ThreatsDay: Apache OFBiz RCE, DreamHost-lek, kapingen van DeFi-sites en 17 andere verhalen

Het Britse National Cyber Security Centre (NCSC) waarschuwt dat de brede beschikbaarheid van AI-gestuurde cybertools “bijna zeker” heeft geleid tot een aanzienlijke toename in het ontdekken van zero-day-kwetsbaarheden. “Defensieve AI-cybertools hebben het venster verkort waarin een kwetsbaarheid van zero-day naar een n-day kwetsbaarheid gaat en hebben het patchproces versneld,” zei het NCSC. “Echter, zonder correcte en wijdverbreide configuratie van deze technologie blijven veel systemen kwetsbaar voor aanvallers die AI-cybertools gebruiken om systeemzwakheden te identificeren en te exploiteren. Bovendien zullen de interne patch- en testprocessen van organisaties moeten evolueren om het tempo van de versnelde kwetsbaarheidsontdekking bij te houden. Aanvallers tonen sindsdien minder terughoudendheid om toegang te verliezen om een doel te bereiken, omdat de kosten om die toegang te vervangen minimaal zijn.”

Een analyse van ongeveer 383.000 CVE’s gepubliceerd van 1999 tot en met september 2026 toont aan dat de mediane tijd om een kwetsbaarheid te patchen voor netwerkapparatuur meer dan een jaar bedraagt. Ongeveer 2.000 CVE’s (ongeveer 0,5%) zijn gekoppeld aan exploitatie in de echte wereld. “De mediane kwetsbaarheid wordt in ongeveer twee weken gepatcht op Windows-workstations, maar in meer dan een maand op Windows-servers,” zei Microsoft. “Het loopt op naar meer dan 10 weken op Linux-servers en voor applicaties die op macOS draaien, en meer dan een jaar op netwerkapparatuur. Dat gat is het venster voor dreigingsactoren, het breedst bij de kritieke systemen die het langst bloot blijven staan.” De techgigant zei ook dat dreigingsactoren onevenredig vaak fouten targeten die maximale impact en blootstelling opleveren en systeemovername mogelijk maken, met name remote code-execution, privilege-escalatie en authenticatieomzeiling.

Autoriteiten hebben zeven personen gearresteerd die naar verluidt betrokken waren bij een investeringsfraude die potentiële slachtoffers in meer dan 50 landen trof, aldus Europol. De operatie veroorzaakte naar schatting verliezen van minstens $4,5 miljoen. Het “crime-as-a-service”-aanbod werd gerund door een bedrijf uit Cyprus en Israël en zou cybercrimegroepen voorzien hebben van een reeks handelswebsites en frauduleuze callcenters die slachtoffers moesten misleiden om hun spaargeld over te maken. Deze callcenters opereerden vanuit Albanië, Kosovo en Noord-Macedonië. “Meer dan 100 servers werden in beslag genomen en zeven verdachten gearresteerd tijdens gecoördineerde acties op 3 november 2026,” zei Europol. “Autoriteiten doorzochten 17 locaties en namen servers, ander bewijsmateriaal en activa in beslag.” Net als bij andere frauduleuze investeringsschema’s maakte de operatie gebruik van misleidende advertenties om mensen naar frauduleuze handelsplatformen te leiden, door aanzienlijke, snelle rendementen uit cryptocurrency-handel en buitenlandse valuta te beloven. Slachtoffers werden aangemoedigd eerst een klein bedrag over te maken, waarna schijnwinsten werden getoond om hen aan te sporen steeds grotere bedragen over te maken. De operators gebruikten vertragingstactieken om betalingen te blokkeren wanneer slachtoffers probeerden geld op te nemen. “Achter schijnbaar legitieme platformen gebruikten zogenaamd makelaars fictieve winsten en uitoefenden ze aanhoudende psychologische druk om slachtoffers te overtuigen meer te investeren,” zei Europol. “Persoonsgegevens die via dit proces werden verzameld, werden verkocht aan criminele groepen die callcenters exploiteren. Operators namen vervolgens contact op met potentiële slachtoffers met zogenaamd investeringsaanbiedingen, waardoor hun initiële interesse veranderde in herhaalde vorderingen om geld.”

