MIVD vindt Chinese spionagesoftware op Fortinet-systeem van krijgsmacht

De Nederlandse Militaire Inlichtingen- en Veiligheidsdienst heeft Chinese spionagesoftware gevonden op een losstaand netwerk van de Nederlandse krijgsmacht. De Coathanger-malware gebruikte een al bekende kwetsbaarheid in FortiGate-apparaten.

De malware werd tijdens een incident response-onderzoek gevonden op een losstaand computernetwerk van Defensie, zo meldt de MIVD. Dat netwerk werd gebruikt voor niet-vertrouwelijk onderzoek. "Doordat dit systeem op zichzelf stond, leidde dit niet tot schade aan het netwerk van Defensie", benadrukt de MIVD.

De malware betrof een remote access trojan, 'een gerichte persistente malware die buiten het zicht van traditionele detectiemaatregelen opereert en specifiek voor FortiGate-apparaten is ontwikkeld', schrijft het Nationaal Cyber Security Centrum. De malware kon geïnstalleerd worden via een FortiOS-kwetsbaarheid die in november 2022 door Fortinet is gepatcht. Volgens het NCSC is de Coathanger-malware kenmerkend omdat deze niet wordt gebruikt om toegang te verkrijgen tot systemen, maar om bestaande toegang te behouden.

Het NCSC heeft een technisch rapport over de malware uitgebracht. Demissionair minister van Defensie Kajsa Ollongren zegt dat het rapport is uitgebracht omdat het 'belangrijk is om dergelijke spionageactiviteiten aan China te attribueren'. "Zo verhogen we de internationale weerbaarheid tegen dit soort cyberspionage." FortiGate-gebruikers kunnen bovendien vaststellen of ze slachtoffer zijn en maatregelen treffen. De MIVD vraagt organisaties die Coathanger aantreffen zich te melden bij de inlichtingendienst.

Reacties (114)

[wildhagen]

De Coathanger-malware gebruikte een al bekende kwetsbaarheid in FortiGate-apparaten.

[...]

De malware kon geïnstalleerd worden via een FortiOS-kwetsbaarheid die in november 2022 door Fortinet is gepatcht.

Hier zakt mijn broek van op de enkels. Hoe kan het dat een instantie als nota bene Defensie, meer dan een jaar lang een reeds bekend, en gepatched door de leverancier, lek niet dicht?

Dat je niet alles binnen een week na release van een patch installeert snap ik, je moet grondig testen. Maar hier gaat het om een periode van een maand of 15, dat is imho niet goed te praten.

Dat het om een niet-vertrouwelijk en niet-kritiek netwerk gaat is leuk, maar zou imho geen excuus mogen zijn voor zo'n basaal beveiligingslek.

Is het patchbeleid bij Defensie zo slecht op orde? Is dit iets incidenteels, of iets structureels? Want je gaat dan toch twijfelen welke lekken er nog meer open staan bij Defensie.

[T-Forever]

Zou dit netwerk niet een Honey Pot kunnen zijn? Zo vergaar je kennis die je anders niet zou hebben, om hiermee het bedrijfsleven dat normaliter geen prioriteit stelt aan IT zaken te waarschuwen.

Makes sense.

[dutchgio]

Verklaart wel waarom het pas later aan het licht kwam en het een afgesloten netwerk betreft dat verder geen impact heeft.

[HooksForFeet]

Als het systeem niet voor geclassificeerde gegevens wordt gebruikt dan lijkt het me logisch om het los te houden van systemen waar die gegevens wel worden gebruikt.

(Volgens de MIVD werd het gebruikt voor “ongerubriceerde research and development” maar ik heb geen idee wat dat inhoudt. Tweakers interpreteert het in elk geval als “niet-vertrouwelijk”.)

[Reactie gewijzigd door HooksForFeet op 22 juli 2024 19:39]

[nst6ldr]

(Volgens de MIVD werd het gebruikt voor “ongerubriceerde research and development” maar ik heb geen idee wat dat inhoudt.)

"Ongerubriceerd" betekent dat de informatie niet is voorzien van een beveiligingskenmerk, wat 9 van de 10 keer inhoudt dat er geen 'geheime' zaken op het netwerk stonden. In combinatie met R&D doet me vermoeden dat het om een aparte 'vuile' internet bubble gaat waar dingen op uitgeprobeerd worden.

[Houtenklaas]

Ik lees het als "werkwijze en modus operandi in kaart brengen" van de tegenpartij en dat waarschijnlijk de tegenpartij het nu wel in de gaten had. Dan is het nog even melden aan de buitenwereld, even aan de politiek laten weten dat ze de investering waard zijn en dat is hem. Ik heb niet het idee dat er bij de MIVD een stel onwetende IT'ers zitten, integendeel ...

[Aldy]

Ik denk dat ze bij de MIVD heel wat wijzer zijn geworden het afgelopen jaar. Dat had nooit gebeurd als ze direct de spionagesoftware verwijderd hadden.

[HooksForFeet]

Kijk, dit is interessant. Dank!

[dasiro]

dat was ook mijn eerste vermoeden: "een losstaand netwerk voor niet-vertrouwelijk onderzoek" in combinatie met "De MIVD vraagt organisaties die Coathanger aantreffen zich te melden bij de inlichtingendienst." klinkt als "we willen kijken hoeveel van deze FW's kwetsbaar waren/zijn, mogelijks omdat ze zelf te weinig data hebben over de herkomst.

