Cyberhelden 86 - Wacht, kopen wij die Russische software ook?

TUNE We hebben alweer een nieuwe aflevering van Cyber Helden. De podcasts waren op een luchtige manier en stonden ook wel wat serieuzer in gesprek gaan over de digitale dreiging.

Ik ben Ronald Prins en vandaag zit ik weer aan tafel met mijn vaste co-host Marco Kuipers en Jelle van Haaster. Haha, hallo! Hallo mees! Hallo mees! We gaan weer even door het cybernieuws heen, het was weer een week jongens. Maar? Zoals altijd beginnen we eventjes met wat heeft de week ons gebracht? Marco, begin jij eens. Ik begin nou ook hier, dat is goed. Ik heb ruzie met mijn AI's zoals per usual. Ik ben lekker met implementatie bezig.

Ik word nu helemaal plat gebeld door mijn agent, omdat hij nog aan het uitvinden is hoe vaak hij mag bellen. Tussen heb ik ook een beetje mede door mijn zoontje weer mijn plastic crack addiction opgepakt namelijk mijn Warhammer minifakes schilderden. Dus ik probeer er s'avonds echt even zen van alles. Want dat kan mijn AI modellen nog niet he, dat schilderen. Maar het is met die super mooie dunne penseeltjes toch? Ja precies, dus dan doe ik een eeuwigheid over één schilder schilderen. Want ik moet dat ook wel heel precies op de lijntjes natuurlijk. En niet trillen he, niet veel alcohol. Precies, heel mijn leven staat nu in het teken van die pens heel stil houden.

Wat goed. Jelle, jij bent een beetje zitten kraken zie ik. Ik had vorige week van Marco een bericht gestuurd in onze app over, er is een bepaalde encryptie uit de Eerste Wereldoorlog gekraakt met behulp van GPT-6 Astra. Dus het toen nieuwste model van OpenAI. En vervolgens als ik daarop aan het doorreageerde, dacht ik misschien kunnen we daar ooit de item over maken. Enigma is ooit gekraakt, maar een deel van de berichten die zijn of er zitten foutjes in, die zijn niet allemaal te kraken. Die staan nog allemaal online en zijn allerlei mensen bezig om die proberen te kraken.

En dus dat GPT-6 Astra dat had gedaan. En toen ben ik dit rabbit hole ingedoken. En dit heeft me twee nachten van mijn leven gekost. Want er staan nog een paar dingen daar ook online. Dus troepenschlussel. Dus je had enigma, wat ze dan vroeger gebruikt op bataillons en brigaderniveau verder. En dan troepenschlussel was gewoon in het veld een verbindelaar die dan twee kastensysteem had. Dus aan de ene kant een alfabetje, aan de andere kant een alfabetje en dan daarmee eigenlijk allerlei versleuteling deed.

Dat systeem is ooit in 2011 helemaal uitgezocht door stel cryptologen. Maar er zijn ook nog steeds heel veel sleutels die onbekend zijn. Dus ik dacht, ik heb wat tokens over. Ik ga hier proberen of dit echt zo makkelijk is. En dan kom je erachter, dit is helemaal niet zo makkelijk. Het is niet dat je gewoon GPT-6 Astra aftrapt. Dat was een beetje mijn verwachting, mijn naïve verwachting. Ik laat op een nachtje ronken en wat het mooi is aan die website. Als je het kraakt, dan mag je namer achter komen te staan met de datum dat jij het gekraakt hebt.

En je kan de geschiedenis herschrijven natuurlijk als eindelijk bekend is wat er in die berichten stond. Ja, dit is best wel een vette bericht die dan daar stonden. Op een operatie Barbarossa, dus dat er een paar eenheden diep in Rusland bezig zijn. En het is een combinatie van techniek, dus geen TWA-toepas om dit soort dingen te ontsleutelen. Het gebruiken van crips heet het volgens mij. Dat je woorden waarvan je weet, misschien staat hij wel in het bericht toepassen. En dat is die hele zoektocht. Hartstikke leuk natuurlijk wat je op die manier met AI kan.

En dan lijkt het allemaal een stuk makkelijker, maar je moet het echt snappen. En soms een klein beetje de goede kant op zetten. Maar uiteindelijk gaat hij ook wel vinden online hoe anderen het gedaan hebben. En kan je hem wel los laten gaan, maar het is nog te nieuw denk ik. En ik weet iemand, die ken je misschien ook wel, die vaste luisteraar van ons. Die is aan het promoveren op dit soort oude crypto-dingetjes van ook uit de 1800 en 1700. Ik vertel later wel wie het is dan. Oké, wel met. En help, alsjeblieft help. Help mij. Help mij met trupenslussel uit 1941 in Rusland.

