Qilin-ransomware: de aanvalsketen stap voor stap en waar je hem onderbreekt

Thu, 08 Oct 2026 17:20:16 +0200

Ransomware komt zelden binnen als een bestand dat ineens alles versleutelt. Tussen de eerste toegang en het losgeldbericht zitten vaak dagen tot weken waarin een aanvaller rondkijkt, wachtwoorden verzamelt, beveiliging uitschakelt en data wegsluist. Elke stap daarin laat sporen na, en dus ook een kans om in te grijpen.

Qilin is een goed voorbeeld om dat langs te lopen. De groep werkt als ransomware-as-a-service: een kern ontwikkelt de tooling, affiliates voeren de aanvallen uit. Volgens Barracuda claimde Qilin in 2025 meer dan duizend slachtoffers op de leaksite, met in de tweede helft van het jaar meer dan veertig per maand. Het Center for Internet Security noemt de groep in het tweede kwartaal van 2025 de actiefste ransomware tegen Amerikaanse lokale en regionale overheden, met zorg als een van de getroffen sectoren.

Verdachte aanmelding in Entra ID: zo onderzoek je het met KQL

Wed, 07 Oct 2026 14:40:35 +0200

Een gebruiker meldt dat hij een MFA-prompt kreeg die hij niet zelf startte. Of er komt een alert binnen voor een aanmelding vanuit een land waar je geen medewerkers hebt. Daarna begint het eigenlijke werk, en dat vraagt om drie antwoorden: is er daadwerkelijk ingelogd, hoe is dat gelukt, en wat is er daarna gedaan?

In dit artikel loop ik langs de volgorde die ik daarvoor aanhoud. De voorbeelden zijn KQL-queries op de Entra-logs in een Log Analytics-workspace. Alle gebruikersnamen, IP-adressen en ASN’s in de voorbeelden zijn fictief. Het artikel is een vervolg op device code phishing, waar ik kort noemde dat je op die aanmeldingen moet monitoren, maar niet hoe.

KQL on mpeeters.nl

Qilin-ransomware: de aanvalsketen stap voor stap en waar je hem onderbreekt

Verdachte aanmelding in Entra ID: zo onderzoek je het met KQL