NL EN
Schedule a call

Eén op de vier ransomware-slachtoffers krijgt data niet terug na betaling

Uit het 2025 state of Ransomware report van onderzoeksbedrijf Delinea is gebleken dat 69% van de bedrijven wereldwijd te maken krijgt met ransomware en zelfs dat 27% van deze slachtoffers te maken krijgt met meerdere aanvallen.

Minder vaak, meer impact

Een trend die zich laat zien is dat ten opzichte van 2024 er minder organisaties daadwerkelijk losgeld hebben betaald, namelijk 57% ten opzichte van 76%.
Maar helaas staat daar tegenover dat 85% van deze slachtoffers ook te maken had met het openbaar maken van hun data, de zogenaamde extortion attacks waarbij bedrijven geld moeten betalen zodat de criminelen hun data niet publiceren.

Uit dit onderzoek is ook gebleken dat één op de vier slachtoffers hun data niet of niet helemaal heeft teruggekregen, zelfs na het betalen van losgeld. Dit onderstreept maar weer waarom het altijd een slecht idee is om het losgeld te betalen.

Dubbelrol voor AI

Ook is gebleken dat AI hierin een dubbelrol speelt:

Alleen backup niet meer voldoende

Met de toenemende trend van de extortion is het hebben van een backup als losstaande maatregel niet meer voldoende. Hoewel dit ervoor zorgt dat je je data kunt terughalen voorkomt dit niet dat criminelen jouw data kunnen uitlekken.

Ransomware evolueert snel, met AI-gestuurde aanvallen en extortion die net zo schadelijk zijn als encryptie. Hoewel minder organisaties losgeld betalen, nemen de aanvallen en hun gevolgen toe. Organisaties moeten daarom een proactieve beveiligingsstrategie hanteren: AI-ondersteunde detectie, zero trust, PAM en striktere toegangscontrole vormen de sleutel tot effectieve verdediging.

Politie haalt veelgebruikte malware-tool offline

De politie heeft de malware-testdienst AVCheck offline gehaald, waarmee cybercriminelen hun software onzichtbaar maakten voor antivirusprogramma’s. Deze actie, onderdeel van een internationale operatie, verstoort de verspreiding van malware en voorkomt nieuwe slachtoffers.

AVCheck

AVCheck was een zogenaamde counterantivirus wat inhoudt dat de service gebruikt kon worden om te testen of malware door een antivirus gedetecteerd zou worden of niet. Dit stelde de ontwikkelaars ervan in staat om hun malware zodanig aan te passen zodat het zo min mogelijk gedetecteerd werd of zelfs worden gebruikt om bepaalde producten te kunnen ontwijken voor gerichte aanvallen.

Offline gehaald

Een internationale samenwerking tussen verschillende instanties, waaronder de Nederlandse Politie en de Amerikaanse FBI, heeft ervoor gezorgd dat een populaire tool onder malware-ontwikkelaars genaamd AVCheck offline gehaald is. Daaraan gerelateerd zijn ook twee crypting services offline gehaald waarmee malware zodanig versleuteld kon worden dat het (zo goed als) onherkenbaar werd voor anti-virus oplossingen.

Tijdens de actie hebben de instanties het loginscherm van de dienst nagebootst om zo min mogelijk argwaan te wekken om vervolgens een bericht te tonen dat de site in beslag is genomen door overheden.

Operation Endgame & Project Melissa

Deze actie hangt nauw samen met de grotere Operation Endgame waarin verschillende malwarediensten offline zijn gehaald met als uiteindelijke doel om de dreiging van deze cybercriminelen te verkleinen.

In deze operatie is er ook nauw samengewerkt met bekende antiviruspartijen die samenwerken met diverse instanties onder de noemer Project Melissa om informatie te delen en samen te werken.

Microsoft maakt nieuwe accounts standaard wachtwoordloos

Microsoft maakt nieuwe accounts nu standaard wachtwoordloos om de beveiliging en het gebruiksgemak te verbeteren. Gebruikers hoeven geen traditioneel wachtwoord meer in te stellen, maar kunnen inloggen via passkeys, biometrische gegevens zoals vingerafdruk of gezichtsherkenning, of een eenmalige verificatiecode. Deze stap is onderdeel van Microsofts bredere strategie om wachtwoorden volledig uit te faseren en zo phishing en andere cyberaanvallen te verminderen.

Passkeys

Microsoft is al langer board member van de FIDO Alliance die sinds 10 jaar het gebruik van passkeys als een alternatief op wachtwoorden ontwikkelt en promoot. Volgens de FIDO Alliance wordt dit momenteel door meer dan 15 miljard accounts wereldwijd gebruikt.