Ja, en ik zelf, oh ja, ik ben wat minder digitaal bezig geweest. Ik ben bezig met mijn Bujwaka Wego. Wego. Jullie weten wel wat het is. Ik zat helemaal aan het denken aan Wago. Wago uit de OT-systemen waar ik een paar weken over hadden. Maar dit is Wego. Wego. En het is gewoon een caravan die achter de auto zit. Ik ga mijn caravan op pad. Maar dit is een 4x4 ding, dus echt helemaal vet. En je moet alles weer aan de boot denken met de dikke lithium-ion batterij erin.

Zo zelfvoorzienend. Laatstompen, koelkasten, zonnepanelen bovenop. Een douche binnenin. Een giezer, een gijzer. Een aircon en een wasthebo om lekker warm te blijven in de nacht. Eigenlijk is het allemaal een al techniek en dan gaan wij weer in de natuur in. En dan wacht het nog maar even dat Starlink werkt. En dan is er niet alle romantiek weer helemaal weg van het kamperen. Maar uiteindelijk gaan we dus braaien. Oh ja, dat zit er ook nog in, een grote braai. Ja, wat vet. Dus maandag gaan we weg.

Oh ja, volgende week ben ik er niet bij. Moeten jullie het saamtjes even zien te redden. Oh no. Zonder zijwieltjes. Zonder zijwieltjes, nou, jullie kunnen dat prima. En anders is het wel een AI stemmetje te vinden die mij nadoet, denk ik. Ja, dit is vet. Oké, we gaan naar de nieuwtjes. We hebben best wel wat leuke dingen volgens mij. En je leest als eerste iets over auto's. Ja, korte update op die aflevering 84. Daar had Marco en ik nog even die discussie over van, hey, hoe zit dat met enclaves? Marco had uitgezocht dat de toaloge van Ianzhou, dat die inderdaad niet,

of dat nou wel niet een Chinese enclave blijft staan in Europa als data verzonden wordt met bepaalde Chinese systemen. En er zijn dus Noorse onderzoekers geweest die dus een NIO ES8, letterlijk een grot in hebben gereden in een berg om alle interferentie uit te sluiten en zo. En zijn vervolgens gaan meten van, wat komt er uit zo'n wagen? Ja, en wat blijkt dus uit die wagen, ook al adverteert dit automerk met dat alle data in Europa blijft. Dat 90 procent van de data gaat naar China toe en de overige 10 procent gaat naar Nederland, Duitsland en Frankrijk volgens mij toe.

Dus ook al hebben ze het over Europese enclaves, dat een heel deel van de data, ik weet niet precies welke data dat is, maar dat die gewoon naar mainland China gaat. Maar ja, als die in die tunnel staat dan zien ze toch helemaal geen, omdat die geen connectie kan opzetten, zien ze ook helemaal niet wat er overheen gaat. Misschien zegt hij alleen maar, is er een update die kan downloaden? Ja, ik weet niet of die tunnel, ik denk ook dat je deze test zou kunnen herhalen gewoon buiten de tunnel. Maar die Noorse onderzoekers dachten, nee, we gaan het in een tunnel doen. En daar hebben ze dus ook een bus in gereden om te kijken wat daaruit komt. Nee, dat zijn allemaal dezelfde onderzoekers die hiernaar kijken.

Weten zij wel welke data eruit komt en hebben ze dat gewoon niet gedeeld? Of weten ze gewoon niet omdat ze natuurlijk de server kan niet kunnen reproduceren ofzo? Dit stond op een heel slechte website van Yahoo News was dit. En vervolgens zat er wel een bericht achter waar je op door kon klikken. Maar als je dat soort details wil in het Noorse, dan moet je denk ik even doorklikken. Dit wat ik niet heb gedaan, ik dacht snelle update. En ten noorde ik ook nog dus dat de AFD vanochtend dus ook nog een keer een advisory heeft gelanceerd over slimme auto's als spion. Ik vind het wel snel, wij komen er donderdag mee in de uitzending.

En bijna een week later, dus minder dan een week later, hebben ze er al een heel mooie advisory over geschreven. Ik vind het ook heel snel getimed, hebben ze dat heel goed geplant. Ja, nou wat gaan ze volgende week van de advisory uitbrengen dan? Dat zien we straks aan de volgende verhalen. Over shiny hunters enzo. Oké, ja en dit heeft iedereen wel meegekregen denk ik. De arrestatie van een jongen Pepijn. En dat ging heel hard rond afgelopen week. De politie heeft in Amsterdam een 24 jarige man opgepakt in het onderzoek naar shiny hunters.