[kodak]

Bij een besmetting gaat het gewoonlijk om onbedoeld verspreiden van malware en ongewenst gebruik in een systeem. Niet om het opzettelijk toestaan van gebruik om het dan gemakshalve een besmetting te noemen omdat een ander niet wist dat het kunnen gebruiken de bedoeling was. Het besmetten zal dus eerder niet helemaal bedoeld zijn geweest.

[Baserk]

Idd, defensie netwerk zonder vertrouwelijke gegevens en niet verbonden met overige defensie netwerken.
'Einladung zum tanzen'...

[HooksForFeet]

Er staat niet dat het lek niet gedicht is. Er staat dat de malware geinstalleerd kon worden via het lek. Dat kan dus gebeurd zijn voordat de patch uitkwam.

[wildhagen]

Jep, en dat had men ontdekt of kunnen ontdekken, als men het advies van het NCSC had opgevolgd:

Het NCSC adviseert om de beschikbaar gestelde beveiligingsupdates zo spoedig mogelijk te installeren. Daarnaast wordt geadviseerd om FortiOS SSL-VPN-systemen te controleren op aanwezigheid van de gedeelde IoC's.

En dat laatste lijkt dus niet gebeurd te zijn, of minstens in onvoldoende mate. Getuige dat de malware er dus op stond (of nog steeds erop stond).

Als je niet weet of een systeem gecompromitteerd is, neem je het zekere voor het onzekere, en wipe je het device en zet je daarna de configuratie terug uit de backup die je als het goed is periodiek maakt. Met securityzaken wil je gewoon geen onnodige risico's lopen.

Voor een commercieel bedrijf is dat nog tot daaraan toe dat je dat niet doet (dan heb je vooral jezelf er mee), maar bij een instantie als Defensie vind ik dit niet heel erg netjes, zeg maar.

[HooksForFeet]

Welke backup? Als je niet weet of je systeem gecompromitteerd is dan weet je ook niet wanneer het dat nog niet was, en weet je dus niet hoe oud de backup is die je terug moet zetten.

En waarom hadden ze in dit geval het systeem moeten wissen en een backup terug moeten zetten? Omdat er een security patch voor het apparaat is uitgebracht? Je neemt die stap pas als het aannemelijk is dat je geïnfecteerd bent, niet als er een nieuw beveiligingslek wordt gedetecteerd, want dan ben je iedere dag je systeem aan het wissen en backups van dag 1 terug aan het zetten.

[wildhagen]

Welke backup? Als je niet weet of je systeem gecompromitteerd is dan weet je ook niet wanneer het dat nog niet was, en weet je dus niet hoe oud de backup is die je terug moet zetten.

Geen backup van je hele OS uiteraard, precies om de reden die je zelf al noemt, je weet niet of die ook al niet gecompromiteerd is.

Maar je backupped/exporteert als het goed is periodiek ook apart je rulesets die je in de Fortinet-appliance hebt staan (in lekentaal "de firewall rules", maar het is natuurlijk meer dan alleen dat). Dat is geen code die iets uitvoert oid, dat zijn gewoon rule-definities. Die kan je dus wel gewoon terugzetten en opnieuw op je net gewipete (en gepatchede....) device importeren en dan pushen naar de rest van het Fortinet-cluster.

[HooksForFeet]

Dus je raadt aan bij iedere beveiligingspatch van een leverancier het hele systeem te wissen, opnieuw te installeren en backups met configuratie terug te zetten? Dat lijkt me onwerkbaar.

[smartsys]

Maar het is wel veiliger.

[HooksForFeet]

Het is nog veiliger om het elke vijf minuten te doen, maar pragmatisch gezien zou ik het houden bij vermoedens van infectie.

[Mellow Jack]

Backups zijn voor data firewall deployen doe je tegenwoordig o.b.v. code

Maar ja, ergens heb je zeker gelijk, als je geïnfecteerd bent of een grote kans hebt op dan ga je direct offline. En in dit geval is het niet perse de firewall met een lek maar de vpn feature. In zo'n situatie is dr vaak de mogelijkheid drastische maatregelen te nemen door bijv het terugzetten van een backup (als ze daar niet ook in zitten). Maar vaak is dat best spannend. Beetje hetzelfde als een discussie voeren met Windows beheerders over active directory backups
Iedereen heeft ze, vrijwel niemand durft ze te gebruiken

Maar ergens is dat pragmatische ook wel interessant. Ik heb onze defensie niet zo hoog zitten (te weinig personeel en budget) maar stel je voor... Ze hebben ergens een flut netwerkje, ze zien dat iemand binnenkomt, ze gebruiken het om:
1. Te zien hoe zo'n partij te werk gaat
2. Te gebruiken om tegen de wereld te zeggen "China is gevaarlijke"
3. Te gebruiken om tegen je samenleving te zeggen dat security belangrijk is

Soort van win win win situatie en tegelijkertijd geven ze net te weinig context om te weten hoe het e.e.a. echt in elkaar zit:p

[Reactie gewijzigd door Mellow Jack op 22 juli 2024 19:39]

[Frame164]

Maar dan vliegt de A van CIA wel flink omlaag.

