Incident response on mpeeters.nl

Qilin-ransomware: de aanvalsketen stap voor stap en waar je hem onderbreekt

Thu, 08 Oct 2026 17:20:16 +0200

Ransomware komt zelden binnen als een bestand dat ineens alles versleutelt. Tussen de eerste toegang en het losgeldbericht zitten vaak dagen tot weken waarin een aanvaller rondkijkt, wachtwoorden verzamelt, beveiliging uitschakelt en data wegsluist. Elke stap daarin laat sporen na, en dus ook een kans om in te grijpen.

Qilin is een goed voorbeeld om dat langs te lopen. De groep werkt als ransomware-as-a-service: een kern ontwikkelt de tooling, affiliates voeren de aanvallen uit. Volgens Barracuda claimde Qilin in 2025 meer dan duizend slachtoffers op de leaksite, met in de tweede helft van het jaar meer dan veertig per maand. Het Center for Internet Security noemt de groep in het tweede kwartaal van 2025 de actiefste ransomware tegen Amerikaanse lokale en regionale overheden, met zorg als een van de getroffen sectoren.

Verdachte aanmelding in Entra ID: zo onderzoek je het met KQL

Wed, 07 Oct 2026 14:40:35 +0200

Een gebruiker meldt dat hij een MFA-prompt kreeg die hij niet zelf startte. Of er komt een alert binnen voor een aanmelding vanuit een land waar je geen medewerkers hebt. Daarna begint het eigenlijke werk, en dat vraagt om drie antwoorden: is er daadwerkelijk ingelogd, hoe is dat gelukt, en wat is er daarna gedaan?

In dit artikel loop ik langs de volgorde die ik daarvoor aanhoud. De voorbeelden zijn KQL-queries op de Entra-logs in een Log Analytics-workspace. Alle gebruikersnamen, IP-adressen en ASN’s in de voorbeelden zijn fictief. Het artikel is een vervolg op device code phishing, waar ik kort noemde dat je op die aanmeldingen moet monitoren, maar niet hoe.

Exchange: een ingelogde gebruiker kan andermans mailbox lezen (CVE-2026-96940)

Tue, 06 Oct 2026 10:30:10 +0200

Op 2 oktober 2026 bracht Microsoft de beveiligingsupdates van september voor Exchange Server opnieuw uit, als “V2”. Reden: een kwetsbaarheid die in de eerste release ontbrak, CVE-2026-96940. Een aanvaller die al kan inloggen, kan er mailboxen van andere gebruikers binnen dezelfde organisatie mee lezen, inclusief berichten en bijlagen. Wie de septemberupdate al had geïnstalleerd, is dus niet klaar.

Dit artikel scheidt wat uit de bronnen komt van wat mijn eigen analyse is, want er is nog weinig technische informatie openbaar.

NetScaler weer onder vuur: patchen is deze keer niet genoeg

Sun, 04 Oct 2026 10:00:00 +0200

Als er één categorie apparaten is die de afgelopen jaren keer op keer in het nieuws komt, is het de edge: de firewalls, VPN-gateways en load balancers die aan de rand van je netwerk hangen. Citrix NetScaler staat daarbij bovenaan. Begin oktober 2026 is het weer raak, en deze keer met een reeks kwetsbaarheden waarvan er twee al werden misbruikt voordat er een patch was.

Wat er speelt

Citrix heeft updates uitgebracht voor acht kwetsbaarheden in NetScaler ADC en NetScaler Gateway, met kenmerken CVE-2026-88771 tot en met CVE-2026-88778. Drie daarvan zijn als kritiek aangemerkt. Het NCSC schaalt het geheel in als hoog risico, hoge schade.