Na Antwerpen ondervindt gemeente Diest ook cyberaanval

De Vlaamse gemeente Diest heeft te maken met een cyberaanval. Daardoor zijn de dienstverlening van de stad, de bibliotheek, verschillende scholen en het cultuurcentrum niet of verminderd bruikbaar.

De gemeente Diest moest de aanval wereldkundig maken via Facebook, schrijft onder andere HLN. Burgemeester Christophe De Graef meldt via de krant: “Dat betekent dat we geen e-mails ontvangen of kunnen beantwoorden. Er kunnen geen documenten gedownload worden. Maar ook het aanvragen van een identiteitskaart of rijbewijs is niet mogelijk. Aangiftes van geboorten of overlijden kunnen niet geregistreerd worden. Voor dringende zaken blijven we wel telefonisch bereikbaar, maar inwoners een nieuwe afspraak geven, is op dit moment ook niet mogelijk. We zoeken momenteel naar hoe we dit kunnen oplossen. Hier hopen we in de loop van de namiddag meer over te weten.”

Of er documenten zijn gestolen of ransomware is geïnstalleerd, is op dit moment niet bekend. Voorlopig is er in ieder geval nog geen losgeld gevraagd. Een voor de hand liggende vraag is of hackerscollectief Play, dat vandaag de verantwoordelijkheid heeft opgeëist voor de hack op de gemeente Antwerpen, ook achter deze hack zit. De bekende Belgische ethische hacker Inti De Ceukelaire vermoedt dat dat niet het geval is; hij denkt dat Diest met zijn 24.000 inwoners niet aantrekkelijk genoeg is als doelwit.

Reacties (46)

[telenut]

Wie zich afvraagt wat er in de FAQ staat van zo een hackerspagina, dit is deze van PLAY, degene die Antwerpen hebben gehacked:

PLAY FAQ

- What happened?
- We infiltrated your network, thoroughly investigated, stole all important, personal, private, compromising information, including databases and all documents valuable to you, encrypted your data, making them inaccessible for use.

- How can i get my organization back to normal?
- The first thing you need to do is leave your contact in the feedback form, after that we will contact you and discuss the terms of the deal.
Deal scenario:
1. You send several small files for decryption, we decrypt them and send it back to you, thus proving our technical ability to decrypt your network.
2. Right before payment, you must again send several small files for decryption, after receiving the decrypted files, you pay the price we indicated to our wallet.
3. Within a one hour after receiving the payment, we permanently delete your files from our storage, and send you a decryptor* with detailed instructions.
4. You decrypt your systems, and return to normal operation.

*The speed of the PLAY Decryptor is comparable to the speed of the PLAY, also, if during the encryption process you urgently de-energized your network, this will not affect decryption, PLAY Decryptor uses the validation of encrypted sections.

- How can i trust you?
- We monitor our reputation. We are not an affiliate program, this guarantees the secrecy of deals, there are no third parties who decide to do otherwise than their affiliate partners.

- What happens if we don't pay?
- in case of non-payment, we will publish your data. It is highly likely that you will receive claims from individuals and legal entities for information leakage and breach of contracts, your current deals will be terminated. Journalists and others will dig into your documents, finding inconsistencies or violations in them. Your organization will lose its reputation, shares will fall in price,some organizations will be forced to close. This is incomparable to the payment for a decryptor.

- What makes up the price?
- All customers are given a reasonable price, we study income, expenses, documents, reports and more before setting a price.

- Can I get a file tree of stolen information?
- Yes, only after payment, before deleting the archive, we can inform you.
During the deal, this information is not disclosed.

information publishing scheme:
After the attack, you have some time to contact us, if the dialogue started and we came to an agreement, your organization does not appear on the portal, no one knows about what happened.
If the company does not get in touch, first a topic about the organization is published, then in case of repeated ignoring, all information of the organization is published.

common recommendations:
Do not contact the FBI, police, or other government agencies. They do not care about your organization, they will not let you pay the ransom, which will entail the publication of files, after which courts, lawsuits, fines will begin.

Do not report the attack to anyone, because it can lead to rumors and information leaks, resulting in reputational losses. Remember, your organization is only valuable to you.

Do not contact recovery companies, technically they will not be able to help, negotiate on your own, avoiding intermediaries who want to make money on you, if you need technical support, involve your content_100093029530579650550 administrator.