[SunnieNL]

Als het NCSC en de leverancier het aanraadt om dit te doen bij de installatie van de patch, waarom zou je dan zo eigenwijs zijn dit niet te doen? Zelfs al komt dat advies een maand na het uitbrengen van de patch, dan is het wel handig dat op te volgen.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 19:39]

[HooksForFeet]

Dat is niet het advies van de NCSC, noch van de leverancier.

[Reactie gewijzigd door HooksForFeet op 22 juli 2024 19:39]

[Booster]

Dat exporteren en terugzetten van definities is vast een mogelijkheid. Zonder IoC is dan de vraag wat je beleid of keuze is. Ga je na elke ontdekte kwetsbaarheid, alle machines die kwetsbaar waren (maar niet per definitie gecompromitteerd) van scratch opnieuw installeren met de patch, ook als er geen IoC zijn?

In het antwoord op die vraag spelen een hoop dingen mee. Natuurlijk heeft het voordelen voor de veiligheid, maar dat is niet het enige in de weegschaal. Prioritering van belangrijke netwerken, beschikbaarheid van mensen, planning, etc.

En áls je dan eenmaal toch IoC ontdekt, dan kan ik me vanuit de MIVD voorstellen dat je opnieuw risico's inschat. Misschien was het op dat moment in het landsbelang om de malware eerst maandenlang te bestuderen in plaats van te verwijderen.

[Reactie gewijzigd door Booster op 22 juli 2024 19:39]

[dutchgio]

Maar dan moeten die IOCs wel bekend zijn. Dan kun je er wel op controleren maar vind je dus alsnog geen hits.

[Llopigat]

Een IoC is een indicator of compromise, bijvoorbeeld een signature/hash of een bepaalde string.

Het is de vraag of deze al bekend was als malware.

Dit is ook de reden dat antimalware software steeds meer richting de behavioral/AI kant gaat, in plaats van zoeken naar bekende malware kijken ze naar verdacht gedrag van software. Zeker bij een high profile target als defensie.

[Cergorach]

Jep, en dat had men ontdekt of kunnen ontdekken, als men het advies van het NCSC had opgevolgd:

Als je even op onderzoek was gegaan naar wat die 'coathanger' malware doet, dan nee dat zou niet hebben gewerkt:

“It hides itself by hooking system calls that could reveal its presence. It survives reboots and firmware upgrades,”

Het gat wat er was is gebruikt om die 'coathanger' malware naar binnen te hengelen om zich vervolgens te verstoppen en toegang zonder dat beveiligingsgat te behouden. Die malware was tot op heden nog niet bekend, dus ook geen mogelijkheid om naar te zoeken als je niet weet van het bestaan ervan. Men is er dus recent achter gekomen dat het bestaat.

Natuurlijk blijft de vraag, zit dit al anderhalf jaar in dat netwerk? Of is dat gat niet tijdig gepatched en als dat het geval is, is dit expres niet gepatched of is dit nalatigheid geweest. Dat kunnen we alleen maar speculeren, want ik verwacht niet dat we ooit het antwoord daarop zullen krijgen. MIVD vond het ontdekken van dit stukje malware zo belangrijk dat ze het met minimale informatie over de exacte omstandigheden naar buiten heeft gebracht, waarschijnlijk zodat andere security teams naar dergelijke malware op zoek kunnen gaan...

[xxs]

Ik kan uit het rapport niet opmaken of de infectie heeft plaatsgevonden voor- of nadat de patch is uitgekomen.

Wel dat de infectie pas een jaar nadat de patch is vrijgegeven is ontdekt.

[Reactie gewijzigd door xxs op 22 juli 2024 19:39]

[wildhagen]

Dat klopt. Maar dan hadden ze na het patchen ook die malware moeten detecteren en verwijderen, en hem niet maanden, of meer dan één jaar, laten zitten. Dat is ook wat nota bene het NCSC zelf als advies gaf op dat lek uit november 2022:

Het NCSC adviseert om de beschikbaar gestelde beveiligingsupdates zo spoedig mogelijk te installeren. Daarnaast wordt geadviseerd om FortiOS SSL-VPN-systemen te controleren op aanwezigheid van de gedeelde IoC's.

(IoC is dus Indicator of Compromise, oftewel tekenen dat er misbruik gemaakt is).

Dat is dus kennelijk niet, of op zijn minst onvoldoende, gebeurd. En dat vind ik een kwalijke zaak voor een instantie als Defensie. Ook al gaat het om een niet-kritiek netwerk.

[HooksForFeet]

Het kan ook nog dat ze daar wel op hebben gecontroleerd, maar dat de malware geen (destijds bekende) IoC's heeft achtergelaten.

Uit het rapport: "The COATHANGER malware is stealthy and persistent. It hides itself by hooking system calls that could reveal its presence."

[Reactie gewijzigd door HooksForFeet op 22 juli 2024 19:39]

[xxs]

Eens, mogelijk hebben ze eerst de werking volledig willen doorgronden of om eventueel mee te kijken met de misbruikers hiervan om zo meer informatie te vergaren? Een soort van toch al geinfecteerde en geisoleerde honeypot?

We kunnen ze wel om een reactie vragen maar ik verwacht hier geen antwoord op.

