VS: meerdere hackgroepen proberen spyware te installeren bij WhatsApp-gebruikers

Meerdere groepen cybercriminelen proberen spyware te installeren bij Signal- en WhatsApp-gebruikers. Daarvoor waarschuwt de Amerikaanse overheidsorganisatie CISA. De criminelen lijken zich vooral op 'waardevolle personen' te focussen.

De cyber threat actors gebruiken commerciële spyware om gebruikers van mobiele berichtenapps aan te vallen, schrijft de Cybersecurity & Infrastructure Security Agency. De hackers gebruiken 'geavanceerde targeting- en social engineering-technieken' om spyware te installeren bij gebruikers en daarbij toegang te krijgen tot de berichtenapps van gebruikers. Daarna kunnen ze ook aanvullende malware installeren.

De aanvallers gebruiken onder meer phishing en malafide QR-codes om gebruikers aan te vallen, zero-click-exploits en neppe berichtenapps om slachtoffers te hacken. De hackers lijken nu opportunistisch hun slachtoffers uit te kiezen, al lijken ze zich daarbij vooral te focussen op 'waardevolle personen', zoals huidige of voormalige hooggeplaatste medewerkers binnen de overheid of militaire diensten, politici of stichtingen. Slachtoffers bevinden zich in de Verenigde Staten, het Midden-Oosten en Europa. Het agentschap raadt gebruikers van de berichtenapps aan om CISA-gidsen door te nemen.

Reacties (29)

[Olympus user]

Lijkt mij een groep die voor een regering werkt om informatie te winnen, niet om geld.
Dat kunnen er helaas veel zijn, Van China, Noord Korea, Rusland, de VS en Israel.

[LeNNy]

Vergeet niet dat de Pegasus spyware van NSO Group toegang had (en wellicht nog heeft) tot zero-day exploits in o.a. iOS. Door speciale berichten te versturen konden ze zonder gebruiker interactie (zero-click) spyware installeren, zodat bepaalde mensen afgeluisted konden worden.

Deze software was commercieel beschikbaar voor o.a. veiligheidsdiensten van "bevriende" landen.

TL;DR, sommige soorten spyware werden zomaar geinstalleerd zonder dat je het wist. Nu zijn daar ook wel weer beveiligingen tegen zoals iOS "Isolation" mode. Maar goed het kan dus wel, ook als je wel bewust bent van malafide linkjes en QR codes.

https://nos.nl/artikel/2390114-dit-is-de-nso-group-die-elke-telefoon-kan-hacken

https://www.amnesty.org/en/latest/news/2025/05/ruling-against-nso-group-in-whatsapp-case-a-momentous-win/

[Reactie gewijzigd door LeNNy op 25 november 2025 16:37]

[sint_ignucius]

Amnesty heeft ook een "toolkit" waarmee men ioc's (Indicators of Compromise) kan detecteren, namelijk de Mobile Verification Toolkit via het Securitylab

Het betreft enen toolkit die op basis van een "Consent" één forenzisch onderzoek doet op het toestel, deze gaat gebaseerd op eerder "gevonden" indicators na of er mogelijk iets staat ingesteld wat kan wijzen op een "Compromise" van het systeem de "Onderzoeken" waar deze bij vast gesteld werden, worden bijgehouden op de AmnestyTech investigations git repo
De Mobile Verification Toolkit:

"Mobile Verification Toolkit (MVT) is a tool to facilitate the consensual forensic analysis of Android and iOS devices, for the purpose of identifying traces of compromise"

eenieder die technisch bekwaam genoeg is kan zijn toestel altijd onderzoeken.. Hierbij moet ik wel melden dat wanneer men een niet standaard ios/android systeem draait bijvoorbeeld: "Lineageos of dergelijke" dit al een "verreiste" kan zijn om aan te geven dat iets gecompromiseerd is... (False positives) welke aanduiden dat er iets "Mogelijk" mis is terwijl dat zo niet is...

De manier om erachter te komen of iets een false positive is of niet verreist het inspecteren van de bron code van desbetreffende software...

[Wouterie]

Tja, het betreft commerciële spyware, dus dat het over informatie winnen gaat dat is een beetje een open deur. Overigens worden 'aan Rusland gelieerde' groeperingen aangewezen als daders, maar worden ook Russen aangevallen. Dus ja, iedereen doet weer vrolijk mee.

