AIVD: meer landen hebben offensief cyberprogramma door commerciële spyware

Het wordt voor landen steeds makkelijker een goed offensief cyberprogramma op te stellen. Bovendien zijn aanvallen door staatshackers steeds effectiever omdat bedrijven zich vaak niet goed beveiligen door bijvoorbeeld patches niet te installeren, waarschuwt de AIVD.

De Nederlandse Algemene Inlichtingen- en Veiligheidsdienst schrijft dat in zijn jaarverslag over 2024. De AIVD zag vorig jaar 'een verdere toename van het aantal landen dat offensieve cyberprogramma's ontwikkelt'. De dienst spreekt over een grote stijging in de afgelopen drie jaar. Het is voor landen makkelijk zo'n programma op te starten door de commerciële beschikbaarheid van geavanceerde spyware. Zulke spyware, die de AIVD volgens de Volkskrant ook zelf inzette, maakt het eenvoudig om op apparaten in te breken en dat is volgens de AIVD voor veel landen aantrekkelijk.

De AIVD relativeert dat wel: veel nieuw opgezette cyberprogramma's zijn volgens de dienst niet zo geavanceerd als die van bekende landen zoals China, Rusland, of Iran en Noord-Korea. "Maar dat meer landen offensieve stappen zetten op cybergebied, betekent dat wie zich moet verdedigen tegen cyberaanvallen voor een steeds grotere uitdaging staat. Ook Nederland."

Desondanks zijn aanvallen van die landen 'zelden of niet tegen Nederland gericht', zegt de AIVD. Dat betekent niet dat ze niet gevaarlijk zijn, want ze worden wel weer vaak gericht op landen in de Europese Unie of op instanties als de NAVO. " Bovendien is het niet in Nederlands belang dat het cyberlandschap ondoorzichtiger en onveiliger wordt, met meer aanvallen en aanvallers", waarschuwt de dienst.

Cyberaanvallen die wel zijn gericht op Nederland, richten zich vaak op endpoints zoals mobiele apparaten en routers, maar ook op clouddiensten. Dat komt onder meer omdat de monitoring daar vaak beperkt is. De AIVD zegt dat 'zulke punten in toenemende mate worden aangevallen.'

De dienst waarschuwt verder voor kwetsbaarheden die niet goed worden gepatcht en daardoor worden uitgebuit. Veel van die bugs zijn al gepatcht en er is al informatie publiek bekend, maar 'sommige organisaties doen niets of weinig om ze te repareren'. "Van de vijftien kwetsbaarheden in veelgebruikte software die hackers in 2023 het meest misbruikten, waren twee toen al zeker twee jaar bekend", zegt de AIVD. Hoe dat over 2024 het geval is, is niet bekend.

De AIVD waarschuwt dat met name Chinese staatshackers wereldwijd steeds meer cyberaanvallen uitvoeren. "Zo maakte China steeds meer gebruik van een groot aantal commerciële ict-bedrijven die zorgen voor apparatuur, technische hulpprogramma’s en het anonimiseren van dataverkeer. De Chinese diensten en hackerscollectieven die cyberaanvallen uitvoeren, besteden zo een deel van hun werk uit. Daardoor kunnen ze meer cyberaanvallen uitvoeren en nog geraffineerder te werk gaan. China voert de wereldwijde cyberdreiging daarmee wezenlijk op."

Daarnaast komen er ook steeds meer Russische 'hackerscollectieven' op, waarschuwt de AIVD. In de praktijk zijn dat voornamelijk ransomwarebendes. Die werken in sommige gevallen 'in het belang van het Russische regime', maar meestal op eigen initiatief. De AIVD beschrijft daarin een bekend probleem. Rusland laat de meeste ransomwarebendes straffeloos hun gang gaan, zolang die geen Russische slachtoffers maken.

Reacties (12)

[jdh009]

En ik verwacht dat de dreiging alleen maar zal toenemen. Enerzijds doordat landen als Rusland, Iran en China hun buitenlandse beïnvloedingscampagnes fors financieren: Rusland geeft naar schatting jaarlijks 1,5 miljard dollar uit (cijfers van voor de oorlog, 2021), Iran in 2022 zo’n 1,26 miljard dollar, en China in 2015 al ongeveer 10 miljard dollar per jaar aan propaganda gericht op niet-Chinese doelgroepen.

Anderzijds door het afschalen van de tegenmaatregelen in de Verenigde Staten: bezuinigingen op cybersecurity-programma's, de sluiting van het R/FIMI-kantoor, het ontslag van leden van de Cyber Safety Review Board, en een grootschalige reorganisatie van het State Department onder leiding van de minister van Buitenlandse Zaken, geïnspireerd door het beleid van DOGE. Vergeet daarbij ook niet de personele en beleidsmatige verschuivingen bij bekende drie- en vierletterige diensten uit de VS. En tot slot: het officieel niet langer als dreiging beschouwen van Russische hackers, en het stopzetten van Amerikaanse cyberoperaties tegen Rusland.