Google heeft zijn Cloud Vulnerability Reward Program (VRP) uitgebreid met een nieuw topniveau voor hoog-impact architecturale beveiligingsfouten, waarmee onderzoekers $250.000 kunnen verdienen voor Root-in-Cloud-bugs, inclusief tenants-isolatie-omzeilingen en complexe cross-service logische fouten die aanvallers volledige administratieve controle over willekeurige Google Cloud-organisaties kunnen geven. “Om deze premier beloning te verdienen, moet je volledige administratieve controle aantonen, gelijk aan ‘roles/owner’ of volledige IAM-controle, over willekeurige Google Cloud-organisaties of -projecten zonder voorafgaande toegang of speciale projectinstellingen,” zei Google. “Bovendien zullen geldige kwetsbaarheidsrapporten die remote code-execution (RCE) in onderliggende Google productie-infrastructuur (Borg) aantonen of root-in-prod bereiken automatisch door het Google Cloud VRP-paneel worden beoordeeld op root-in-cloud-geschiktheid.”

Microsoft heeft aangekondigd dat zijn Edge-browser nu automatisch meldingen van sites uitschakelt die scam- of scareware-meldingen pushen, zoals valse viruswaarschuwingen of beveiligingsalerts. “Sinds de uitrol van Edge 156 vorige maand, wanneer Microsoft Defender SmartScreen of de Scareware-blocker een scam detecteert die via een notificatie werd gepusht, zal Edge automatisch meldingen uitschakelen van de site die deze stuurde,” zei Microsoft. “De volgende keer dat Edge start, legt een informatiebalk uit wat er is gebeurd. Als je denkt dat een site ten onrechte is geblokkeerd, kun je sites met geblokkeerde meldingen bekijken en ze deblokkeren via Edge-instellingen, zodat je de controle houdt.”

Twee Canadese mannen, Ryan James Roach (35) en Mathiew James Stubbings (41), zijn in de VS aangeklaagd voor het hacken van meerdere Amerikaanse universiteiten en het gebruiken van de toegang om cryptocurrency te minen. Beiden worden beschuldigd van samenzwering om informatie van een beschermd computersysteem te verkrijgen en schade aan een beschermd computersysteem te berokkenen, het verkrijgen van informatie van een beschermd computersysteem, en opzettelijke schade aan een beschermd computersysteem, wat een maximale straf met zich meebrengt van 10 jaar gevangenisstraf en een boete van $250.000. “Tussen juni 2016 en december 2019 comploteerden Roach en Stubbings om computers te hacken, inloggegevens te stelen en stiekem cryptocurrency te minen voor financieel gewin,” zei het ministerie van Justitie. “Ze gebruikten virtuele private servers in meerdere landen, die werden geregistreerd onder valse namen. Deze servers verspreidden malware en miningsoftware naar slachtoffermachines en bewaarden gestolen inloggegevens. Slachtoffers van het schema omvatten onderwijsinstellingen in New York, Tennessee, North Carolina en Massachusetts.”

Onderzoekers hebben een afpersingsaanval zonder encryptie beschreven waarbij de PAYLOAD-ransomware een productiebedrijf in het Midden-Oosten targette. “De dreigingsactor verkreeg domeinbeheerdersgelijkwaardige controle over de Active Directory-omgeving van de organisatie en maakte een kwaadaardig Group Policy Object (GPO) genaamd PAYLOAD, dat op het domeinroot werd gekoppeld,” zei Kaspersky. “Via dat ene object leverde de actor losgeldbrieven, kaapte het het bureaubladachtergrond en het vergrendelscherm, forceerde een logon-banner en schakelde het lokale administratoraccount uit op elk domeingebonden Windows-workstation — allemaal zonder een ransomware-binary neer te zetten of data te versleutelen. De enige ransomware die we in dit incident vonden was een PAYLOAD-sample gericht op ESXi op Linux-servers.” De aanval vertegenwoordigt een samenloop van twee trends: misbruik ‘living-off-the-land’ van vertrouwde AD-infrastructuur en een toename van incidenten die enkel op afpersing gericht zijn.