Althans volgens shiny hunters zelf is hij helemaal geen lid van die groep. Maar dat is wel de groep die we allemaal kennen van de odidohek, ticketmaster en de auto's. Je hebt Pornhub, Marco. Ja, had hij ook gepakt. En hij claimde dus vorige week ook de FBI te hebben gehackt. Ja, althans niet Pepijn claimde dat, want hij zal het alvast doen. Shiny hunters claimde dat ze de FBI hebben gehackt. Daar hebben we niet veel meer van gezien trouwens volgens mij. Alleen maar die claim, Reuters heeft dat wel een paar dingen kunnen bevestigen.

Van dat het in aardige klopte dat namen inderdaad FBI mensen waren. En die namen kon je niet zelf maar op een andere manier heel makkelijk vinden. Dus zij hadden wel iets van data. Oké, maar het is wel duidelijk wie dat is. Het is geen onbekende. Hij werd in 2023 al veroordeeld voor vier jaar cel voor het hacken, afpersing en witwassen. Hij werkte toen overdag bij een securitybedrijf. Wel even middelaat welke dat is. En hij deed gewilligers werk voor de DVD. En zaterdag persed hij de bedrijven af en verkocht hij gestolen data.

Dat is natuurlijk niet zo'n hele leuke combinatie en ik vind ze echt wel uniek. Er wordt heel vaak, je werd mij ook altijd gevraagd van de collega's die ik had bij een securitybedrijf. Hoe kan ik ze nou vertrouwen? Want ze kunnen zoveel van die dingen. Ik heb nooit iets van gemerkt dat een professional ook aan de verkeerde kant bezig was. Dat kan zijn of ze heel goed waren of het is echt heel uniek dat iemand de mist in gaat. Het triest is wel dat hij kwam begin dit jaar vrij. En hij was ook weer snel aan het werk als offensive security lead bij een ander bedrijf in Amsterdam. En zijn baas die zegt dat hij hem zorgvuldig had doorgelicht.

Ik weet niet hoe je dat dan doet want je weet alles van hem. Maar hij wou gewoon een tweede kans geven. En die jongen is natuurlijk ook een goede hacker. Op zich denk ik glovenzwaardig dat je dat probeert. Hij is er alleen wel eerder teleurgesteld in nu denk ik. Hij is aangehouden, dat is twee weken geleden ongeveer, op 15 september. En dat gaat dan op de manier zoals heel vaak hackers worden aangehouden door de DSI. Die dient speciale interventies, dat ziet er heel heftig uit in de straat. En die jongens kunnen ook niet zachtjes binnenkomen. In dit geval hebben ze een woning met flitsgranaten gebruikt om binnen te komen.

Ja dat is echt wel een heel zwaar middel eigenlijk voor een hacker. Dat doe je normaal als je verwacht dat er een vuurwapengevaarlijke verdachte is. En dat hij op je gaat schieten. En die flitsgranaten hebben jullie ook veel meegespeeld als militairen denk ik. De flitsgranaten niet wel van die Thunderflashers. Two Flas van die oefengranaten. Dat is lachman. Niet altijd maar best wel lach. Jullie kunnen zelf invullen waarom ze op deze manier de jongen hebben aangehouden toch? Ik denk vooral verrassingseffect. Het probleem met die hackers natuurlijk dat ze hebben ook iets van opzek.

Dus die weten heel goed hoe ze zichzelf veilig moeten houden. De politie heeft ontzettend vaak zoekingen gedaan. En dan kwamen ze, standaard tijd is 4 uur, 5 uur. Morgen staan ze aan je deur. Ook een hacker is dan ongeveer net als een bed in en ligt aan het slapen. En alles, zijn laptop zat dicht en je telefoon ook. En alles is gelokt. En dan doe je je inval en neem je al die spullen in beslag. En dan kan er niets meer mee want dat is allemaal versleuteld. Dus ze hebben ze wel geleerd. En nu wachten ze gewoon. Ze hebben daar middelen voor om te zien of iemand echt achter zijn laptop zit. En soms kan je gewoon iemand door de raam zien dat die achter zijn laptop zit. En op dat moment ga je dus naar binnen.

En dan hoop je maar dat hij niet zo slim is om heel snel zijn laptop dicht te klikken. Of op een andere manier zijn spullen te lokken. En in dit geval bleek ook dus wel dat het politie gelukt was om gegevensdragers in beslag te nemen. Die nog open stonden, die van die versleuteld waren. Er stond informatie op over twee moorden die in een buitenland gepleegd zouden moeten worden. Met aanwijzingen dat hij daar opdracht voor gaf. Dat is echt wel heel pittig. Dat heb ik nu ook in fysieke doen mij wel doen. De FBI noemt hem een van de vermoedelijke leiders van Shiny Hunters.

