Als je via deze link een abonnement afsluit, ontvangen wij een commissie van Nord Security — zonder extra kosten voor jou. Dit heeft geen invloed op onze redactionele beoordeling.
Beveiligingsbedrijf Eye Security ontdekte een verlopen updatefunctie in een gemodificeerde versie uit 2014 van de BitTorrent-client Time4Popcorn, die naar schatting nog altijd op 2,5 miljoen Windows-pc’s en 300.000 Mac-computers actief was. Veel van de domeinen waarmee die updater contact zocht, stonden open voor registratie. Wie ze had opgepikt, had in principe willekeurige software kunnen pushen naar al die machines.
Het probleem zat diep. De updater gebruikte geen codeondertekening, communiceerde via onversleuteld HTTP en voerde programma’s uit met SYSTEM-rechten, het hoogste rechtenniveau op Windows. Eye Security reverse-engineerde de updater en herschreef die zodat hij niet langer contact zoekt met de oude domeinen. Zoals de onderzoekers het samenvatten: er was geen leverancier meer om dit te patchen en er stond ook geen update onderweg.
Verlaten domeinen als opstap voor aanvallers
Het incident staat niet op zichzelf. Zogeheten dropcatch-domeinen, verlopen of verlaten domeinnamen die door iemand anders opnieuw worden geregistreerd, vormen een groeiend risico nu ontwikkelaars oudere software steeds vaker gewoon laten staan. Onderzoeksbureau watchTowr registreerde in 2025 een reeks verlaten Amazon S3-opslagbuckets en ontving daarop binnen korte tijd meer dan acht miljoen HTTP-verzoeken, een indicatie van hoeveel software en scripts nog altijd blind naar verdwenen infrastructuur blijven verwijzen. Volgens watchTowr-ceo Benjamin Harris maakt AI het voor aanvallers inmiddels veel eenvoudiger om software te vinden die contact zoekt met onuitgegeven of verlaten domeinen.
Renée Burton van dreigingsonderzoeksbedrijf Infoblox noemt dit soort verweesde domeinen in softwareketens zelfs een serieuzer probleem dan typosquatting of phishing-lookalikes, omdat de software zelf al vertrouwd wordt uitgevoerd. Infoblox heeft naar eigen zeggen honderden van dergelijke domeinen zelf geregistreerd om te voorkomen dat aanvallers ze in handen krijgen. Het bekendste precedent is de Polyfill.io-zaak uit 2024, waarbij een verkocht domein werd gebruikt om tienduizenden websites om te leiden naar kwaadaardige inhoud.
Organisaties kunnen zich hiertegen wapenen door in kaart te brengen welke domeinen hun software en apparatuur van medewerkers daadwerkelijk benaderen, die controle ook uit te breiden naar thuis- en BYOD-apparaten, en als sector tijdig waardevolle domeinen op te kopen voordat ze vrijkomen voor aanvallers.
Relevant voor Nederlandse bedrijven met oudere software
Veel Nederlandse mkb-bedrijven draaien naast moderne cloudsystemen nog altijd oudere applicaties, tools van overgenomen bedrijven of maatwerksoftware waarvan de oorspronkelijke leverancier niet meer bestaat. Precies dat soort software is het risico uit dit verhaal: niemand controleert nog actief of de domeinen waarmee die programma’s ooit communiceerden, nog in vertrouwde handen zijn. Het is de moeite waard om periodiek uitgaand netwerkverkeer te controleren op verbindingen naar oude of onbekende domeinen, en software die al jaren geen onderhoud meer krijgt serieus te overwegen uit te faseren in plaats van te laten draaien tot er iets misgaat.
Bron: Dark Reading
Wat betekent dit voor jouw bedrijf?
Bedrijven die nog oudere, niet meer onderhouden software of maatwerkapplicaties draaien, doen er goed aan periodiek te controleren welke domeinen die software benadert en wie die domeinen nu beheert. Een verlopen domein van een opgeheven leverancier is een onbewaakt pad naar SYSTEM-rechten op je machines.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.