Een kwetsbaarheid in Docker Sandboxes (CVE-2026-103916) had kunnen worden misbruikt om bestands-toegangsbeperkingen te omzeilen, mogelijk cloudreferenties en andere gevoelige bestanden op de machine van een ontwikkelaar bloot te leggen door een routine-kopieeropdracht. “De opdracht die wordt gebruikt om bestanden tussen een sandbox en de computer van de ontwikkelaar te kopiëren (sbx cp) handhaaft deze toegangsbeperkingen niet,” zei Endor Labs. “Een agent kan deze zwakte misbruiken met wat bekendstaat als een symbolische link, in wezen een snelkoppeling die naar een ander bestand of map wijst. Door een kwaadaardige snelkoppeling in een goedgekeurde workspace te plaatsen, kan de agent een volgende kopieeropdracht misleiden om bestanden buiten de goedgekeurde grenzen van de sandbox te benaderen.” Het probleem is opgelost in Docker Sandboxes versie 0.51.0.

Werkt het afmelden voor ACR?

Een nieuwe studie toont aan dat smart-tv’s met besturingssystemen van Samsung, Vizio en Roku nog steeds gegevens blijven verzenden naar automatic content recognition (ACR)-endpoints, zelfs nadat gebruikers zich hebben afgemeld voor tracking in de instellingen van het apparaat. “Volledige afmelding werkte slechts op vier besturingssystemen. Op Samsung en Vizio bleef verkeer consistent met ACR doorstromen, en Roku’s afmelding dekt zijn eigen streamingdienst niet,” aldus een groep academici van Northeastern University. “VIDAA OS stuurt ACR-gegevens naar servers die door Unruly worden beheerd via MQTT zonder versleuteling, dus iedereen op het netwerkpad tussen de tv en die servers kan deze gegevens lezen.”

Anthropic heeft onthuld dat het werkt aan een open-source systeem genaamd FlashProve om cryptografisch te verifiëren dat een AI-respons van een bepaald model afkomstig is. “FlashProve is een systeem voor bewijsbare inferentie van grote Mixture-of-Experts (MoE) taalmodellen,” zei Anthropic. “FlashProve omvat twee partijen: de modelprovider (de prover) en een gebruiker (de verifier). Het is opgesplitst in twee fasen: In de offlinefase publiceert de prover een commitment aan de modelgewichten, wat een korte vingerafdruk is om één exacte keuze van gewichten vast te pinnen terwijl de gewichten zelf verborgen blijven. De latere inferentieclaims zullen worden gecontroleerd aan dat commitment, d.w.z. het gewichtmodel waarop in deze fase is gecommit. In de onlinefase, na verzoeken van de verifier (d.w.z. prompts en de bijbehorende outputtokens), produceert de prover een bewijsbestand dat de volgende bewering aantoont: Het gecommitteerde model produceert deze outputtokens wanneer het wordt geëvalueerd. Iedereen die het commitment, de prompt en het antwoord heeft, kan het controleren, zonder de gewichten en met beperkte rekenkracht, en overtuigd raken dat de gecommitteerde gewichten, uitgevoerd op deze prompt, precies deze tokens produceren.”

DreamHost heeft gewaarschuwd voor een datalek nadat een onbevoegde derde partij tussen augustus en 23 oktober 2026 toegang had gekregen tot de server die zijn webgebaseerde File Manager op files.dreamhost.com runt. “De onbevoegde derde partij maakte misbruik van een kwetsbaarheid in die software en kon de FTP/SFTP-gebruikersnamen en -wachtwoorden benaderen van personen die tussen ongeveer augustus 2026 en 23 oktober 2026 inlogden op deze File Manager,” zei het bedrijf. “De onbevoegde derde partij kon ook bepaalde webmailsystemen bereiken, wat de sessie-informatie (de gegevens die een gebruiker ingelogd houden, inclusief sessiegegevens) van een beperkt aantal webmailgebruikers kan hebben blootgesteld. We geloven dat dit een gerichte aanval was en ons team werkte dag en nacht om het te beperken.” DreamHost zei dat de aanvaller mogelijk de referenties heeft gezien die worden gebruikt om toegang te krijgen tot de File Manager of webmail, samen met de inhoud van e-mails en bestanden op de FTP/SFTP-server. Er is geen bewijs dat de aanvaller controlepaneel-logininformatie of klantfacturatiegegevens heeft benaderd.