Wat het extra zorgwekkend maakt, is de groeiende rol van commerciële spelers en zogenaamde proxy-hackgroepen, die in toenemende mate samenwerken met statelijke actoren. Zoals begin vorig jaar ook onderstreept werd door de Britse inlichtingendienst GCHQ... Wat dus blijkbaar flink is toegenomen, gezien dit artikel nu op Tweakers staat.

Russia is increasingly seeking to encourage and direct hackers to attack British and other western targets, the director of GCHQ has said in her first keynote speech as head of the British intelligence agency.

Anne Keast-Butler said her agency was “increasingly concerned about growing links” between the Russian intelligence services and proxy hacker groups who have long taken advantage of a permissive environment within the country.

Bron: https://www.theguardian.c...t-butler-director-of-gchq

[theduke1989]

Ons bedrijf (hoofdvestiging IT) in Ierland gebruikt Rapid7. We hebben om de twee dagen een vunurability meeting. Kijken dan de Ki, de hoogste scores van onze assets, en daarop anticiperen wij.

Is echt een koppijn. Maar we zijn er wel mee bezig.

Maar als je al eenmaal binnen bent bij een bedrijf is het toch te laat?

Of kan je PIM zo instellen/ beperken op activiteiten??

[dylan111111]

Rapid7 is echt een top product als je het goed hebt ingericht. Wel vraag ik mij af of elke twee dagen een vulnerability meeting wel zinvol is? Dan kan je beter patching zo ver mogelijk geautomatiseerd hebben en frequent doen met bijvoorbeeld Automox.

[theduke1989]

patching hebben wel, in etapes.

Servers doen we altijd om de zoveel, en dan altijd achter patch tuesday van Microsoft, week erna doen we altijd compleet alles.

R7 want er zijn ook veel dingen die niet hedendaags gepatched worden, en die we manueel moeten doen.
Daarom om de twee dagen, dan patchen we die en kijken we hoe de scores dan zijn etc.

Patchen doen we trouwens via EPC van ManageEngine, al ben ik er niet echt tevreden over.
Onze tool die we voorheen hadden gebruikt, voordat we alles bij groupIT hebben gezet (Empirium) was veel beter vindt ik qua patching and tooling!

[HJR]

Wel slim dat je publiekelijk vertelt hoe jullie patchbeleid is….

[theduke1989]

dat mag je gewoon weten, er is ook een dora regel hoe te reageren, patchen staat gewoon vast

[Orangelights23]

Defense in depth. Rapid7 zit slechts één van de lagen zijn, aangezien het geen tool is met een 100% success rate en er andere manieren zijn om binnen te komen.

[theduke1989]

wij gebruiken het voor patchen van systemen meer niet. beveiligen van de IT omgeving doet de security op andere manieren.

het is belangrijk om de assets na te gaan en te kijken wat beter kan.
bijvoorbeeld de bekende log4j, is goed om te weten op welke machines dit nog bijvoorbeeld staat etc,
of IIS execution strings etc, om dan te patchen aan te passen.

[Orangelights23]

Exact de reden waarom ik vaak als eerste teams aan het werk zet om een asset inventory op te stellen of bij te werken. Als je niet weet wat allemaal aan je netwerk hangt en welke informatiedragers er zijn, kun je nooit veilig werken

[Baserk]

"Het wordt voor landen steeds makkelijker een goed offensief cyberprogramma op te stellen."

De Amerikanen, Chinezen, Iraniërs, Noord-Koreanen en Russen schrijven hun eigen software heb ik het idee, waarnaast bijvoorbeeld de Russen en de Iraniërs ook graag gebruik maken van 'lokale medewerkers'.
Of dat nou is voor 't digitale domein of het fysieke liquideren van dissidenten/oppositieleden.

De rest van de wereld doet vnl. boodschappen bij de NSO groep in Israel en gebruikt dus software die onder curatele staat van de Amerikanen.
Of je dat nou perse 'een goed offensief cyberprogramma' zou moeten noemen...

[angerfist-yentl]

Soms snap ik bedrijven (en consumenten) dan weer wel (dat ze niet updaten) Neem bijvoorbeeld Synology. (die word ook zakelijk gebruikt) Die verwijderen ook steeds vaker functies tegelijk met de beveiligingsupdates die bedrijven (en consumenten) gebruiken en dus niet kunnen updaten omdat je dan die functies verliest. (waar je vaak wel voor betaald hebt of de hardware voor aangeschaft hebt)

Patches zouden apart moeten geüpdatet worden vind ik maar vaak stoppen bedrijven er ook nadelen bij in

[janpiet]

Zou de AIVD weten dat meer dan 80% van het werk van buitenlandse inlichtingendiensten commerciële spionage omvat. Ongeachte vriend of vijand?