De Nederlandse politie is veel bezichtiger erin en zegt dat het nog niet duidelijk is welke rol hij had. Shiny Hunter zelf ontkent elke band met hem. Dat helpt hem ook wel natuurlijk. En opvallend detail is dat de FBI hack gebeurde op 21 september. Dat was een week nadat hij vast zat. Dus daarvoor is de FBI niet naar hem op zoek. Toch denk ik dat we niet gek van moeten kijken als hij straks uiteindelijk wel wordt uitgeleverd. Er zal ongetwijfeld druk op komen om dit te doen. Om het uit te leveren. Gezien de huidige fit die tussen FBI en Shiny Hunters.

Uiteindelijk een triest verhaal. Dit gaat niet fijn aflopen denk ik uiteindelijk voor Pepijn. Hij leek zo goed op weg. Iemand had hem ook een mooie kans geboden. Die kans gaat hij niet nog een keer krijgen. Er gaat niemand meer in trappen. Nou, Rusland misschien. Ja, wacht in de straat wonen bij Snowden. Oké Mark al. Ja, een ander random nieuwtje wat ik tegenkwam. We hebben het in onze aflevering weleens gehad over hoe bijvoorbeeld Chinese suppliers uit onze telecomnetwerken geweerd worden.

En ik wist het niet, maar begin dit jaar, 20 januari kwam de EU of de Europees Commissie moet ik zeggen met een voorstel. Onder de nieuwe Cyber Security Act met daarin dat zogenoemde high risk suppliers uit belangrijke delen van mobile telecomnetwerken moeten verdwijnen. En dan hadden ze ook best wel een korte termijn voor ingesteld namelijk 36 maanden. En dan moet alles wat formeel als high risk is aangewezen eigenlijk vervangen zijn voor een alternatief. Nou, daar kwam allerlei ophef over. Dit gaat er gewoon over bauwaai.

Inderdaad onder bauwaai maar ook ZTE en andere apparatuur. Ja, kwam wat ophef. De industrie die stelde zo'n mooie brief op dat de kosten toen ongeveer 40 miljard gaan oplopen. Dus dat is vrij fors. Nu kwam Reuters ermee dat ze nieuwe concepttexten onder ogen hebben gehad. En daarin is in ieder geval die termijn van 36 maanden geschrapt. Dus dat was wel interessant dat het nu meer risico gedreven is en ook op basis van vervangingsmomenten van apparatuur. En eigenlijk zeg maar een beetje in schikken richting de industrie van oké, oké, oké.

Dan gaan we gewoon kijken hoe het wel kunnen doen. Maar er wordt dus nu alleen maar gezegd ze mogen het niet meer kopen. Maar als je het hebt, dan moet je het maar uitfaseren. Ja, dan moet het inderdaad wat meer natuurlijk, tussen aangezegens natuurlijk uitgefaseerd worden. Als je dan kijkt naar Nederland, we hadden al best wel strakke regels hier op. De KPN heeft al heel veel uit de core gehaald wat met gewaarwedigd is. Het werd een beetje losgetrokken. Maar de radioapparatuur, dus eigenlijk alles wat richting de antennes en dergelijke gaat, die was nog niet als kritiek behandeld. Maar als deze act dus doorgaat, dan moet KPN dat ook gaan vervangen.

En Odido had de rechtszaak al verloren. Die moesten sowieso alles vervangen wat GWAB-NZE was. Dus die zijn al volledig over op Nokia en Ericsson. Maar goed, ik vond het wel een interessant stukje over hoe dat nu in telkoweland zit met Chinese suppliers. In dit geval, ik noem het even Chinese, maar hoog risico suppliers. Ja, en dat de EU dus toch best wel bovenop zit inmiddels met hun proposal. En ik zie ook dat er zo'n onderscheid wordt gemaakt tussen de kritieke delen. Dat zijn dus de delen die dieper in het netwerk zitten versus de radio access network. Dus de buitenkant is de echte zenders en zo.

En die zouden dan niet kritisch zijn? Nou, dat was nu nog niet kritisch in de huidige, wat wij bij KPN opleggen als Nederland. Nederland heeft al een striktere regiogegeving. Maar onder deze act gaat dat mogelijk veranderen. Dus dan zou KPN ook daar opeens de apparatuur moeten vervangen. Dat is nog nooit aangetoond, dat Huawei achterduurtjes heeft. Ook dat, ja. En we zijn best wel ver, want KPN is er al bijna volledig over. Behalve dus dat radio access netwerk. En Odido is ook al weg met richting Ericsson gaan.

Nou moeten we dus nog even van Salesforce af. Jelle! Jij hebt iets leuks in je iCloud agenda gevonden. Ja, ik vond het gewoon weer interessant omdat je dan weer ziet dat alles als command-and-control kanaal gebruikt kan worden voor malware. Dus je had de WhatsApp, Telegram, je... Weet ik wel, command-and-control, even een stuur gewoon servers die pingen. Tot het moment eigenlijk elk kanaal wat mogelijk is. Discord is volgens mij ook een keer gebruikt. YouTube-comments zijn gebruikt. En het is eigenlijk de volgende dus dat Kraspersky rapporteert, dat Macsync bepaalde malware.

