RDP-aanval kostte gemeente Lochem zo'n 200.000 euro
Een aanval via het Remote Desktop Protocol (RDP) heeft de gemeente Lochem zo'n 200.000 euro gekost. Dat laat burgemeester van 't Erve tegenover BNR weten. Begin juni van dit jaar werd de gemeente ingelicht over een aanval waarbij er via RDP toegang tot een thuiswerkserver was verkregen.
Verder onderzoek wees uit dat de RDP-poort op 14 december 2018 was opengezet, waarna er via bruteforce-aanvallen toegang is verkregen. Nadat de aanvaller op de server was ingelogd installeerde die verschillende applicaties om inzicht in het netwerk en over de gebruikers te krijgen. Ook werd er ransomware uitgevoerd die een aantal niet operationele bestanden wist te versleutelen en op meerdere plaatsen een zogenoemde 'ransomnote' plaatste. Verder is er vanaf de thuiswerkserver toegang tot een testcomputer verkregen.
Op basis van de onderzochte sporen konden de onderzoekers niet met volledige zekerheid zeggen welke gegevens zijn ingezien, gekopieerd of gestolen. "Waarschijnlijk is de inhoud van de "Active Directory" gekopieerd en is deze kopie geëxtraheerd. Wel kan met redelijke zekerheid worden gezegd dat deze kopie gegevens over het netwerk, waaronder gebruikersnamen en e-mailadressen van medewerkers van de gemeente Lochem, bevatten", aldus een managementsamenvatting over het incident (pdf).
In een duidingsrapportage over de aanval staat vermeld dat de aanvaller meer soorten malware op het systeem heeft gezet en geprobeerd uit te voeren (pdf). De aanvaller had echter niet voldoende rechten voor het uitvoeren en in andere gevallen werd de malware door de antivirussoftware gestopt. "Het is belangrijk om te beseffen dat de aanval net niet ver genoeg is gekomen om tot daadwerkelijk het gijzeling van relevante data te komen", zo staat in de rapportage vermeld.
RDP-aanval
De duidingsrapportage geeft meer informatie over de RDP-aanval. Die was mogelijk door een "ongelukkig gekozen" gebruikersnaam en wachtwoord. Daarnaast kunnen de beheerders niet verklaren waarom het RDP-protocol stond ingeschakeld en de RDP-poort open stond. Ze vermoeden dat ze dit niet zelf hebben gedaan, maar er is ook geen bewijs dat de aanvallers hier achter zitten. "De omstandigheden rondom het openzetten van deze poort kan niet meer worden onderzocht door het inmiddels ontbreken van logbestanden", voegt de managementsamenvatting toe.
Overzicht
Het forensisch onderzoek naar het incident toont verder aan dat de gemeente Lochem geen overzicht had van alle it-systemen en de functionaliteiten die daarop draaien. "Door uit te zetten wat niet nodig is (RDP), kunnen aanvallers het ook niet misbruiken (hardening). En als het aanstaat, kan een goed updatebeleid ervoor zorgen dat zwakheden worden weggenomen door nieuwe updates (patchmanagement). Dit zijn veelvoorkomende fouten bij veel organisaties", aldus het rapport.
De opstellers van het rapport laten de gemeente Lochem weten dat een belangrijke oorzaak van het maken van fouten ligt in de werkdruk en het gebrek aan reflectie op de eigen omgeving. Zo moet de gemeente meer ruimte voor opleiding en verdieping bieden, zodat medewerkers up-to-date blijven en effectiever kunnen werken.
Sinds het incident is er een penetratietest bij de gemeente uitgevoerd en zijn er 64 problemen gevonden. De meest urgente zaken zijn inmiddels verholpen. De andere bevindingen wil de gemeente later aanpakken. De totale schade van de aanval, waaronder het herstel en onderzoek, is op bijna 200.000 euro vastgesteld.
Uit het artikel zou best mogen blijken, zonder alle links te moeten volgen, of de gemeente werkelijk 199.999,99 euro heeft betaald of dat de aanval succesvol afgeslagen is.
