Signals · Threat intelligence

Ze braken niet in. Ze logden in.

Infostealers en overgenomen ontwikkelaarsaccounts laten zien dat aanvallers steeds vaker geldige sessies gebruiken in plaats van kwetsbaarheden. Dit is wat bestuurders in Nederland en het Verenigd Koninkrijk nu moeten nagaan.

Door Gouresh Kamble, Amon Dîn · · 5 min lezen

Een gloeiende amberkleurige sleutel en een inlogkaart met een schild en hangslot, met amberkleurige datastromen richting een stenen wachttoren met baken op een berg onder een donkerblauwe hemel

Veel bestuurders zien een cyberaanval nog steeds als iemand die een deur forceert. De afgelopen twee weken lieten zien dat de aanvaller vaker gewoon een sleutel heeft.

Tussen 8 en 12 oktober wist de langlopende GhostAction-campagne de GitHub-accounts van ongeveer 1.900 ontwikkelaars over te nemen en daarmee meer dan 30.000 repositories aan te vallen, aldus GitGuardian. Elke kwaadaardige wijziging werd gedaan onder de eigen identiteit van het slachtoffer. Volgens The Hacker News kwam die toegang hoogstwaarschijnlijk uit gelekte toegangstokens in infostealer-logs of gelekte wachtwoordbestanden. De workflows deden zich voor als een "security audit", maar waren bedoeld om cloudsleutels, deployment-inloggegevens en API-sleutels van AI-diensten buit te maken.

Tegelijkertijd volgen onderzoekers wat infostealer-malware tegenwoordig verzamelt. Symantec meldde op 15 oktober dat de Aoki-stealer sinds kort ook inlog- en sessiebestanden van AI-codeerassistenten steelt, naast de gebruikelijke browserwachtwoorden en gegevens uit wachtwoordmanagers. Barracuda beschrijft dezelfde verschuiving: stealers nemen complete browseridentiteiten mee, inclusief sessiecookies en tokens, en met een gestolen sessie kan de bescherming van multifactorauthenticatie worden omzeild.

Waarom dit Nederlandse en Britse organisaties raakt

Hiervoor is geen kwetsbaarheid in uw systemen nodig. Er is één laptop voor nodig, vaak een privé-apparaat of dat van een externe, waarop een nepdownload of een nep-CAPTCHA wordt geopend. De gestolen sessie werkt daarna vanaf elke plek, en in uw logging ziet het eruit als een gewone, ingelogde gebruiker.

De wetgeving beweegt aan beide kanten van de Noordzee dezelfde kant op. In Nederland is de Cyberbeveiligingswet sinds 15 augustus van kracht. Daarmee gelden de NIS2-verplichtingen voor zorgplicht, meldplicht en bestuurlijke verantwoordelijkheid voor veel meer organisaties. In het Verenigd Koninkrijk bereikt de Cyber Security and Resilience Bill op 26 oktober de Report stage in het House of Lords. Zoals Hill Dickinson samenvat, zouden managed service providers en datacenters onder de wet gaan vallen, met een eerste incidentmelding binnen 24 uur.

Beide regimes gaan ervan uit dat u snel ziet wanneer er iets mis is. Bij een aanvaller die inlogt in plaats van inbreekt, is dat precies het lastige deel.

De vraag is niet meer of uw wachtwoorden sterk genoeg zijn. De vraag is of u zou merken dat iemand anders een geldige sessie gebruikt.

Hoe het wel goed gaat

De richtlijn van het Britse NCSC over het herkennen van verdacht gebruik van inloggegevens begint op een logische plek: weet wat normaal is voor uw belangrijke accounts, zoals gebruikelijke locaties, werktijden en apparaten, zodat afwijkingen opvallen. Daarnaast maken een paar gewoonten het grootste verschil.

Behandel sessies en tokens als inloggegevens. Een wachtwoordreset beëindigt niet altijd een actieve sessie. Uw incidentdraaiboek hoort sessies en refresh-tokens in te trekken, niet alleen wachtwoorden te wijzigen.

Beperk de levensduur van geheimen. Langlevende persoonlijke toegangstokens, API-sleutels in coderepositories en oude deployment-gegevens zijn precies waar GhostAction naar zocht, ook in verwijderde Git-geschiedenis. Roteer ze, geef ze zo min mogelijk rechten en kies waar mogelijk voor kortlevende inloggegevens.

Neem AI-tools mee. AI-codeerassistenten en agents hebben inmiddels toegang tot broncode, cloudomgevingen en data. Hun tokens verdienen dezelfde inventarisatie, rotatie en monitoring als die van een beheerder.

Kijk of uw organisatie opduikt in gestolen data. Infostealer-logs en gelekte inloggegevens worden openlijk verhandeld op criminele markten. Monitoring op uw domeinen en medewerkers in die data geeft vaak de vroegste waarschuwing dat een sessie in verkeerde handen is.

Betrek leveranciers en privé-apparaten. Veel besmettingen beginnen op apparaten die u niet beheert. Vraag uw managed service providers hoe zij de sessies beschermen waarmee ze bij uw systemen komen, en beperk wat een onbeheerd apparaat mag benaderen.

Vijf vragen voor uw volgende directieoverleg

  • Kunnen we binnen een uur alle actieve sessies van een gecompromitteerde gebruiker intrekken, ook op cloud-, e-mail- en ontwikkelplatforms?
  • Weten we hoeveel langlevende tokens en API-sleutels er in onze repositories en pipelines staan, en wie er eigenaar van is?
  • Welke AI-tools hebben toegang tot onze code, cloud of data, en zijn hun inloggegevens geïnventariseerd en worden ze geroteerd?
  • Zouden we via onze eigen monitoring ontdekken dat inloggegevens van een medewerker in een infostealer-log staan, of pas via een derde?
  • Als dit op vrijdagavond gebeurt, kunnen we dan voldoen aan een meldtermijn van 24 uur onder de Cyberbeveiligingswet of het komende Britse regime?

Is het antwoord op een van deze vragen "dat weten we niet zeker", dan is dat het signaal om als eerste op te pakken.

Bronnen

← Alle Signals