Beveiligingsbedrijf Exaforce laat aan de hand van drie praktijkvoorbeelden zien hoe aanvallers tegenwoordig binnen enkele minuten van eerste toegang naar daadwerkelijke dataexfiltratie gaan, en waarom traditionele, handmatige detectie dat tempo niet meer bijbeent.
Het eerste voorbeeld draait om een OAuth-token dat een ontwikkelaar in maart aanmaakte via GitHub Desktop en dat vervolgens 95 dagen in de Mac-sleutelhanger bleef staan. Op 19 juni gebruikte iemand anders dat token om via residentiële proxies in ongeveer vijftien seconden 76 repositories te downloaden, zonder dat GitHub een waarschuwing gaf. Exaforce noemt in dezelfde context vergiftigde npm-pakketten en de worm Shai-Hulud, die tokens van ontwikkelaarsmachines steelt zodra een kwaadaardig pakket wordt geïnstalleerd.
Het tweede voorbeeld gaat over een ClickFix-aanval. Medewerkers die op zoek waren naar installatie-instructies voor Claude Code kwamen uit bij een gedeelde Claude-chat met een installatiecommando. Dat commando installeerde in werkelijkheid een macOS-stealer, die een nagebootst wachtwoordvenster toont en vervolgens sleutelhanger, browsercookies en cloudcredentials buitmaakt. Omdat het slachtoffer het commando zelf uitvoert, omzeilt de aanval e-mailfiltering en downloadcontroles.
Het derde voorbeeld betreft MFA-phishing via een nep-helpdesk. Een aanvaller die zich voordeed als IT-medewerker liet een slachtoffer inloggen op een nepportaal en een echte MFA-prompt goedkeuren. In één geval registreerde de aanvaller vervolgens een eigen MFA-apparaat en begon 2,5 tot 7 minuten later aan een bulkdownload van 140.000 bestanden, gevolgd door een losgeldeis. In een ander geval werd een gestolen sessietoken binnen één seconde vanuit twee verschillende landen hergebruikt.
Volgens Exaforce begint exfiltratie doorgaans al binnen vijftien minuten na de eerste toegang, en loopt die soms nog 44 minuten tot drie uur door nadat een sessie bij de identiteitsprovider al is ingetrokken. Het bedrijf pleit daarom voor detectie die zwakke signalen combineert, zoals nieuwe locaties, ongebruikelijke user agents en een nieuw MFA-apparaat vanaf een onbekend netwerk, en voor respons die automatisch laagdrempelige acties uitvoert, zoals het intrekken van sessies, terwijl ingrijpender stappen zoals accountuitschakeling een mens in de lus houden. Ook benadrukt Exaforce dat het intrekken van een sessie bij de identiteitsprovider niet automatisch tokens bij andere diensten zoals Microsoft 365, AWS of GitHub ongeldig maakt. Organisaties moeten dat per dienst vooraf hebben ingericht en getest.
Voor Nederlandse bedrijven is de les vooral dat reactietijd telt. Wie pas na een uur naar meldingen kijkt, is in veel van deze scenario’s al te laat. Investeer in detectie die geautomatiseerd kan reageren op sterke signalen, en test vooraf of een ingetrokken sessie bij de identiteitsprovider daadwerkelijk ook de toegang tot gekoppelde clouddiensten blokkeert.
Bron: Exaforce via BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.