Edit: typo’s

[Reactie gewijzigd door xxs op 22 juli 2024 19:39]

[locke960]

Of ze hebben het wel erkent en besloten de hackers een jaartje in de gaten te houden, valse informatie te voeren en de evolutie van de malware monitoren.

Alles is mogelijk, van totale incompetentie tot een totale boss mode counterintelligence operatie.
We hebben het over de cloak-and-dagger brigade, dus goede kans dat we er nooit het fijne van zullen weten, zelfs niet als ze een compleet verhaal naar buiten brengen

[DaniëlWW2]

Nee, dit is persistent malware. Zodra dit binnen is, dan helpt de kwetsbaarheid patchen niet meer. Want via de kwetsbaarheid is die malware, COATHANGER, al binnengekomen, heeft zichzelf deployed en zichzelf zo ingenesteld dat regulier beheer, het niet kan verwijderen.

Het hele punt hiervan is ook dat het een opening is aan de rand van je netwerk, waar juist security tooling ook moeite heeft om dit te detecteren. Dit is het soort malware waarvoor je eerder een XDR + SIEM nodig hebt om uiteindelijk alle losse stukjes informatie aan elkaar te kunnen knopen en dit te detecteren. Dat Defensie aangeeft dat het om een randnetwerk ging, geeft ook aan dat ze hun interne netwerksegmentatie wel op orde hebben, in ieder geval voor dit sub netwerk.

En de verdenking gaat waarschijnlijk meteen naar de CCP omdat ze bekend staan om dit soort malware die systemen leeg trekt voor informatie. Het doel is geen schade aanrichten aan de netwerken en systemen. Het doel is zo lang mogelijk, onopgemerkt informatie verzamelen.

[satya]

Maar de waar ga je monitoren, een firewall zit aan de buitenkant van je netwerk, en daar gaan scannen kan via een tap waar bv ntopng meeluistert maar gebeurt vaak niet.

Hooguit zou via de verzamelde ligging iets opgevallen kunnen zijn. Volgens mij gaat het om het zeer kritische lek waarbij met een Python script root acces via de buitenkant kon worden verkregen, de patch werd zelfs voor mijn 90D nog uitgebracht.

[Mellow Jack]

Ik ken het defensie netwerk niet. Laat staan dat ik de context van dit netwerk begrijp

Maar als je bijv. bij het netwerk van SURF (ook overheid ) bent aangesloten dan heb je nog wel wat stations tot je verkeer het vrije internet bereikt. Ergens kan ik me voorstellen dat ze werken met BIV classificaties waarbij de mildste vorm misschien wel direct aan het internet is gekoppeld (bijv een R&D faciliteit naar langer houdbare rantsoenen ) terwijl cruciale locaties direct met elkaar in verbinding zitten. Je had laatst bijv het nieuws over een gasleiding van de Rotterdamse haven naar een vliegbasis. Ik kan me voorstellen dat ze daar gewoon een paar glasvezels naast hebben liggen

[Reactie gewijzigd door Mellow Jack op 22 juli 2024 19:39]

[satya]

Zoals ik het stuk van de MIVD lees hebben ze gewoon een honypot opgezet om te kijken wat waar vandaan komt tbv traceerbaarheid.
Onze beheerder houd bijvoorbeeld de html aanmeldpagina bewust in stand om malafide gebruikers te detecteren en blokkeren. Daarboven doen firewall leveranciers ook aan MDR/XDR, het zit zelfs inbegrepen op mijn gratis Sophos Firewall.

[ilaurensnl]

Geen zorgen, als wij het niet weten weten hun het ook niet

Verwacht dat de prioriteiten mogelijk ergens anders ligt waardoor in dit geval niet gepatched is, budgetten etc etc zal vast ook een ding zijn; zoals altijd.

Slecht is het zeker, vooral als het makkelijk voorkomen had kunnen worden, maar mogelijk waren hun al infected voordat hun een patch hebben uitgebracht waardoor het systeem inmiddels wel up-to-date is maar nog wel infected omdat dit eerder is gebeurd?

[Reactie gewijzigd door ilaurensnl op 22 juli 2024 19:39]

[RobbieB]

Misschien heeft Defensie wel in November gepatched, maar hebben de Chinezen daarvoor al persistent access kunnen krijgen, waardoor ze ook ná de patch nog actief konden zijn.

Er staat namelijk nergens dat er niet tijdig gepatched is, alleen via welke kwetsbaarheid ze zijn binnen gekomen.

Het is niet uncommon dat staatsactoren dit soort kwetsbaarheden al veel langer kennen en misbruiken.

[White Feather]

Voor hetzelfde geld was het systeem op het moment van uitbrengen van de patch al geïnfecteerd.

Dat is niet uit dit artikel te halen of uit de link bij het artikel (de bekendmaking).

Het is dus 1 van 2 (of een deel van beide):
- het heeft meer dan 15 maanden geduurd voordat er gepatched is
- het heeft meer dan 15 maanden geduurd voordat er een security-check gedaan is op dat netwerk.

Beiden is natuurlijk om te janken.