Dat die iCloud agenda gebruikt als command-and-control kanaal. Wat de hele aanval is, dat ze eerst gewoon mensen probeerden lek te maken voor hun crypto-wallet. Voor je Mac, Toria. En vervolgens, dat is zo'n wallet waarmee je dus je cryptomuntjes kunt beheren en betaling goed kunt keuren. En vervolgens kwam daar dus malware, kwam daarmee. Kraspersky heeft die DMG, dus het bestandje in de installer van die malware, uit elkaar gehaald. En kwam erachter dat er allerlei side-channels in zitten. En in een van die samples die ze hadden, ging die dus naar een openbare iCloud agenda.

Dus dat ze, zoals iedereen die Apple gebruikt weet en Google Calendar ook. Je kunt zeggen, ik wil deze agenda alleen voor mezelf houden. Of je kunt zeggen, ik wil een publiek maken zodat ik hem even met de hele wereld kan delen. En wat zij dus al hebben gedaan is ook een agenda publiek maken. En die dan inderdaad via de meetings die je daarin deed. Dus de malware aansturen die in die Toria, in die malware zat in die bitcoin, of bitcoin de crypto-wallet. En die tekst haalde je op uit de online agenda, uit die publieke agenda. En ging vervolgens gewoon, je had die soort command-control over die Toria-infecties en de Maxsync-infecties die daarachter zaten.

Dus dat was, vond ik gewoon weer creatief, houd ik van. Dat zie je heel vaak, dat die command-control-paden, dat die heel slecht afgeschermd zijn. Dat je een keer zelf iets uit elkaar trekt, dan kan je gewoon meedoen. En dan ook met die Telegram-bordjes, als je er een keer in zit, dan kan je alle andere slachtoffers ook heel snel onderkennen. Ja, en dat is mooi aan die publieke dingen. Je moet natuurlijk iets hebben wat communiceert. En dan wil je misschien, als je geen infrastuur gebruikt, zoals VPS-jes en allerlei afschermingsnetwerken, dat je dan inderdaad op Telegram uitkomt, waar Marco heel erg van houdt van die groepjes. Of zo'n iCloud-agenda, die waarschijnlijk ook van publiek is.

Heeft Citrix ook last van calendar malware, of niet? Oké, ja, ik vind dat we er toch wel wat tijd in moeten stoppen, ook al wordt het heel saai. Wederom, Citrix jongens, ze zijn weer aan de beurt geweest. Vrijdagmiddag ging het weer los. Alle grote incidenten beginnen altijd op vrijdagmiddag. Hadden jullie denk ik ook, hè? Vaak weekend dat je even door moest trekken. Maar weet je wat het is? Niet omdat per se op vrijdag alles gebeurt, maar omdat op vrijdag vaak mensen tijd over hebben om echt even de materie in te duiken. Dus dan is het van, oh, eindelijk even focus, omdat er geen meetings en zo.

Ik denk de aanvallen waar wij vaak naar aan het kijken waren, ook met stadelijke actoren, die deden het ook wel vaak op vrijdagmiddag. Maar dan hadden ze geen meetings meer. Dus dan konden ze aanvallen. Dan waren er juristen naar huis en dan konden ze aan het werk. Ja, precies. Hoe herken ik een stadelijke acteur? Alles begint op vrijdag. En net voor het weekend, en wat gebeurt het? NCSC stuurt een vertrouwelijke waarschuwing rond aan een hele beperkte groep organisaties, onze NCSC'en in Nederland. Als allereerst in de hele wereld maakt die bekend

dat er wat aan de hand is met Citrix. En in Citrix Netscaler zitten twee ernstige lekken. En voor mensen die nog niet precies weten wat Citrix is, het meest simpele uit te leggen is denk ik gewoon de software waardoor je je werkplek van kantoor mee naar huis kan nemen. Of eigenlijk waar je ook maar wil zitten, heb je jezelf de desktop. En kan je aan de slag. En het is voor het thuiswerk ideaal. Ja, precies. Iedereen die thuiswerk of bij de overheid werkt, die ziet dit als eerste als je thuis werkt, zie je Citrix ongeveer op start. Ik denk in het bedrijfsleven ook heel veel. Nou, volgens mij wel een hele grote korps, dat doen we wel.

Maar ik denk dat het typisch overheidsding is eigenlijk om het te gebruiken. Je hebt natuurlijk een keer een heel grote mantel afgesloten en dan zitten ze er ook aan vast. Dan komen ze er niet meer van af. Dan moeten ze elk drie jaar verlengen. Je kent het inkoopperikelen. Oké, maar het verhaal is dus, er zitten twee ernstige lekken. Er is nog geen patch. Een Europese partner van het NCC laat weten dat ze buiten Nederland al actief misbruikt wordt, die perspelen. En die waarschuwing gaat dan naar buiten. En dan hebben al die cert-organisaties hele mooie classificeringen zoals TLP, Amber plus Strict. Wat dat plus Strict betekent weet ik niet precies.