[Azmodann]

Waar kan je die website vinden aub? (ik heb al vanalles ingetikt in een zoekmachine op het DW)

[telenut]

Heb ook lang moeten zoeken, maar hier staan ze zo goed als allemaal: https://github.com/hypowe...e-pr/blob/main/onions.txt

[Azmodann]

Super ,bedankt

[Katsu]

Dat laatste is al een beetje te laat, het parket heeft al een onderzoek gestart. En intussen is al gebleken dat crypto echt niet zo anoniem is als men denkt dus ik hoop dat deze droeftoeters snel opgepakt worden.

[seppevs]

Sommige crypto, zoals Monero, is wel degelijk anoniem / niet traceerbaar.

[kuurtjes]

Het is volledig anoniem.

Het verhandelen van die gestolen crypto naar andere valuta is hoe ze tegen de lamp lopen.

[Aardbol_23564]

Ook het spenderen ervan is vaak voldoende om geïdentificeerd te worden. Da's wel niet het geval met monero, maar wel met meerderheid van andere crypto

[MrMii6]

Ofwel worden hackers steeds slimmer, ofwel is de security van de gemiddelde stad/gemeente zo lek als een zeef. Ik gok op het tweede.

[wildhagen]

Zal denk ik meer een combinatie van beiden zijn.

Daarnaast: steeds meer organisaties (niet alleen gemeenten) betalen losgeld. Hoe meer organisaties dat doen, hoe lucratiever dit soort acties worden voor de dader-groepen.

[heggemusje]

Ook hier een economisch spelletje. Op een gegeven moment is het goedkoper om als (potentieel) slachtoffer toch maar te investeren in betere security, ipv losgeld. In wezen niks anders als het bouwen van dijken door Rijkswaterstaat. Daar kwam na de watersnoodramp van '53 ok opeens meer aandacht/geld voor.

[Houtenklaas]

Ik zou in ieder geval iets meer geld steken in een offline backup die ook dagelijks getest wordt op leesbaarheid op een gescheiden systeem. Een online backup (in de cloud) is inderdaad super makkelijk handig, maar tamelijk nutteloos bij een dergelijke aanval. Offline backuppen en gescheiden testen kost wat meer tijd inderdaad, maar ook daar zijn zaken te automatiseren (100 random bestanden CRC laten checken bijvoorbeeld en die per paar maanden afwisselen) om het toch weer NET iets makkelijker te laten verlopen. In Antwerpen en Diest weten ze nu ook waarom dat best wel handig had geweest.

Drempels opwerpen is prima inderdaad, maar voorkomt ook niet alles. Probleem één wat ik zie is dat alles maar lukraak aan het internet wordt geknoopt. Stop daar nu eens mee en vervang dat door een gesloten systeem, dat is óók een mooie eerste drempel, gewoon er niet bij kunnen komen.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 16:42]

[MilanSxD]

Offline backups zijn een stap in de goede richting.
Betekent wel dat je binnen de termijn van je oudste offline backup moet weten of je systeem is geinfecteerd. Wat tegenwoordig vaak het geval is, is dat ze een parameter omzetten waardoor een encryptie actief wordt. Een encryptie die inactief is kun je nog steeds uitlezen. Dus je zou dan ook elke backup moeten testen of encrpyties, die ook nog eens verstopt kunnen zijn. Op het moment dat je backups sinds de oudste backup al in de encryptie werden meegenomen, worden ze op het moment dat je de schijf aansluit meteen geëncrypt.

[Houtenklaas]

Vandaar ook testen op een gescheiden systeem

Een encryptie die inactief is kun je nog steeds uitlezen.

De backup is dan al wel degelijk ge-encrypt, maar wordt realtime decrypted tot inderdaad de switch omgaat. Maar dat is dus met een goede backupstrategie al voortijdig te zien.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 16:42]

[MilanSxD]

Op het moment dat je dit op een gescheiden systeem test, bijvoorbeeld een systeem zonder internet, op een virtuele omgeving, ga je niet makkelijk kunnen zien of hij is geëncrypt.
Hier zul je de backup dus gewoon kunnen terugzetten en denk je dat hij gewoon werkt en veilig is.
Je zou dan elke backup op een gescheiden systeem "GRONDIG" moeten inspecteren.