Passwordless by default

Microsoft heeft recent aangekondigd dat alle nieuwe accounts vanaf heden automatisch passwordless zullen zijn door de standaardinstelling hierop aan te passen. Deze mogelijkheid was er al enige tijd, maar het bekende bedrijf uit Redmond heeft nu de interface zodanig aangepast dat de passkey default is, er is nog wel een mogelijkheid om een wachtwoord te gebruiken maar dat wordt afgeraden.

Microsoft passwordless sign
Microsoft passwordless sign in

Veiliger

Zoals wij al eerder schreven in ons blog zijn passkeys standaard een stuk veiliger dan het gebruik van wachtwoorden, plus in veel gevallen ook nog eens makkelijker in gebruik.

Zo’n passkey kan een smartphone zijn (in combinatie met bestaande biometrische beveiliging zoals FaceID of een vingerafdrukscanner) of een token als een YubiKey met een USB-aansluiting.

Door de inherente veiligheid van passkeys wordt het vrijwel onmogelijk om met een nagemaakte website credentials te achterhalen, de passkey weet immers dat de credentials bij een bepaalde website horen en zo’n nagemaakte phishing site valt hier niet onder.

Amerikaanse overheid stopt financiering van MITRE

De Amerikaanse non-profit organisatie MITRE, vooral bekend van het CVE-programma (Common Vulnerabilities & Exposures) wat één van de steunpilaren van de cybersecurity-industrie is heeft bekend gemaakt dat met ingang van 16 april de Amerikaanse overheid stopt met het financieren van dit programma.

CVE’s

CVE’s zijn één van de belangrijkste items binnen de cybersecurity wereld, aangezien dit een de facto standaard biedt waaruit iedereen informatie kan halen.
Sinds 1999 worden in het CVE programma worden kwetsbaarheden geïnventariseerd, gedefinieerd en bijgehouden.
Een CVE wordt daarbij aangemerkt als een SPOT (Single Point of Truth), omdat een CVE-nummer door een beperkt aantal instanties (ook wel CNA, CVE Numbering Authority) mag worden uitgegeven waarbij er het nodige werk vooraf gaat.

Financiering

Dit programma is jarenlang onder andere gefinancierd door de Amerikaanse overheid, maar dit houdt op per 16 april 2025 en is (helaas) nog niet verlengd.

Dit kan mogelijk verstrekkende gevolgen hebben als er een onderbreking in de dienstverlening plaatsvindt, waardoor het niet ondenkbaar is dat er geen nieuwe CVE’s kunnen worden aangemeld als MITRE een storing heeft.

De vicepresident van de MITRE Yosry Barsoum schrijft daarover het volgende in een brief naar CVE board members:

“If a break in service were to occur, we anticipate multiple impacts to CVE, including deterioration of national vulnerability databases and advisories, tool vendors, incident response operations, and all manner of critical infrastructure.”

Wereldwijd belang

Voor een grootschalig en internationaal probleem zoals cybersecurity is het zeer belangrijk dat er een onafhankelijke en centrale database zoals CVE is, omdat samenwerking tussen organisaties vanuit verschillende aspecten met een gedeelde bron van informatie een essentieel onderdeel hiervan is.

Wij van RiskGuard hopen dan ook ten zeerste dat dit programma doorgang kan vinden en zullen ons inzetten om hierbij te ondersteunen waar mogelijk en indien nodig.

Microsoft dicht actief gebruikt zero-day lek in Windows

Microsoft heeft recent updates uitgebracht die een zero-day kwetsbaarheid in vrijwel alle versies van Windows oplost. Deze kwetsbaarheid werd volgens diverse onderzoeken ingezet in ransomware-aanvallen om privilege escalation te doen.

CVE-2023-28252

Het betreffende lek (CVE-2023-28252) maakt gebruik van een kwetsbaarheid in Common Log File System (CLFS) binnen Microsoft Windows in zit in zowel Server- als clientedities. Dit onderdeel wordt gebruikt om applicaties en services snelle toegang te geven tot logging en is beschikbaar voor vrijwel elke applicaties, ongeacht het niveau.

Privilege escalation

Door dit lek te gebruiken kan een aanvaller een privilege escalation uitvoeren, oftewel de rechten verhogen naar SYSTEM niveau, wat het hoogste niveau is binnen Windows. Door het verschaffen van deze rechten kan een volledig systeem gecompromitteerd worden.

Ransomware aanvallen

Volgens onderzoeken van Microsoft zelf en onder andere ook Kaspersky is deze CVE gebruikt in recente ransomware-aanvallen om systemen over te nemen. Kaspersky heeft waargenomen dat de ransomware-bende “Nokoyawa” voornamelijk deze methodiek gebruikt waarbij vooral MKB-bedrijven in het Midden-Oosten en Noord-Amerika werden aangevallen.