[mphilipp]

Dacht je dat ze dit vorige week hebben ontdekt? In het rapport staat dat ze 'in 2023' besmet zijn geraakt, dus er is eerst onderzoek gedaan, alles weer dicht gezet en nu gemeld. Ik denk niet dat veiligheidsdiensten en instanties als defensie heel snel dit soort dingen melden voordat de onderste steen boven is en alles weer veilg is (of zo veilig als kan).

[kodak]

Het nieuws vermeld dat het om een onderzoeksnetwerk gaat. Er valt prima voor te stellen dat defensie onderzoek doet naar de mogelijkheden en effecten van bekende kwetsbaarheden. Bijvoorbeeld om zichzelf en anderen beter te kunnen beschermen met behulp van inzichten in wat tegenstanders uitvoeren. Daarbij lees ik ook niet dat ze hoe dan ook al kwetsbare systemen hadden. Als het een onderzoeksnetwerk is kun je als eigenaar van het netwerk een onbedoelde besmetting waarschijnlijk ook wat makkelijker gebruiken om juist verder onderzoek te doen door een kwetsbaar systeem bij te plaatsen.

Ik ben het volledig met je eens dat als er geen onderzoeksdoel was dit soort belangrijke beveiligingslekken op tijd gepatched horen te zijn om een goede basisbeveiliging te hebben. Maar ik lees niet dat dit soort doel er niet was.

[Reactie gewijzigd door kodak op 22 juli 2024 19:39]

[Lord Anubis]

Misschien werd het systeem in de gaten gehouden om te kijken wie er eventueel interesse voor had. Dat ga je niet in een rapport zetten.

Hebben wij ( 2pers plus 1 directeur ) ook gedaan in 2007 en deel 2008. Uiteindelijk iemand gepakt; was een in 2006-2007 kort ingehuurde die vlak voordat we het wilden afsluiten terug kwam voor een opdracht en te nieuwsgierig was om te kijken of het nog werkte. Hadden het systeem apart gezet achter een router die 24u in de gaten gehouden werd.

[nst6ldr]

[...]

Is het patchbeleid bij Defensie zo slecht op orde? Is dit iets incidenteels, of iets structureels? Want je gaat dan toch twijfelen welke lekken er nog meer open staan bij Defensie.

Het patchbeleid is eigenlijk behoorlijk goed zelfs, een stuk beter dan wat ik gewend ben van de private sector.

[c-nan]

Maar hoe kom jij er bij dat dit een recente hack is? Misschien treed Defensie nu pas naar buiten.

[Tozz]

Als ik het goed begrijp is de RAT geinstalleerd door die RCE uit 2022, maar na het patchen blijft de RAT op 't device staan. Dus het kan best zijn dat defensie/MIVD die bug uit 2022 snel heeft gedicht, maar omdat defensie/MIVD natuurlijk een high profile target is is hier misschien een zero-day gebruikt.

De RAT is dus mogelijk *voor* December 2022 al geplaatst, daarna is 't device gepatched, maar firmware upgrades ruimen 't niet op.

[tw_gotcha]

er staat niks over wanneer defensie dit gedicht heeft. We weten alleen dat de RIVD dat nu naar buiten brengt. Het naar buiten brengen is waarschijnlijk een heel proces van beslissingen. Als je een beetje op de links klikt: "De MIVD trof de malware vorig jaar bij de krijgsmacht aan op een losstaand computernetwerk"
Wanneer vorig jaar is niet bekend gemaakt. Misschien is dat hele losse netwerk wel helemaal niet in actief gebruik. Ik praat niks goed, maar ik praat ook niks fout!

[CPM]

Waar staat dan dat het daar meer dan een jaar lang aanwezig was op die infra dan? En dat ze een jaar lang geen patches hebben geïnstalleerd? Of is dat wat jij zelf uit de tekst denkt op te maken en staat er dat in algemene zin over de Malware in een voltooid verleden tijd.

[Christoxz]

Hier zakt mijn broek van op de enkels. Hoe kan het dat een instantie als nota bene Defensie, meer dan een jaar lang een reeds bekend, en gepatched door de leverancier, lek niet dicht?

Het komt nu pas naar buiten, maar volgens het MIVD is dit al vorig jaar gevonden.

De MIVD trof de malware vorig jaar bij de krijgsmacht aan op een losstaand computernetwerk

[Xyzyz]

Dat ze het nu melden, betekent denk ik niet dat ze het de dag er voor hebben ontdekt. Ik denk dat er een hoop valt af te dingen op dat 'jaar'.

[crazylemon]

Ik lees niet dat Defensie de patch niet direct heeft uitgevoerd. Ik lees alleen dat er sinds november 2022 een patch bestaat. Ik ga ervan uit dat de malware daarvoor is geinstalleerd en nu pas gevonden is, wat aangeeft dat ze het incident response onderzoek wat frequenter mogen uitvoeren.

[Ted_W]

Als het een losstaand systeem is, dan betekent het waarschijnlijk dat iemand dit erop heeft gezet lijkt mij. En als het niet zo'n belangrijk of interessant systeem is, waarom zouden de Chinezen dit willen bespioneren? Zijn de Chinezen zo stom of probeert Defensie dit minder erg te doen lijken dan het is?

En 'belangrijk is om dergelijke spionageactiviteiten van China te attribueren' vind ik ook zo'n vage omschrijving. Hebben ze nou bewijs dat China dit gedaan heeft of denken ze dit en 'attribueren' dit aan China?

