Cyberhelden 85 - De afperser wordt afgeperst

De hele dag spullen van anderen stelen, maar boos worden als iemand jouw zero-day pikt. Ook cybercriminelen hebben principes. ShinyHunters neemt de leksite van Cl0p over, en zet op hun eigen site de ransomware note en vraagt geld. En excuses. Het moet wel netjes blijven.

Daar blijft het niet bij: ShinyHunters claimt ook bij de FBI te zijn binnengedrongen, na eerdere ruzie over een waarschuwing van de dienst. Via PeopleSoft, software waarmee organisaties onder meer hun personeelszaken regelen, zouden gevoelige gegevens zijn buitgemaakt. Wat doe je als organisatie die iedereen adviseert niet te betalen (FBI), als mogelijk je eigen medewerkers gevaar lopen? En hoeveel van je infrastructuur wil je eigenlijk beschrijven in een openbaar privacyrapport?

Google heeft ondertussen een andere manier om te weten wat hackers uitspoken: gewoon in de groepschat zitten. Een Mandiant-analist bouwde maandenlang een online identiteit en een relatie met een hacker op. Toen die bij TeamPCP werd uitgenodigd, mocht de analist mee. Zo kon Google meekijken met de groep die softwarepakketten besmette om ontwikkelaars en hun werkgevers binnen te komen.

Maar hoe word je in zo'n klein clubje vertrouwd zonder mee te hacken? Volgens Google deed de analist dat niet. Wij hebben daar nog wel wat vragen bij. En dan het bekende dilemma: laat je gestolen toegangssleutels intrekken om slachtoffers te beschermen, of blijf je kijken om meer te weten te komen? De Cyber Disruption Unit klinkt in ieder geval als een afdeling waar we best even zouden willen rondlopen.

Ook te koop: online beïnvloeding, inclusief opleiding voor je eigen overheidsmedewerkers. Citizen Lab onderzocht het Israëlische BlackCore en vond materiaal over een campagne voor de Angolese overheid. Een nepnieuwsmedium, verzonnen profielen en trainingen om de berichten bij het juiste publiek te krijgen. Alleen bleek de advertentietool van Meta nogal ingewikkeld. Je kunt informatieoorlogvoering bestellen, maar iemand moet nog steeds snappen waar je moet klikken.

Na Cambridge Analytica dacht Jelle dat deze handel wat was weggeëbd. Blijkt die nog springlevend. We bespreken hoe die kennis zich verspreidt en hoe je zo'n operatie via domeinen en accounts kunt uitpluizen.

Verder een Noord-Koreaanse laptopfarm in Japan en onze eigen technische vooruitgang: Marco wordt twaalfde bij de Nationale Hackers Cup, zonder AI. Jelle vraagt AI om hogere plyoboxen en krijgt een vrouw die schoenendozen stapelt. Ronald print twee kilo filament aan onderdelen die niet passen. Claude noemt het reserveonderdelen. Ronald niet.

Bronnen:
- ShinyHunters versus Cl0p: https://www.bleepingcomputer.com/news/security/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang/
- De FBI-claim en wat nog niet bevestigd is: https://www.bleepingcomputer.com/news/security/shinyhunters-claims-fbi-hack-data-theft-in-peoplesoft-zero-day-breach/
- Google undercover bij TeamPCP: https://www.wired.com/story/an-undercover-google-analyst-infiltrated-a-notorious-supply-chain-hacking-gang/
- Citizen Lab over BlackCore: https://citizenlab.ca/research/blackcores-influence-operations-for-hire/
- Achtergrond Nederland/NAVO: stukken over doelgroepanalyse, opleidingen en project LARAHA (2016): https://open.overheid.nl/documenten/ronl-d7b701a3-aee9-4e99-b6bd-aabe4aaaec20/pdf