Sinds juni vorig jaar zijn zo'n driehonderd organisaties wereldwijd het slachtoffer van de Play-ransomware geworden, zo stelt de FBI. Het gaat onder andere om de gemeente Antwerpen, de Nederlandse maritiem dienstverlener Royal Dirkzwager en woningcorporatie Woonkracht10. Om toegang tot de systemen van aangevallen organisaties te krijgen maakt de ransomwaregroep van gecompromitteerde accounts en bekende kwetsbaarheden.

Het gaat mede om jaren oude beveiligingslekken in FortiOS en en Microsoft Exchange. Zodra er toegang tot een netwerk is verkregen schakelen de aanvallers antivirussoftware uit en verwijderen logbestanden. Tevens proberen de aanvallers inloggegevens te onderscheppen waarmee ze zich lateraal in het netwerk kunnen verspreiden. Voordat de groep begint met het uitrollen van de ransomware worden eerst allerlei bestanden gestolen. Als de aangevallen organisatie niet betaalt dreigt de groep de gestolen gegevens openbaar te maken.

In een vandaag gepubliceerde Cybersecurity Advisory over de Play-ransomware roept de FBI organisaties op om vandaag nog bekende, aangevallen kwetsbaarheden in hun systemen te verhelpen, multifactorauthenticatie (MFA) voor alle accounts in te schakelen, en dan met name voor VPN, webmail en accounts die toegang tot belangrijke systemen hebben, het tijdig installeren van beveiligingsupdates en het laten scannen op kwetsbaarheden (pdf).