Tot slot is het natuurlijk erg slordig dat het zolang heeft geduurd voordat het systeem gepatcht was.

[Allubz]

Het gedeelte 'losstaand systeem' trok ook mijn interesse. Ik dacht eerst dat het om een air-gapped netwerk zou gaan, maar waarschijnlijk wordt bedoelt dat dit netwerk niet in contact is met andere netwerken (met vetrouwelijke informatie). Dan hoeft het er dus niet bewust op zijn gezet, maar kan zich verspreiden via (internet)netwerktoegang, of fysiek verbonden apparatuur.

Ik ben niet genoeg thuis in malware om hier technisch een uitspraak over te doen, maar iets als Stuxnet verbreidde zich ook ongeremd, met als doel uiteindelijk op de juiste plek terecht te komen. Mogelijk is het doel van dergelijke malware dan ook niet dit specifieke netwerk, maar een ander interessanter netwerk(en).

Al helemaal als deze malware bedoelt is om bestaande remote access te onderhouden, wat ik uit het Nu.nl artikel kon halen, dan is het wel bedenkelijk dat dit lek niet tijdig is gedicht én de behorende onderzoeken zijn verricht om na te gaan of deze is misbruikt, zoals @wildhagen ook terecht opmerkt.

Nu.nl: "Met dit systeem kunnen computergebruikers veilig en beschermd op afstand werken." Dit lijkt me systemen die een gateway kunnen zijn als toegang tot andere netwerken, maar gezien er weinig informatie bekend is (op Tweakers en Nu.nl in ieder geval), ben ik ook aan het gissen.

Wat betreft verantwoordelijke politici zonder daadwerkelijk benu van IT zijn veralgemeniserende en niet-informerende uitspraken kenmerkend.

[dutchgio]

Er staat nergens dat het nu pas gepatcht is, ze delen nu alleen het onderzoek.
Misschien is het lek wel misbruikt voor de patch er was.

[TheAncientDovah]

"belangrijk is om dergelijke spionageactiviteiten van China te attribueren" is inderdaad een heel erg vage omschrijving.

Vanuit mijn werk heb ik me enigszins bezig gehouden met attributie van cyberincidenten, en ik kan je vertellen dat het geen simpel proces is. Ik heb ook even naar het document gekeken dat AIVD en MIVD naar buiten hebben gebracht, maar ik zie geen concrete reden waarom attributie in dit geval naar China wijst. Het meest concrete in het verslag (link verslag hierover is:
1. "MIVD & AIVD assess with high confidence that the intrusion at the MOD, as well as the development of the malware described in this report, was conducted by a state-sponsored actor from the People’s Republic of China."
2. "Chinese threat actors are known to perform wide and opportunistic scanning campaigns for both published (n-day) as well as unpublished (0-day) software vulnerabilities on internet-facing (edge) devices."

De reden lijkt dus een soort onderbuik gevoel te zijn, gecombineerd met het feit dat China in het verleden schijnbaar vaker gebruik heeft gemaakt van recent gepubliceerde vulnerabilities.

Deze vulnerability werd overigens al gexploiteerd voor de release van de CVE (aldus de security advisory). Feit is dus ook dat we kunnen vaststellen dat defensie minimaal een halve maand (tot maximaal een jaar) gewacht heeft met het patchen van deze kritieke kwetsbaarheid. Als je even googled naar het exploit nummer vind je de code voor de exploit ook al (zeker sinds Maart 2023) op GitHub. In feite kan dus iedere script kiddie met een beetje kennis van shells een dergelijke exploit uitvoeren zodra ze een kwetsbaar systeem hebben gevonden.

Normaliter zou er om attributie naar China te kunnen maken, ook sprake moeten zijn van andere indicatoren. Dat het past binnen de modus operandi van China wil ik de AIVD en de MIVD op de blauwe ogen geloven, dit wordt ook onderschreven door andere actoren. Dit is echter ook de modus operandi van een cybercriminelen.

Wat voor motivatie heeft China om specifiek Nederland, en dan specifiek deze server aan te vallen? Zijn er andere technische indicatoren die richting China wijzen, zoals het hergebruik van infrastructuur die ook gebruikt is bij eerdere aanvallen door Chinese actoren? De complexiteit van COATHANGER is wellicht iets dat richting een nation state kan wijzen, maar ik heb te weinig informatie om daarover te oordelen.

Al met al vind ik het verwijt richting China een beetje voorbarig, al kan ik ook begrijpen dat de inlichtingendiensten dit verwijt maken op basis van additionele informatie die ze niet in het verslag hebben gezet.

Goede bronnen als mensen meer willen weten over het attributie proces is hier te vinden:
- Attributie model

[Reactie gewijzigd door TheAncientDovah op 22 juli 2024 19:39]

[Bux666]

Als het een losstaand netwerk betreft, hoe kon deze spyware daar dan op komen? Dat wordt verder niet vermeldt en lijkt me zeer belangrijk om dat te onderzoeken.

[jpfx]

Losstaand zegt niets over geen verbinding met bijvoorbeeld internet. Enkel dat het geen verbinding heeft met de overige interne netwerk structuur.

[paulwump]

losstaand zegt voor mij juist wel nergens mee verbonden.. dat zit toch in het woord losstaand.

