exe”) die een bekende WebSocket RAT leverde, aangeduid als VulcanRAT207. Volgens de beschrijving doorloopt de keten meerdere stappen: een loader scant de host, probeert privileges te verkrijgen, en gebruikt vervolgens technieken om processen te beïnvloeden zonder de klassieke aanpak die iedereen verwacht.
Daarna volgt onder meer het verzamelen van systeemmetadata, ondersteuning voor interactieve shell-toegang, het afsluiten van beveiligingsprocessen en het herschrijven van klembordinhoud. Voor defenders is dit lastig: de malware beweegt zich niet alleen “van A naar B”, maar bouwt tijdens de keten extra capabilities op.
Webshells via een file upload-fout: van account naar betalingdata
Een file upload-kwetsbaarheid in een webgebaseerd platform—bedoeld voor recreatiebeheer—werd misbruikt om meerdere servers te compromitteren. De aanvallers voegden een nieuw account toe, gebruikten dat om webshells te uploaden en wisten uiteindelijk payment data te stelen.
Interessant is dat er aanwijzingen zijn voor het gebruik van AI-gegenereerde scripts in delen van de kill chain. De rapportage stelt dat er veel mislukte initial access probes waren, wat kan wijzen op geautomatiseerde pogingen. De uiteindelijke toegang werd echter bereikt met een meer handmatige aanpak: een eigen account aanmaken en vervolgens de uploadfunctie benutten.
Praktisch gezien moeten teams dus niet alleen kijken naar “de ene patch”, maar ook naar detectie van accountaanmaak, afwijkend uploadgedrag en de aanwezigheid van webshell-achtige bestanden.
Developer supply chain: pakketten die pas later ‘aan’ gaan
Supply chain aanvallen blijven een terugkerend thema in ThreatsDay. Er wordt melding gemaakt van een gecompromitteerd npm-pakket (@subql/common versie 5.8.3) met een verborgen payload die tijdens installatie en import credential-verzameling en remote shell-ondersteuning uitvoert. Deze activiteit richt zich op ontwikkelaarswerkplekken en CI-omgevingen, waaronder GitHub Actions runners en toegankelijke cloudservices.
In een andere melding kwam een RubyGems-account naar voren dat tientallen kwaadaardige gems publiceerde, met een gedrag dat vooral op developer machines wacht en niet “direct” zichtbaar is in CI of sandbox-omgevingen. Er werden twee soorten payload-acties beschreven: het starten van reverse shells of het downloaden en uitvoeren van een extra component.
Verder werd er een cluster van npm-pakketten gesignaleerd dat een Linux-worm kan meenemen. Het mechanisme is gebaseerd op propagatie via sleutels/hosts die in de omgeving aanwezig zijn en op het pushen van nieuwe versies naar npm. Dit illustreert hoe ontwikkelomgevingen kunnen veranderen in een springplank: eenmaal binnen, kan de schade zich automatisch uitbreiden.
Kwetsbaar auth-ontwerp: voorspelbare sessie-cookies
Niet elke aanval draait om exotische exploit chain. ThreatsDay noemt ook een authenticatie-bypass die voortkomt uit zwak sessie-cookie ontwerp: de sessie werd ondertekend met een hard-coded secret die overeenkwam met de cookie-naam, en de beschermde waarde was gekoppeld aan een public database identifier in plaats van aan een willekeurige, onvoorspelbare sessie.
Met deze twee ontwerpkeuzes kunnen aanvallers geldige sessies genereren voor arbitraire gebruikers, mits ze de relevante identiteiten via de API kunnen verkrijgen. Resultaat: het forgen van sessies voor meerdere accounts, inclusief accounts met verhoogde privileges.
Voor security teams is dit een goede reminder om cryptografische en sessie-architectuur als “basislaag” te behandelen: het is vaak minder spectaculair dan een 0-day, maar net zo bepalend voor het eindresultaat.
Medische IoT en PQC-gaps: oog voor ‘harvest now, decrypt later’
Naast typische cyberaanvallen benoemt ThreatsDay ook structurele problemen in de zorgketen. Forescout analyseerde meer dan 2,5 miljoen medische apparaten verspreid over tientallen zorgorganisaties en concludeerde dat een groot deel niet eenvoudig kan worden geüpgraded naar post-quantum cryptography (PQC).
De risicoformule die in de rapportage centraal staat is harvest-now, decrypt-later (HNDL). Data zoals medische voorgeschiedenis, diagnostische beelden, labresultaten en medicatiegegevens blijft waardevol voor een levenslange periode. Daarom is de vraag niet alleen of systemen nu veilig zijn, maar ook of ze toekomstbestendig blijven tegen quantum-enabled aanvallen.
Wat moet je nu praktisch doen?
De verhalen uit ThreatsDay lijken op het eerste gezicht uiteenlopend—van WhatsApp-lures en webshells tot PQC-gaps en supply chain. Toch zitten er gemeenschappelijke patronen achter: ketens, misbruik van vertrouwen en zwakke ontwerpbeslissingen.
- Beoordeel je threat model op keten-risico: kijk niet alleen naar initial access, maar naar wat een aanvaller daarna kan doen met accounts, sessies en tooling.
- Controleer sessie- en authenticatie-implementaties: voorspelbaarheid, hard-coded secrets en slechte binding aan sessies moeten prioriteit krijgen.
- Versterk ontwikkel- en CI-omgeving: leg focus op dependency scanning, restricties op tokens en het beperken van blast radius.
- Monitor op upload-gedrag en afwijkende accountactiviteiten: webshells ontstaan vaak precies bij dit soort acties.
- Plan voor toekomstbestendige cryptografie in sectoren met langdurige data, zeker in OT/IoMT om HNDL-risico’s te verkleinen.
Wil je dieper ingaan op AI- en pentestthema’s, dan kan je ook bekijken hoe agents en testen in de praktijk worden ingezet. Bijvoorbeeld: Bron: https://thehackernews.com/2026/10/threatsday-ransomware-affiliate.html