[senna2301]

Vreemd dat je -1 staat. Vind je opmerking vrij solid.

[Olympus user]

Dank je wel. Misschien omdat ik Israel in het lijstje gezet heb ;-)

[senna2301]

nu sta ik met mijn opmerking ook -1... ze zouden die persoon zijn rechten moeten ontnemen :)

[moimeme]

Je heb Murdoch vergeten.

Wikipedia: Afluisterschandaal van News of the World

[Reactie gewijzigd door moimeme op 25 november 2025 18:38]

[RicardoForce]

Het klinkt allemaal heel heftig, maar uiteindelijk komt het neer op hetzelfde: als je op gekke links klikt of random QR-codes scant, dan vraag je erom. Goed dat CISA hiervoor waarschuwt, maar voor 99% van de mensen is een beetje gezond verstand al de helft van de beveiliging.

[fevenhuis]

Wat als we nou WhatsApp gaan aanpakken? Lijkt me een veel beter plan dat de WhatsApp achterdeur op mobieltjes gesloten wordt.

[apeklootje]

Niet te vergeten: de stille sms: Arrest Stille SMS - Wikipedia gebruikt door politie en opsporingsdiensten en MTM (machine to machine) berichten die door providers gebruikt worden om jou telefoon met netwerk te laten samen werken, hier zullen ook wat 'gaten' al dan niet bewust inzitten...

[Dennis J.]

bij Signal- en WhatsApp-gebruikers.

Dan gaan ze naar de volgende app, o.a. Signal dus.

[fevenhuis]

WhatsApp met 3 Miljard gebruikers tegenover Signal met 100 Miljoen, het moge duidelijk zijn wat het grootSte probleem is.

[trick2011]

in het artikel noemen ze ook "zero-click-exploits" en die benodigen juist geen input van een gebruiker om tot exploitatie te leiden.

[kodak]

Waarbij die problemen maanden geleden al verholpen zijn. Dus de 'hooggeplaatste medewerkers binnen de overheid of militaire diensten, politici of stichtingen' moeten wel een heel slecht beheer hebben om de apparaten nog kwetsbaar te laten zijn.

Het probleem lijkt eerder dat CISA pas na maanden eens een waarschuwing geeft dat ze zich ergens van bewust zijn. De bronnen waar ze naar verwijzen zijn tot ruim een jaar oud. De meest recente een paar weken, maar die lijken vervolgens inhoudelijke vooral over gebeurtenissen in het verleden te gaan.

Dus goed dat ze ook waarschuwen voor zero-click-exploits, maar wat ontbreekt is duidelijkheid waarom ze er nu pas mee komen. Ze leggen namelijk niet uit wanneer ze dit al wisten. Ze hadden het net zo goed pas over een jaar over kunnen waarschuwen dat dit soort dreigingen nog steeds bestaan.

[2green]

Die hooggeplaatste functionarissen hebben ook onbeheerde prive smartphones. Dus met beheer sluit je dit niet uit, om nog niet te noemen dat beheer niet overal van hetzelfde niveau is. Zeker niet als je nog whatsapp gebruikt op werk telefoons.

[d3burt]

Commerciële spyware vendors (NSO group en Intellexa, om er maar twee te noemen) hebben altijd zero-day's in voorraad die zero-click zijn voor alle platforms. De enige waar ze soms moeite mee hebben is iOS, maar dat is eigenlijk altijd tijdelijk.

Als je een target bent, en voldoende waard om de goede spullen op je los te laten, dan helpt geen preventie.

Het enige wat dit heel erg relativeert is dat de meeste mensen niet zo waardevol zijn voor de diensten die over Pegasus of Predator beschikken. Ieder gebruik van een zero day vergroot de kans op detectie, en als je met grove hagel schiet heb je fantastische resultaten met de domste vormen van phishing.

[Yoshi]

random qr codes, zoals bv de qr codes op parkeerautomaten. Want zo gemakkelijk is het dus :)

[moonlander]

Hoe werkt dit dan? Ik neem aan dat ze dan al een apk of iets dergelijks moeten downloaden en installeren.