Maar het is in ieder geval heel erg bedoeld, alleen voor je eigen organisatie en niet verder delen. Nou, dat stond dus dezelfde dag nog op Reddit, dat bericht. Op Airflash Citrix. En de oorspronkelijkste, de allereerste post die weer blijkt verwijderd. Maar toen was het al rond. En beheerden ze in heel Europa, kregen een telefoontje van hun leveranciër of securitypartij met de mededeling. Zet je netscaler uit nu. En vaak ook zonder uitleg, want die mocht dus niet worden gegeven. En op zaterdag, vooral op Twitter is dit echt wel een bron dan, waar dat opeens helemaal los gaat.

En wat heel gek was, ons eigen bedrijf in Terekken was ook helemaal in paniek, want we hebben ook klanten die monitor zijn die Citrix hebben. En dan is de grote vraag van moet ik het nu uitzetten of niet? En wat een klein beetje kan helpen, als je iets van een indicator of compromise hebt waar je naar kan kijken, van worden we aangevallen of niet? En zodra je dat er voorbij ziet komen, zet je hem alsnog uit. En als je het niet, want er zitten ook wel missiecritische dingen soms die er achter draaien. Je kan niet alles zomaar uitzetten in Terekken. Maar goed, er waren dus geen AOC's. Het was alleen maar eigenlijk de mededeling. Er is iets aan de hand met Citrix. Als je niet gekt van wordt, dan moet je het nu uitzetten.

Ik vind dat dan ook wel weer iets fascinerend. Waarom er zo'n kleine kring gedeeld moet worden. Want dan moet je even nadenken. Het Rijk, vitale organisaties. En via ZZert wisten de ziekenhuizen het op vrijdag. En het MKB, de gemiddelde leverancier en een MSP, dus een manager-verviering die honderden klanten beheert. Die wisten het allemaal niet. Die zagen op Reddit dat er iets aan de hand was, zonder al te veel context. Er zijn dan blijkbaar redenen voor. Als ik een beetje rondvraag waarom wordt het heel erg beperkt gehouden.

En dat is dan vooral een juridische reden. Het NCSC heeft jarenlang gezegd dat het wettelijk alleen de Rijksoverheid en vitale aanbieders mag bedienen. Na het Citrix-verhaal. In 2020 schreef ook zelfs de onderzoeksgraad voor veiligheid een heel rapport. Met als conclusie dat het NCSC buiten die kring ook geen mandaat voorstelde. En dat heeft toen heel veel commotie veroorzaakt. Ook in de Kamer. Die zeiden toen ook waarom wordt het MKB dan niet beschermd. Dat wordt dus nu ook wel. Juist op 15 augustus, dus een maand hiervoor, ging de cyberbeveiligingswet in werking.

Dat is onze eigen versie van NIST 2. In plaats van een paar honderd vitale aanbieders vallen er nu ruim 8000 organisaties onder. En die krijgen na registratie waarschuwingen. Deze crisis komt dus zes weken nadat het in werking is getreden. Of die waarschuwingen nu naar al die organisaties gaan en hoeveel zich daar echt hebben geregistreerd, weten we niet. Maar ik vermoed eigenlijk dat het niet heel erg breed is verdeeld. En de tweede reden is dat het wat meer tactisch of strategisch. Je wil ook geen handleiding voor aanvallers de wereld in sturen zolang er geen patches.

Maar ik denk eigenlijk dat dat slecht argument is. Ik zag op LinkedIn ook eerder dat er een aantal aanvallers in de wereld sturen. En die zei dat heel scherp. Ik vond dat die bij een kwetsbaarheid die al actief wordt misbruikt beschermt een embargo zoals dit vooral de aanvaller. Hij zegt letterlijk dat de MKB zo onder de bus is gegooid. Ik kan er wel aardig in meevoelen moet ik zeggen. Zo'n embargo houdt ook tegenwoordig geen stand meer. Zeker als het zoiets groot is als dit dan weet je dat het komt naar buiten. En dan kan je het misschien ook maar beter netjes zelf met goede contexten naar buiten brengen denk ik.

Maar wat gebeurt er nou in Nederland uiteindelijk? De Rijksoverhouding heeft een aantal aantal aantallen. Maar wat gebeurt er nou in Nederland uiteindelijk? De Rijksoverheid haalde uit voorzorgen alle citricse opgevingen weer af van het internet. Nou dat gebeurt vaker. CEO Rijk gaf de instructie loskoppelen tenzij alles eraf. Dus behalve waar de gevolgen voor burgers of bedrijven te groot zijn. Dat is altijd een afweging die je zelf als organisatie maar moet nemen. Maar zonder context is dat best lastig. Dus antenaren konden niet thuis werken en sommigen kunnen nu nog steeds niet. En het Rijk test eerst of de patch zelf weer geen nieuwe problemen geeft.

