Wachtwoorden Nederlandse bedrijven gestolen via Pulse Secure-lek
Aanvallers hebben via een bekend beveiligingslek in de vpn-software van Pulse Secure van meerdere Nederlandse bedrijven de wachtwoorden gestolen. Die verschenen onlangs op een forum voor cybercriminelen. Het gaat onder andere om een dochterbedrijf van het industriële concern VDL, datacenterbedrijf ITB2 en de in kerstversieringen gespecialiseerde groothandel Coen Bakker Deco, zo meldt het Financieele Dagblad vandaag.
De kwetsbaarheid in Pulse Secure werd vorig jaar op 24 april gepatcht. Via het beveiligingslek in de software kan een aanvaller zonder inloggegevens de vpn-server van organisaties overnemen, alsmede alle vpn-clients. Alleen toegang via https en het versturen van een speciaal geprepareerde uri is voldoende om de kwetsbaarheid uit te buiten. Sinds 22 augustus vorig jaar vinden er ook daadwerkelijk aanvallen plaats.
In oktober waarschuwde het Nationaal Cyber Security Centrum (NCSC) nog dat veel Nederlandse organisaties gebruikmaakten van kwetsbare Pulse Secure-software. Een maand eerder meldde een beveiligingsonderzoeker dat tientallen Nederlandse bedrijven en organisaties de beschikbare update niet hadden geïnstalleerd.
Aanvallers kunnen via de kwetsbaarheid toegang tot de vpn-omgeving krijgen en het achterliggende netwerk aanvallen. Zo zijn er cybercriminelen die via het Pulse Secure-lek ransomware verspreiden. Afgelopen april waarschuwde het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid dat het meerdere incidenten had gezien waarbij vpn-wachtwoorden die via de kwetsbaarheid waren gestolen, maanden nadat organisaties de update hadden uitgerold, werden misbruikt.
Begin augustus publiceerde een gebruiker van een forum voor cybercriminelen een lijst met plaintext gebruikersnamen en wachtwoorden van negenhonderd zakelijk vpn-servers. Het ging daarnaast om ip-adressen, ssh-keys van elke server, lijst van alle lokale gebruikers en hun wachtwoordhashes, details van beheerderaccounts, laatste vpn-logins, waaronder gebruikersnamen en plaintext wachtwoorden, en vpn-sessiecookies, zo meldde ZDNet.
Het Nederlands Security Meldpunt liet vervolgens weten dat ook Nederlandse ip-adressen op de lijst voorkomen. Naast de Nederlandse bedrijven zijn ook het nationale onderzoeksinstituut van Spanje CSIC, porseleinfabrikant Villeroy & Boch en het Luxemburgse laboratoriumbedrijf Eurofins getroffen.
Bij Coen Bakker Deco was men niet op de hoogte van de aanval. De Pulse Secure-server van het bedrijf wordt sinds kort niet meer gebruikt. Ook ITB2 laat weten dat er geen gebruik meer van de server wordt gemaakt. VDL was niet in staat te reageren. Het FD meldt dat de bedrijven niet langer kwetsbaar zijn.
Overheid wist wie kwetsbaar was, maar liet bedrijven toch gehackt worden.
Met daaronder de kop van Ferd Grapperhaus.
En dan sta je toch even met de ogen te knipperen. Pardon? De Overheid wist wie kwetsbaar was en deed vervolgens niets? Als je dan het artikel leest op internet, dan slaat de schrik om je hart. Ik kan mij voorstellen dat men woest is over dit gedrag, want wat zou de overheid ervan vinden als ik een kwetsbaarheid bij hún tegenkom en vervolgens dit opzettelijk vezwijg waardoor de boel gehack kon worden? Zouden ze dit gedrag dan ook accepteren??!
Ben benieuwd wat de minister daarvan vindt als ik geen 112 zou bellen...
Maar, ik vind het wel erg makkelijk van de overheid. Waarom hebben ze dan geen nieuwsbrief systeem waarop iedereen zich mag aanmelden? En krijgt iedereen een melding over lekken. En de hackers weten die toch al, dus daar hoef je niet bang voor te zijn.
Maar ik vind ook dat de IT afdelingen wel heel erg laks zijn. Deze lek is breed in het nieuws geweest, en dat zou voldoende moeten zijn voor een beheerder om te kunnen acteren. Afschuiven op de overheid is zo makkelijk....
Dus zowel de IT beheerders als de overheid kunnen een stapje beter doen.....
TheYOSH
Overheid wist wie kwetsbaar was, maar liet bedrijven toch gehackt worden.
Met daaronder de kop van Ferd Grapperhaus.
En dan sta je toch even met de ogen te knipperen. Pardon? De Overheid wist wie kwetsbaar was en deed vervolgens niets? Als je dan het artikel leest op internet, dan slaat de schrik om je hart. Ik kan mij voorstellen dat men woest is over dit gedrag, want wat zou de overheid ervan vinden als ik een kwetsbaarheid bij hún tegenkom en vervolgens dit opzettelijk vezwijg waardoor de boel gehack kon worden? Zouden ze dit gedrag dan ook accepteren??!
Als diezelfde overheid ALLE systemen in Nederland zou controleren, dan is dit forum te klein voor alle verwensingen en scheldpartijen. Nu zouden ze dan opeens alle systeembeheerders moeten wijzen op hun probleem? Dat zou dan betekenen, dat de overheid dan alle systeembeheerders moet opnemen in een database en die moet dan up to date blijven! Aantasting van de privacy, volgens vele reaguurders op dit forum. Volgens mij was jouw reactie een onderbuikgevoel, maar niet nagedacht over het hoe en waarom, om maar niet te spreken over het mandaat wat NCSC , wat ze wel en niet mogen.
Precies. Dus eigen zaakjes op orde brengen in plaats van wijzen naar de overheid die het voor je moet regelen. Lekker makkelijk zo'n 'gratis' waarschuwingsdienst. En vervolgens allemaal maar klagen als de overheidsuitgaven stijgen.
In het artikel in de FD wordt ook expliciet benoemd dat het teveel werk was om alle bedrijven zelf aan te schrijven en daarom de bevindingen maar zijn gedeeld met het NCSC. Vervolgens publiekelijk klagen als zij niks met deze meldingen doen, terwijl ze niet eens het mandaat hebben. Niet echt chique.
Maar goed: mocht die gratis waarschuwingsdienst er wel komen, dan kan ik weer wat cybersecurity budget besparen. Hoef ik weer wat minder zelf te regelen. Behalve dan zeuren als ze een vulnerability op mijn internet opgangen missen of te laat melden.
Maar, ik vind het wel erg makkelijk van de overheid. Waarom hebben ze dan geen nieuwsbrief systeem waarop iedereen zich mag aanmelden? En krijgt iedereen een melding over lekken. En de hackers weten die toch al, dus daar hoef je niet bang voor te zijn.
Maar ik vind ook dat de IT afdelingen wel heel erg laks zijn. Deze lek is breed in het nieuws geweest, en dat zou voldoende moeten zijn voor een beheerder om te kunnen acteren. Afschuiven op de overheid is zo makkelijk....
Dus zowel de IT beheerders als de overheid kunnen een stapje beter doen.....
TheYOSH
https://www.ncsc.nl/actueel/advisory?id=NCSC-2019-0353
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