Doe je dat niet omdat je daar geen tijd voor hebt, of dat nu is omdat je niet genoeg handen/mensen/resources hebt, of omdat er gewoon te weinig aandacht aan wordt besteed, dan loop je dus het risico dat je gehele reeks offline backups is geëncrypt zonder dat je dat weet.

Test je de backup op een geschieden offline sysstem, dan werkt alles.
Zet je daarna het netwerk aan, en in de tussentijd is de parameter omgezet, dan wordt meteen je hele systeem onbruikbaar gemaakt.

Het kost dus gewoon heel veel tijd om offline backups grondig te inspecteren. Daarnaast moet je daar ook de kennis voor hebben. Ofwel, er moet geld worden besteed aan goede IT. Gebeurd dat niet dan ga je dit niet kunnen voorkomen. Ook niet met een gesloten offline backup systeem.

[Houtenklaas]

Op het moment dat je dit op een gescheiden systeem test, bijvoorbeeld een systeem zonder internet, op een virtuele omgeving, ga je niet makkelijk kunnen zien of hij is geëncrypt.

Help me even waar ik mis ga. Als ik een backup maak en een stel Word documenten, tekstbestanden, mysql bestanden uitlees op een fysiek gescheiden systeem elders. Waarom kan ik dan niet zien of ze ge-encrypted zijn?

Waar ik volledig met je meega, een goed IT kost gewoon geld aan goed personeel, middelen, mitigerende maatregelen, pen-testen en ga zo maar door. En dan nog wil het niet zeggen dat je de dans ontspringt. Zoals een meneer van een gerenommeerde kluizen fabrikant al zei dat hij geen onbreekbare kluizen verkoopt, maar "tijd". Als het iemand 5 dagen kost om een kluis open te krijgen en er is minstens elke 2 dagen iemand bij de kluis, dan gaat dat niet lukken. Het is dan ook een kwestie van de drempel zo hoog maken en meerdere "lines of defense" maken dat het niet meer de moeite loont om binnen te komen. Dan zijn er zat bedrijven waar het veel makkelijker is ...

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 16:42]

[MilanSxD]

De reden is dat tegenwoordig vaak een methode is gebruikt waardoor de bestanden nog niet daadwerkelijk zijn geëncrypt, maar in een voorbereidde staat.
Op het moment dat dan een waarde wordt omgezet, wordt de encryptie daadwerkelijk op actief gesteld. Dit merk je ook pas op het moment dat je verbinden krijgt met internet. Ja, je kan van bestanden de onderliggen meta data bekijken en zo zien of dit het geval is. Dit zou je dan wel bij een reeks bestanden moeten doen. Niet alle bitlocker software encrypt ALLE bestanden, maar alleen bestanden die door het algoritme van de bitlocker worden herkend als "Belangrijk". Denk aan persoonlijke informatie. Creditcard nummers e.d.

[Houtenklaas]

Dat veronderstelt een realtime verbinding met de malware en de backupschijf terwijl ik het toch duidelijk over een offline systeem had. Kan je me uitleggen hoe dit principe wat je beschrijft dan werkt met een offline backup? Ik probeer me voor te stellen hoe het dan "klaar" staat en wat het dan "activeert" maar ik zie dat niet zo voor me eerlijk gezegd.

[MilanSxD]

Je maakt een replica van je live systeem.
Je live systeem is toegankelijk.
Of dit nou via het internet is, of via de laptop van een medewerker.
Via die weg wordt het systeem 'klaargezet' voor encryptie.
Die status van de bestanden, inclusief de cryptolocker (Omdat die niet gedecteerd is), komt dan op de backup te staan. Wanneer je die offline hersteld, lijkt alles goed te zijn. De encrptie is namelijk nog niet daadwerkelijk gestart. Zie het een beetje als het opbouwen van een relationele database. De cryptolocker maakt een bestand met metadata waarmee bestanden veel sneller kunnen worden geëncrypt. Als je niet van dat bestand afweet, zul je niet zien dat je systeem is geinfecteerd. Dit zie je ook niet in een offline omgeving. Pas wanneer er verbinding komt met het netwerk, dus de cryptolocker maakt verbinding, via welke weg dan ook naar het internet, wordt de encryptie actief. Dan zou je dus de offline backups helemaal moeten uitpluizen om te kijken waar het euvel zit. Dan te beginnen bij de oudste backup in de hoop dat je tegen de tijd dat je de nieuwste terugzet de oorzaak en alle gerelateerde bestanden hebt verwijderd.