De beheerders van Apache OFBiz hebben 46 beveiligingsfouten aangepakt, inclusief CVE-2026-68524, die kan leiden tot remote code-executie vóór authenticatie, en CVE-2026-109928, die volledige accountovernames mogelijk maakt door een incorrecte implementatie van een authenticatie-algoritme. De problemen zijn gepatcht in Apache OFBiz 24.09.08.

Onderzoekers hebben zwakheden in de encryptie van bijgewerkte HYFLOCK-ransomware-builds ontdekt. De ransomware-operatie begon publiekelijk slachtoffers te noemen in oktober 2026, hoewel aanwijzingen erop wijzen dat de groep voor het eerst opdook in underground-forums in maart 2026. Tot op heden heeft de groep 13 slachtoffers vermeld. “De build van 17 oktober versleutelde succesvol bestanden, registreerde een geplande taak, kreeg toegang tot netwerkshares en probeerde systeemherstel te verstoren,” zei Check Point. “In een eerdere oktober-versie identificeerden onderzoekers een verwerkingsfout die delen van een bestand permanent kon weggooien, waardoor volledige herstelbaarheid mogelijk verhinderd werd, zelfs met de correcte decryptiesleutel. De build van 17 oktober toonde een ander probleem: grotere bestanden hadden slechts hun eerste 4.096 bytes versleuteld, waardoor extra inhoud buiten dat eerste deel toegankelijk bleef.”

DigiCert zei dat het een incident heeft vastgesteld waarbij onbevoegde toegang is verkregen tot een van zijn bedrijfsystemen die informatie opslaat die door klantvertegenwoordigers wordt gedeeld om hun identiteit te valideren. Het bedrijf zei dat zijn certificaatoperaties niet zijn beïnvloed. “Het merendeel van de gegevens was beperkt tot zakelijke contactinformatie van klanten: namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen,” zei DigiCert. “Een klein deel van de klantaccounts bevatte aanvullende persoonlijke gegevens in de vorm van een door de klant aangeleverd document zoals een rijbewijs, paspoort, energierekening of een ander document met naam en adres. De toegang kon geen records schrijven, fungeren als validatiegoedkeurder of certificaten uitgeven.”

Dreigingsactoren kaapten iets meer dan een dozijn DeFi-websites geregistreerd bij Name.com, waaronder Flap, Kintsu, Pickle Finance en Origami Finance, en stehlen uiteindelijk ongeveer $138.000 aan activa. De sites bleken te zijn uitgerust met een malwarekit die bezoekers misleidt om transfers uit hun wallets goed te keuren zodra ze verbinding maken met de gecompromitteerde site. Vercel zei zich bewust te zijn van negen domeinen die met het platform zijn geassocieerd en getroffen waren. “In een periode van circa 45 minuten op 31 okt (UTC) wijzigde een account binnen een bijbehorend supportteam de nameservers van 15 domeinen geregistreerd bij name.com,” zei Name.com in een post-mortem. “De domeinen werden doorgestuurd naar een kwaadaardige pagina die Step Drainer-malware hostte.”

Todyl heeft bekendgemaakt dat een onbekende dreigingsactor gestolen Microsoft Entra ID-applicatiecredentials en Azure DevOps-identiteiten heeft misbruikt om toegang te krijgen tot Microsoft 365- en Azure-omgevingen van MSP’s, en daarbij ten minste 27 organisaties te bereiken. “Ongeveer 45 app-registraties bij ruwweg 18 organisaties werden getarget, en meer dan 33 daarvan authenticeerden succesvol,” zei Todyl. “Via die apps heeft de actor tot nu toe 27 organisaties bereikt, inclusief de downstream-klanten van MSP’s in overheid, energie, voedsel en landbouw, transport, bouw en engineering, juridische sector, onderwijs en non-profitorganisaties. Er zijn zoekopdrachten uitgevoerd over ongeveer 25 tenants, 81 bestanden gedownload en ongeveer 2.279 mailboxitems benaderd.” De aanmeldactiviteit is afkomstig van IP-adres 199.19.77[.]84.