Op zich ook valide. Je gaat niet zomaar een patch draaien op het live systeem. Want je hebt best kans dat je de hele boel kapot maakt. En dat het dan nog veel langer gaat duren voordat je weer online kan. Wat ik wel leuk vind om een beetje in het lek te duiken wat het nou was. Watchtower heeft het lek uitgezocht. En het is best wel pijnlijk eigenlijk weer. Het is zoveelst natuurlijk bij Citrix. En Netscaler gebruikt een PURL scriptje dat crashmeldingen verwerkt. Een aanvaller stuurt zonder in te loggen een verzoek naar de loginpagina. En wat hij meestuurt komt in die logs terecht. En dat PURL script pakt die logregel op en stopt hem in een shellcommando.

Het is gewoon de allereerste aanval. Als je een keer uit een boekje leert hoe kan ik leuke commando's uitoefenen op een server. Maar het eigenlijk niet de bedoeling is dan is het natuurlijk gewoon inputvalidatie. Die werkt. Het is de meest simpele. Het is verschrikkelijker. Wat iedereen nu al weet natuurlijk is. Want het heeft een tijdje opengestaan. En dan wil je weten ben ik gehackt geweest. Moet ik dingen gaan repareren? Moet ik paniek maken in mijn organisatie?

Dat is de vraag die elke beheerder na zo'n weekend heeft. En het antwoord kwam best wel laat en ook weer half. In het eerste bulletin stond er geen workaround en geen indicative compromise. Daarna kwamen er enkele generieke IOC's. Maar alleen via Netscaler console met Telemetry naar Citrix aan of via support. Het controle script. Dat krijg je, dat las ik ergens, alleen onder NDA. Maar dat script dat bouwt gewoon voort op het script dat onze eigen NCSC vorig jaar gewoon openbaar op GitHub zet. Dus kleine tweek erop.

En het werkt ook maar half. Het kijkt naar logs op het apparaat. En die zijn er na een paar weken vaak alweer overschreven. Dus de aanvallers hebben bovendien corn jobs neergezet die hun sporen opruimen. En elke webshell is per apparaat uniek. Citrix schrijft er zelf bij dat de IOC's weinig forertische waarde hebben en inbraken kunnen missen. Dus het advies. Huur een echt bedrijf in die serieus forertische onderzoek gaat doen. Ontzettend lastig dat je niet kan kijken of er nou gehackt is. Oh ja, vorige keer kwam het ook naar voren. Logs zijn zo verschrikkelijk belangrijk.

En we hebben het ook een keer over datadiodes gehad. Wat je vaak ziet is dat die logs worden gewist. Maar als je je logs nou door een datadio doorheen laat wegschrijven op een machine die verder dus niet gehackt kan worden. Maar die logs nooit meer kunnen verdwijnen. Het is zo fijn om te weten om achteraf te kunnen zien of je nou gepakt bent of niet. Het is eigenlijk best simpel te implementeren. En zo'n datadioden hoeft natuurlijk ook niet zo'n persé, zo'n hardwareapparaat. Je kan er ook wel softwarematig iets voor maken. Maar wel zorgen dat die niet ook weer gehackt wordt. Nou, hoe oud is dit? Volgens Google en Maniant loopt de campagne al minstens sinds begin september.

En dat is dus al drie weken voordat iemand buiten de aanvallers het wist. En getroffen zijn overheid, financiële sector, onderwijs, juridische dienstverlening in Europa en in Noord-Amerika. En Maniant ziet dan ook wel echt aanwijzingen voor statelijke actoren. Ja, snap ik met deze targeting. Ik snap gewoon nog steeds niet waarom die organisaties die troep nog steeds aan het internet hebben hangen. Welke troep bedoel je? Dat ze Citrix nog steeds gebruiken en niet wat anders? Nee, ik bedoel dat ze... Waarom hangen ze Citrix aan het internet? Citrix is bedoeld om aan het internet te hangen.

Oh, je bedoelt niet met een VPN nog ervoor of zo? Ja, exact. Gewoon een tunneltje ervoor. Ik bedoel performance. Forti-gate machine of zo. Al die Android dingen. Of wat heet dat? Gate dingen. Alles gaat stuk. Ik moet zeggen, OpenVPN en WireGuard houden vrij goed stand. Het is iets meer orchestratie zelf inrichten. Maar ja, het is voor de Google nog heel veel meer horen over dit afgelopen aanval. Ik ben benieuwd waar ze in Nederland echt daadwerkelijk hebben binnengezeten. Jelle? Dit ging over Oxygen Forensics. Is het de cyberverhaal?