[Houtenklaas]

Bedoel je nu dat je de offline backup controleert met je replica van het systeem? Dan ben je echt dom bezig ... Data controleren doe je op een apart systeem en nooit met een replica van hetgeen je wilt controleren. Niet soms, niet af en toe, maar gewoon NOOIT. Wat je wil is: Kan ik mijn data (in)lezen, kan ik het reproduceren op een nieuw systeem etcetera. Maar echt nooit op de manier zoals jij omschrijft. Waarom? Je geeft zelf de reden al, omdat je mogelijk allerhande ongewenste meuk meeneemt. Precies daarom. En dat was hem wat mij betreft!

[MilanSxD]

Ik denk dat je mijn bericht verkeerd hebt begrepen.
Ligt niet aan jou, had ik het beter moeten verwoorden.
Maar ik denk dat we nu teveel ingaan op technische inhoud voor een Tweakers comment sectie.
Ik kan misschien wel een link vinden waar wordt uitgelegd hoe die nieuwe cryptolockers werken, dan kun je die op je gemak lezen.

[PhanToM__]

Ze zouden eerder de vraag moeten stellen wat het hen zal kosten als ze niet investeren in betere security/IT.

Als men die berekening eens zou doen, dan zou men denk ik heel rap investeren in een degelijk systeem.

[sOid]

Zo lek als een zeef? Nee. Kan het beter? Ja. Het is echter een zeer complex (applicatie)landschap.

Daarnaast zijn er absoluut steeds meer hackpogingen, in de brede zin van het woord. De Informatiebeveiligingsdienst (IBD), die gemeenten adviseert op het gebied van informatiebeveiliging, heeft in oktober dit jaar een nieuw dreigingsbeeld uitgebracht.

De drie meest opvallende dreigingen ten opzichte van 2 jaar terug (het vorige dreigingsbeeld):

• Meer ransomware, destructievere gevolgen
• Steeds meer en ernstiger kwetsbaarheden in software
• Gevaren in ketens uit het zicht

Hier het volledige document (PDF) https://www.informatiebev..._2023-2024_DEF-versie.pdf

[themadone]

Hoe complex het landschap ook mag zijn, je kan de voordeur dicht houden. 9 van de 10 keer staat citrix ongepatcht open of RDP .

Ik denk dat wat we nu zien het gevolg is van gebrekkig patchbeleid en de hackers hebben waarschijnlijk sinds de vorige een bak informatie in handen waarmee ze nu alle gemeenten af gaan als het tegen zit.

[ETH0.1]

dat is te kort door de bocht, als ze echt willen gaat het ze helaas lukken.

Ik werk voor een bedrijf wat succesvol aangevallen door hackers in een doelgerichte aanval, ze hebben zich binnen 2 dagen opgewerkt tot domainadmins en vanuit daar via meerdere lagen de boel verneukt. Ik moet daarbij eerlijkheidshalve bij vermelden dat ze 'hun werk' goed hebben gedaan en voor behoorlijk wat schade hebben gezordt.

gelukkig hadden wij onze shit op orde en hebben onze klanten bijna geen last ondervonden van onze problemen. enkel het gebrek aan patches heeft ons niet kunnen redden. (tijdens de recovery meerdere partijen gesproken die hebben aangegeven in het verleden nog nooit zo'n heftige en wijdverspreide aanval te hebben gezien)

[Reactie gewijzigd door ETH0.1 op 23 juli 2024 16:42]

[latka]

Ik denk een combinatie: het is blijkbaar lucratief om dit te doen dus gaan we het automatiseren. Dan kun je (met een script oid) heel snel ook de kleinere vissen hacken en wachten tot ze betalen of (automatisch) dumpen op 4chan oid.

[Groningerkoek]

Beiden. Dit soort hacks is inmiddels een professionele bedrijfsvoering geworden die in kantoren zijn gevestigd met verschillende afdelingen voor bijvoorbeeld financiën en customerservice.

[Frame164]

Wat zou jou advies zijn aan deze gemeentes? Hoe zou jij het geïmplementeerd hebben?