Ahmad Umar Agha (ook bekend als Th3Pr0), een Syrische staatsburger met banden met de Syrian Electronic Army (SEA), is in de VS veroordeeld tot 42 maanden gevangenisstraf voor zijn betrokkenheid bij een uitgebreide hackcomplot georganiseerd en geleid door leden van het regime van voormalig Syrisch president Bashar Al-Assad tussen augustus 2011 en januari 2014. “Om de propaganda van de voormalige Syrische regering te verspreiden, hackte Agha ongeveer 47 westerse media-entiteiten, bedrijven, niet-gouvernementele organisaties (ngo’s) en Amerikaanse en geallieerde overheidsinstanties,” zei het ministerie van Justitie. “In één geval veroorzaakten Agha’s acties een flash crash op de Amerikaanse aandelenmarkt, wat resulteerde in een tijdelijke $136 miljard waardeverlies in de aandelen die de Dow Jones Industrial Average vormen.” Agha en zijn vermeende medeplichtige, Firas Dardar, werden oorspronkelijk in juni 2014 aangeklaagd. Dardar is nog voortvluchtig.

Een nieuw stuk malware is waargenomen dat AI-agents target die cryptocurrency-wallets aanmaken. “Een GitHub-repository die zich voordoet als een Solana starterkit, en die als topresultaat verschijnt wanneer een agent ernaar zoekt, bevat malware die een aanvaller op afstand controle geeft over de machine van het slachtoffer, inclusief de crypto-wallets erop,” zei AIR Security. De activiteit heeft de codenaam SolanaCry gekregen. De aanval bouwt voort op het Web Hole-principe, waarbij een AI-agent, in zijn zoektocht naar antwoorden op een probleem, per ongeluk een opdracht kan uitvoeren die door een aanvaller wordt voorgesteld en zo kwaadaardige acties uitvoert. “Om een payload in zoekresultaten te krijgen, heeft een aanvaller twee opties,” zei AIR. “De eerste is een eigen site bouwen en deze reputatie op laten bouwen met SEO, backlinks, content en tijd, totdat de zoekmachine het als relevant en betrouwbaar beschouwt. Zodra het rankt, veranderen ze de inhoud en plaatsen ze de payload. De tweede is eenvoudiger: vind dode sites die nog steeds als gerangschikte resultaten verschijnen en gebruik die om het te leveren.”

Duizenden Android-telefoons van retailbankklanten in het Midden-Oosten, Turkije en Afrika (META)-gebied werden gecompromitteerd met de Mirax-trojan tussen maart en september 2026, wat naar schatting miljoenen dollars aan verliezen veroorzaakte. “Waar niet-geautoriseerde internationale overboekingen werden gerapporteerd, werd geld naar rekeningen in het buitenland gestuurd, waarvan sommige vermoedelijk mule-accounts zijn,” zei Group-IB. “De campagne gebruikt dynamisch gegenereerde pakketnamen en doet zich voor als ‘Google Play Services’ om gebruikerswantrouwen en signature-gebaseerde detectie te omzeilen.” Net als de meeste Android-malware wordt Mirax gebruikt om device takeover (DTO)-fraude te faciliteren door misbruik van Android’s toegankelijkheidsdiensten. “Hiermee kan de aanvaller het gecompromitteerde apparaat in realtime zien en controleren: inloggegevens lezen, eenmalige codes onderscheppen, de PIN vastleggen om het apparaat later te ontgrendelen, een bankapp openen en geld overmaken naar nieuw toegevoegde begunstigden en mule-accounts in het buitenland,” zei Group-IB. Campagnes met Mirax worden toegeschreven aan Aquafina, een dreigingsactor die sinds 16 maart 2026 actief zou zijn.

Irregular’s evaluatie van Zhipu AI’s open-weight-model GLM-5.3 over 13 offensieve cyber-scenario’s met CyScenarioBench vond dat het model “geen van de geteste offensieve taken weigerde” en “herhaaldelijk tot correcte antwoorden kwam terwijl het expliciete taakinstructies schond.” Het AI-beveiligingsbedrijf zei dat deze schendingen kunnen worden geïnterpreteerd als een vorm van reward hacking. “Alleen het antwoord belonen kan capaciteitsbeoordelingen en inzetbeslissingen misleiden, terwijl het tijdens training belonen deze instructie-schendingen kan versterken,” voegde het toe.