[jpfx]

Da's airgapped.

[dutchgio]

Losstaand hoeft niet te betekenen dat het niet met andere netwerken cq internet verbonden is, maar dat het geen andere netwerken van de krijgsmacht raakt.
Dat zullen ze ongetwijfeld doen maar niet over communiceren.

[robgrootendorst]

Dit was een security bug van meer dan een jaar oud ik ben dan nu wel benieuwd of dit apparaat al gepatched was en of de malware dan nog actief was of dat het zoiezo om een onpatched device ging.

[HooksForFeet]

Het is ook de vraag of de malware nog gebruikt kon worden nadat de bug gepatcht was, of dat die kwetsbaarheid alleen nodig was voor het installeren. In het eerste geval kan het natuurlijk zo zijn dat de malware nutteloos was zodra het apparaat werd gepatcht en gewoon niets stond te doen.

[robgrootendorst]

In het aanvullende document staat dat duidelijk. Als de infectie heeft plaatsgevonden voor de patch dan blijft de mallware actief na een software update en reboot:

− The COATHANGER malware is stealthy and
persistent. It hides itself by hooking system calls that
could reveal its presence. It survives reboots and
firmware upgrades.

[TheAncientDovah]

Volgens het verslag dat de AIVD en de MIVD naar buiten hebben gebracht overleeft de malware firmware patches als de infectie voor de patch plaatsvond. De vulnerability werd mid-december 2022 bekend gemaakt, en er is dus minimaal een halve maand tot een jaar verstreken tussen bekendmaking en infectie gezien de infectie in 2023 plaatsvond.

[Meemzeh]

In het gepubliceerde bericht van de overheid spreekt men over "edge-devices". Zo Googlend is mij nog steeds niet helemaal duidelijk of bijv. smartlampen hier ook onder vallen. Veel van die smartlampen, smartleds zijn Chinees en hebben ook een app. Is dat reden tot zorgen?

[bzzzt]

Met "edge devices" worden in de server infra wereld meestal firewalls, routers en aanverwant spul bedoeld (wat dus op de 'rand' van het netwerk zit).
Een gecompromitteerde smartlamp kan een heel goede router zijn om clandestien een netwerk binnen te komen, maar ik ga er niet vanuit dat defensie die dingen inplugt en op het topgeheime netwerk aanmeld.

[Meemzeh]

Begrijpelijk, maar voor de consument.

[bzzzt]

Ligt er aan. Denk niet dat er veel consumenten zijn met topgeheimen op hun thuisnetwerk, maar als je je zorgen maakt over veiligheid moet je geen hardware die je niet vertrouwt aan je netwerk hangen of er een aparte netwerk voor maken.
Ik zou me eerder zorgen maken over de persoonlijke data op mijn mobiel als je een app van een vage leverancier nodig hebt.

[kodak]

Er ontbreekt antwoord op een belangrijke vraag: wat is een duidelijk te verwachten manier van besmetting?

De details over de besmetting gaan vooral over hoe je een besmetting kan herkennen als het eigenlijk al te laat is (de beveiliging is als doorbroken en je hebt niet zomaar acceptabele controle omdat je deze gevolgen wel kan herkennen).

Er staat wel een hint bij de details: zorg dat je een robuste basisbeveiliging hebt. Met voorbeelden als controleren op verdachte situaties, zo snel mogelijk updates toepassen en niet zomaar toegang vanaf het internet te vertrouwen.

Dat advies is nogal vaag en zorgt daarmee niet zomaar dat je beveiliging robuust is tegen deze besmetting. En dat is niet best. Want of men weet dan hoe de besmetting heeft plaatsgevonden wat men dan niet belangrijk genoeg lijkt te vinden om te vermelden (wat tegenstrijdig is met het robuust willen beveiligen van wie hier last van kan hebben) Of men weet niet hoe de besmetting heeft plaatsgevonden, wat dus zou betekenen dat het systeem niet zo op zichzelf stond als men doet voorkomen.

[core_dump]

Wat schokkender is, is dat Defensie een Fortinet firewall gebruikt

[wildhagen]

Waarom is dat schokkend? Fortinet is één van de grotere en bekendere leveranciers van netwerkapparatuur op dit gebied, met een behoorlijk aardige reputatie. Ze hebben een marktaandeel van 21 procent in de security-appliance sector (bron), dus het is niet bepaald een obscure partij op dit vlak.

[Audioot]

Behoorlijk aardige reputatie? Dit bedrijf is al zo vaak lek gebleken. Waarom überhaupt nog zaken met hen doen?
https://nos.nl/l/2507793

[CaptainKansloos]

https://nos.nl/l/2507793

Dat artikel rammelt aan alle kanten. Er wordt m.i. gesuggereerd dat Fortinet een onbetrouwbare partij is die ondeugdelijke waar levert. Met een 'security expert' die - zomaar - '180 lekken in 2023' uit zijn mouw schudt. Kennelijk is journalistieke verantwoording niet meer nodig this day and age.

Als je een CVE uit 2022 in 2023 niet gepatched hebt, dan is dat onkunde, onwil of opzet. Wat de motivatie is van Defensie; geen idee. Mss was het bedoelt als ' een les voor de wereld'. Maar in de huidige context is het vooral FUD die potentieel Fortinet door het slijk haalt als je het mij vraagt. Want: ook nog eens een Chinees merk!