[CAPSLOCK2000]

Ofwel worden hackers steeds slimmer, ofwel is de security van de gemiddelde stad/gemeente zo lek als een zeef. Ik gok op het tweede.

En niet alleen bij steden en gemeenten. Steden en gemeenten zijn overheden en die zijn vaak wat eerlijker en opener dan bedrijven die niks aan de belastingbetaler hoeven uit te leggen.

[kuurtjes]

Nu hebben de hackers die op zo'n systemen geraken ineens een kans om 100k EUR te verdienen. Dat was er in de afgelopen jaren niet echt. Slimmer is dus een brede term omdat de systemen en hackers hetzelfde zijn gebleven, maar ransomware is gegroeid en is nu makkelijker te gebruiken door hackers/skiddies.
Het is nu de tijd om belangrijke systemen opnieuw op te zetten en bedrijven in te zetten die deze kunnen beveiligen en onderhouden. De prijs om dat allemaal te doen is ondertussen al goedkoper dan de imagoschade, mogelijke boetes, en de prijs die de hackers vragen.

[vverbeke]

De security hoeft niet zo lek als een zeef te zijn om binnen te geraken. Eén lek is voldoende. En ik ken het Belgische IT landschap voor lokale besturen vrij goed, het is een complex kluwen. Het zijn meestal niet de besturen zelf waar het probleem zit maar bepaalde van de gekende leveranciers voor overheden. Zoek een andere? Die zijn er helaas niet voor alles.

[Reactie gewijzigd door vverbeke op 23 juli 2024 16:42]

[KKose]

Wie zijn die hackers? Zijn ze vijanden? Werken ze voor de vijanden ( rus,chin..)? ..

[StrakSTe]

@KKose De grootste vijand zit meestal tussen de stoel en het toetsenbord .

[Frame164]

Met dat laatste moet je op dit forum oppassen. Er zitten nogal wat pro-Rus/Chi leden hier.

[kuurtjes]

Ik ben niet pro-rus of pro-china ofzo, maar kan je wel zeggen dat het meeste hackers Russisch zijn of zich voordoen als Russen en Chinezen. In Rusland wordt je veel moeilijker opgepakt als je je bezig houdt met cybercriminaliteit. De hackers die opgepakt worden zijn bijvoorbeeld zo goed als altijd op vakantie in andere landen.

Veel hackers uit andere landen proberen zich voor te doen als Russen en Chinezen. Hun servers worden gehost op voornamelijk Russische servers omdat buitenlande landen er zo goed als niet bijgeraken. Er zijn ook tal van hackers die hun perfect Engels een paar keer door Google translate halen om hun nationaliteit te verbergen.

Verder zijn de "vijanden" meestal gewoon hackers die het voor geld doen.

[PilatuS]

Ze hoeven niet voor overheden te werken. Gewoon geld verdienen is vaak het enige doel.

[JurGor]

Bedrijfsmatig gerunde criminele organisaties.

[apollo13]

"Aangiftes van geboorten of overlijden kunnen niet geregistreerd worden."

Hebben ze nog nooit van pen en papier gehoord?
Noteer dit en voer, als de it-systemen weer werken, deze in.

[Groningerkoek]

Het zou gewoon mogelijk moeten worden om dit bij een buurgemeente te doen. Op pen en papier is leuk maar aangaande het afsluiten van verzekeringen en het verkrijgen van Officiele akten om dingen stop te zetten schiet dat niet echt op.

[Erycius]

Loop maar eens in die stad rond zeg.

[Towerofpower]

Wat is daar te zien, Vlaamse taferelen?!

[Erycius]

Het was een verwijzing naar een oeroud mopje over Diest.
"Ik loop in $stad rond." Veel puberaler ga je mopjes niet vinden

[Xorbit17]

Ik kan iedereen de podcast 'Darknet diaries' op Spotify aanraden. Specifiek de aflevering over de REvil ransomware.

[X_pl0visi0n]

Lees als: we hebben alles gebaseerd op een inherent fragiel digitaal systeem & de deur laten open staan..
veel succes met jullie data, doei!

[Polderviking]

Staat weer helemaal niks aan details over de hack in het bericht maar de reacties lopen wel weer over van de waardeoordelen over al dan niet geïmplementeerde security.
Zo typisch altijd.