Al kon je vroeger op een iPhone via een pdf je iPhone rooten.

[Gast Gebruiker]

Een manier vinden om dit te doen is het verdienmodel van commerciële spyware, zoals Pegasus.

[kodak]

Het oorspronkelijke bericht vermeld dat er ook beveiligingsproblemen zijn gebruikt waarbij een slachtoffer nergens op hoeft te klikken. Maar dat is kennelijk maar een manier. Want de opportunistisch manier kan bijvoorbeeld betekenen dat de criminelen hopen dat een slachtoffer werkelijk zelf een installatie doet.

[magician2000]

Wordt "simpelweg" geïnstalleerd zonder dat je er iets van merkt. Veelal via een zero-day of overige kwetsbaarheden.


Dat is de pest ook van dat soort commerciële software. Uiteindelijk komt het in handen van de verkeerde personen (als dat per definietie al niet zo is, ook geheime diensten en overige overheidsinstanties zouden die tools niet behoren te gebruiken).

[willemjan92]

Sideloading kan al jaren op Android, en het proberen te hacken van iPhones of Android toestellen is niets nieuws of iets van de laatste jaren. Dit is totaal geen gevolg van de DMA en is iets van alle jaren. Daarnaast is dit, zoals je zegt, "Europese wetgeving" en is sideloading nog steeds niet mogelijk bij iOS toestellen uit de US (waar wel slachtoffers zich o.a. bevinden).

edit:
Typo

[Reactie gewijzigd door willemjan92 op 25 november 2025 15:56]

[xoniq]

En daaraan toe te voegen, de malafide apps komen niet zomaar in alternatieve app stores. Als jij op je telefoon een alternatieve app store wilt gebruiken, moet dit een legitieme goedgekeurde app store zijn, en dan kan daar ook niet zomaar een shitty app in, maar krijgt die app alsnog een review.

Dus zelfs via de iOS 'sideloading' is het absoluut niet makkelijk.

[Ricco02]

Je kan niet met zekerheid zeggen dat dat hetgene is wat hier nu gebeurt.

Echter ben ik het er wel mee eens dat als je dus uberhaupt de mogelijkheid technisch maakt om apps buiten de app store te kunnen downloaden en runnen dat dus betekent dat hackers hier ook misbruik van kunnen gaan maken.

[Vlizzjeffrey]

De Pegasus hacks vergeten? Die waren van ver voor maart 2024.

[sint_ignucius]

Dit Klopt maar zoals men kan lezen in de Technical analysis van Lookout rapporteren ze de bugs ook aan de fabrikanten, welke op hun beurt dan een patch uitbrengen...

Maar die patches verolgens overal deployen lijkt mij ook niet even handig..

Overigens de wijze waarop het uitgevoerd wordt bied genoeg "kansen" zowel naar binnen als ook eens binnen om de "aanval" aan te passen naar omstandigdheden...

Eens men de hook heeft kunnen deployen is het eigenlijk te laat...

Men kan testen of zijn browser "Gevoelig" is of niet met BeEF Browser xss het is eigenlijk kinderspel eens BeEF geconfigureerd is is het maar een kwestie van "Enkele lijnen javascript" ergens bij te krijgen bijvoorbeeld met xss(Cross Site Scripting) en men is gezien, Ik heb bij mezelf verschillende browsers getest en allemaal bieden ze wel enige weg inwaards en dan is het maar een kwestie van enige persitence te creeren op het systeem en met toestellen die tegenwoordig "Geen Volledige reboots" meer doen is dit maar een kwestie van "cookies" welke in veel gevallen niet meer "opgekuist" worden...

Naar mijn gevoel is het "Volledig veilig Maken van een systeem" niet mogelijk...

Er is namelijk altijd wel een mogelijkheid om binnen te geraken eenieder kan dit leren door de juiste "youtube tutorials" te bekijken en zelf te experimenteren met volledig opensource software welke "Kan gezien worden als 'commerciel'"

Er zijn tegenwoordig Veel "aanvalsfactoren" waar men zich van bewust moet zijn om hier op enige wijze iets of wat defensief te gaan werken... te veel eigenlijk om te verwachten van enen gewone gebruiker... als deze al enige technische kennis heeft genoten..