[Reactie gewijzigd door CaptainKansloos op 22 juli 2024 19:39]

[bartje]

ik las het eerst op nos.nl en ben toen verder gaan zoeken.
heb ook maar eens melding gemaakt bij nos zelf dat ze gewoon onwaarheden vertellen over forticlient. want uit niks blijkt at forticlient de malware zelf levert. Nos schrijft letterlijk dat forticlient het verpakt in hun sortware.

nu dacht ik dat journalasten van NOS aan regels moeten voldoen. maar wat in dat artikel staat klopt niet.

wat volgens mij wel klopt, en lijkt ook te machten met wat ncsc zeft. is dat wanneer je voor de patch er was geinfecteerd was met deze specifieke malware, de patch de malware niet verwijdert en slechts het gat dicht

[wildhagen]

Elke producent van netwerk apparaten heeft lekken. Of dat nu Fortinet, Cisco of Juniper is, ze zijn allemaal al meermaals aan de beurt gekomen.

Het maken van die apparaten blijft immers mensenwerk

Het gaat erom hoe je daarmee omgaat als leverancier, of je tijdig patches released etc. En dat doet Fortinet gewoon netjes.

[Frame164]

Daarom gebruiken ze ook meerdere firewalls achter elkaar, allemaal van verschillende leveranciers. Dat doe jij op je werk waarschijnlijk ook om een veilige netwerk te bouwen.

[bzzzt]

Behoorlijk aardige reputatie? Dit bedrijf is al zo vaak lek gebleken. Waarom überhaupt nog zaken met hen doen?

De fout is dat CVE's tellen geen indicatie geeft van beveiligingsproblemen. Sterker nog: dat zijn opgeloste issues dus juist geen gaten meer.
Zowel de Linux kernel, macOS en Windows hebben elk duizenden CVE's gehad over de laatste 10 jaar.
Op zich is 180 CVE's in een jaar best veel voor een product met 1 functie (firewalling), maar daar wordt waarschijnlijk stukken harder naar gezocht.

[Reactie gewijzigd door bzzzt op 22 juli 2024 19:39]

[CPM]

Goh je praat de media wel erg na. En nemen we dan meteen afscheid van Microsoft dan maar.

[Klotsred]

Ik vind dit wel een van de ergste van FortiNet: https://arstechnica.com/i...door-eavesdropping-fears/

Dat heeft het streepje achter hun naam destijds geen goed gedaan...
En dat blijkt

[core_dump]

Omdat in het geval van een firewall alleen de beste goed genoeg is. Je kan niet “een beetje security” hebben.
Security, zeker bij Defensie, is of het beste wat er te krijgen is of niets. In dit geval is dus gebleken dat dit niet goed genoeg was, vooral gecombineerd met en matig patcbeleid.

[Praetoriani]

Welk merk zou jij aanraden dan? Waar baseer je dat op?

[THETCR]

@Hayte

Het valt me op dat de quote van minister Ollongren niet overeenkomt met die op NU.nl.

Welke is de daadwerkelijke quote?
Want we kunnen natuurlijk niet doen alsof we mensen quoten terwijl we er zelf creatief iets van hebben gemaakt.

[Hayte]

Gaat het over het verschil tussen 'attribueren' en 'toe te wijzen'? In de letterlijke quote staat 'attribueren', maar ik kan me voorstellen dat NU.nl daar 'toe te wijzen' van maakt, om het begrijpelijker te maken.

[THETCR]

Als men dingen wijzigt om het begrijpelijker te maken, dan is het geen quote meer.

[TheAncientDovah]

Ik vermoed dat "attribueren" een vernederlandsing is van het Engelse woord "attribution", dat vaak wordt gebruikt als "cyber threat attribution". Het is een beetje vakjargon, maar het zou me niet verbazen als ze dit woord van de diensten heeft geleerd.

[okkies]

"zet alu hoedje op"

wellicht was het wel een honeypot die ze nu publiekelijk aan het afsluiten waren

"zet het hoedje en geeft hem door aan deregene die er behoefte aan heeft"

[Dreadnought]

Mwa honeypots zijn toch niet echt alu hoedje materiaal? Of dit hier wel of niet aan de hand is terzijde, een honey pot is natuurlijk wel een slimme manier om e.e.a. te ontdekken van een andere partij?

[Frame164]

Verkeerd gebruik van alu hoedje. Niets mis met honeypots.

[okkies]

T feit dat 't n honeypot zou zijn maakt t alu.

[MOmax]

Gooi je meest recente firmware (ook van Fortinet) door een firmware security scanner (bijvoorbeeld https://bugprove.com of https://github.com/e-m-b-a/embark) en je schrikt van de 10-tallen (soms 100-den) CVEs.

[bzzzt]

Alarmbellen af laten gaan als een stukje code of versie wordt gedetecteerd die volgens een specifiek lijstje 'onveilig' zou zijn zonder te bepalen of in de bredere context die onveiligheden geëxploiteerd kunnen worden geeft altijd een hoop herrie maar zelden betekenisvolle securityverbetering. Je kan nog steeds grote issues hebben zelfs als die scanners op groen staan.