Alhoewel, als er een accountnaam/ww achter zat dan heeft toch iemand het een keer bewust aangezet.
bij deze.
ook medewerkers van andere gemeenten hebben geholpen.
Kwestie van lezen. Het is uiteindelijk niet zover gekomen dat er losgeld gevraagd kon worden omdat ze niet ver genoeg het systeem in konden komen.
Daarnaast staat er vrij duidelijk dat de gemeente bijna 200.000 aan kosten gemaakt heeft. Dit is niet alleen Pentest, maar ook de kosten voor onderzoek en herstel. Herstel zal de 64 punten uit het pentest rapport betreffen en de kosten voor onderzoek zijn de kosten die onze vriend Brenno de W gefactureerd heeft.
Een server hangt achter een firewall, en die firewall zou niet zomaar aangepast moeten kunnen worden.
Altijd fijn als de redactie artikelen aanpast nadat er gereageerd is.
Sinds het incident is er een penetratietest bij de gemeente uitgevoerd en zijn er 64 problemen gevonden. De meest urgente zaken zijn inmiddels verholpen. De andere bevindingen wil de gemeente later aanpakken. De totale schade van de aanval, waaronder het herstel en onderzoek, is op bijna 200.000 euro vastgesteld.
https://gadgets.ndtv.com/laptops/features/windows-10-home-vs-windows-10-pro-differences-new-features-718532
Kan me voorstellen dat sommige van die functionaliteiten nuttig kunnen zijn.
https://peakup.org/blog/windows-10-edition-comparison/
Bekijk vervolgens in de eerste kolom van de tabel welke functionaliteit een volwassen organisatie nodig heeft, zoals AD lidmaatschap, ingebouwde beveiligingsmaatregelen etc. De Home Edition is precies dat: voor thuisgebruik, niet voor een omgeving die centraal gemanaged moet worden.
Hoe lang gaan we nog met deze malware door?
Hoe lang gaan we nog met deze malware door?
RDP wordt niet zomaar even aangezet door een Microsoft Update.
RDP wordt niet zomaar op firewalls vanaf het Internet aangezet.
Ofwel Microsoft heeft er helemaal niets mee te maken.
Hoe lang gaan we nog met deze malware door?
Wanneer stopt het evangelisme?
Sinds het incident is er een penetratietest bij de gemeente uitgevoerd en zijn er 64 problemen gevonden. De meest urgente zaken zijn inmiddels verholpen. De andere bevindingen wil de gemeente later aanpakken. De totale schade van de aanval, waaronder het herstel en onderzoek, is op bijna 200.000 euro vastgesteld.
Enkele tientallen mensen zijn daar maanden mee bezig geweest.
Ik krijg altijd een wat vreemd gevoel als gebrekkig onderhoud herstellen als schade bestempeld wordt.
Eerder heef ment grote bedrage ingeboekt als winst van bezuinigingen.
Al die RDP exploits hadden me al gewaarschuwd, ondanks dat MS ze dicht timmered.
Beter voorkomen dan later oplossen.
Hoe lang gaan we nog met deze malware door?
Wanneer stopt het evangelisme?
Dan had je namelijk meteen gezien, dat je nu totale onzin post.
Lees dit document even door en komt dan nog eens terug op je post, als je wilt?
Het is niet een technisch document, dus precies op het niveau waarop jij het zou kunnen begrijpen (hoop ik).
https://www.lochem.nl/fileadmin/internet-doc/Bestuur-Organisatie-Nieuws/Nieuws/2019/hack/Duidingsrapportage_Lochem-WHITE.pdf
Verbeter de wereld begin bij je zelf?
Verbeter de wereld begin bij je zelf?
Verder getuigt je gekanker op wat je OS-evangelisten en privacyactivisten noemt van hetzelfde fanatisme dat je bij anderen meent te moeten bestrijden. Sterker nog, je begint vaak met dat bestrijden nog voordat iemand anders zijn mond open heeft gedaan.
Je bent inderdaad een anti-evangelist. Niet in de zin dat je tegen evangelisme bent, maar dat je anti, anti, anti loopt uit te dragen alsof het een religie is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