Het is weer een beetje zo'n ketenleverantie en ketenverantwoordelijkheid over hoe moeilijk dat is. Dat we nu met z'n allen natuurlijk helemaal scherp zijn van waar we het netwerk willen hebben. Die auto's moeten misschien een beetje van de terreinen af. En dan vervolgens denk je van oké, ik ga dus... Als je een Amerikaanse partij bent, zoals de FBI of de Secret Service... Ik ga alleen nog maar diensten afnemen van Amerikaanse partijen. En dat is dit verhaal. Is Amerikaanse dat werk wel Amerikaans? Dus op zondag 20 september wordt dus Oxygen CEO Lee Reiber, een beetje Amerikaanse naam wel, die wordt aangehouden in Idaho.

En een mede-eigenaar, Russisch, Oleg Sergejevic Davidov, wordt op Heathrow in Londen aangehouden. Vlak voordat hij op de vluchtstap naar Istanbul. En het blijkt dus dat Amerikaanse strafzaakten zijn die op 23 september ook in de media komt. Nou, het is natuurlijk het verhaal wat verkopen ze. Ze maken dus software voor digitaal onderzoek. Dus op een eigen productpagina kun je wat rondkijken. Het heet Oxygen Forensic Detective. En dat kun je gebruiken om telefoons, computers, cloud accounts en andere apparaten uit elkaar te halen of in ieder geval forensisch te analyseren.

En dus dat je bijvoorbeeld er een apparaat aan kunt hangen. Dat je dan de berichten ziet op die telefoon of device, laptop, de foto's, de contacten, locaties. En eigenlijk dat gewoon fijn doorzoekbaar kan maken voor iemand. Een rechercheur die onderzoek aan het doen heeft. Een rechercheur die onderzoek aan het doen is naar een bepaald event. Dus relevante software voor inlichtingen en opsporingsinstanties. Die Amerikaanse overheid doet dus al zaken met Oxygen Forensic sinds 2016. Onder andere dus de Secret Service. Die heeft dus degene die de presidenten, vicepresidenten, belangrijke Amerikaanse bestuurders beschermen en beveiligen.

Die hebben dus in 2016 en 2024 zeven contracten gehad, afgesloten. En die zijn ook allemaal in te zien. En nu wordt dat bedrijf dus in verband gebracht, verdachten gemaakt voor conspiracy to commit wire fraud. Niet per se omdat ze aan het hacken waren, maar omdat ze een stiekem trucje hebben gedaan. Namelijk een Russisch bedrijf blijkt het te zijn. En zij hebben constant gedaan alsof ze een Amerikaans bedrijf zijn. Ongelooflijk. Ja, en dat is niet de minste partijen. Dus de FBI, de Secret Service die het allemaal hebben daar ingetrapt zijn.

Vanaf 2016 hier ook niet scherp op waren. Want wat dit bedrijf heeft gedaan is na de inval in Oekraïne, dus full scale invasion. Een maand daarna hebben ze op 30 maart 2022, hebben ze de drie, er stond eerst op de website gewoon de Russische eigenaren die er waren. Maar die hebben ze vervangen door die Ryber dudes. Het was helemaal niet verstopt, het stond gewoon op de website al. Het stond gewoon op de website. Dus dan kom je ook achter van oké, dus dat we dit pas spannend zijn gaan vinden vanaf 2022 al die Russische bedrijven en partijen ofzo. Maar het is dat daarvoor de FBI en de Secret Service allemaal gewoon willen zijn weten,

ze eigenlijk zaken hebben gedaan met de Russische partij voor al hun software en malware en forensische analyse. Dus de eerdere CEO was Oleg Fedorov en die was gewoon bekend vanaf 2015 al. En uiteindelijk later in die aanklacht komen ze ook nog veel meer Russen naar voren. En blijkt het hele ding gewoon gebouwd te worden in Rusland. En deze software is ook helemaal ingebed in Amerikaanse overheid. Dus de National Computer Forensic Institute, die dus eigenlijk alle regionale opsporingsdiensten opleidt,

die heeft dus ook al in 2024 een vijfjarige contract afgesloten met dit bedrijf om iedereen in Amerika op te leiden op dit systeem. Maar is het echt een beetje de default systeem ook dan? Want ik kan me wel voorstellen dat ze eigenlijk altijd alles wel even kopen wat er op de markt is. Want je hebt natuurlijk andere partijen zoals Celebrite, wat veel gebruikt wordt, ook door de Amerikaanse overheid, wat uit Israël komt. En dat heeft eigenlijk hetzelfde doel. Maar ik kan me ook voorstellen dat ze eigenlijk gewoon alles willen kopen wat er op de markt is, om te kijken wat zijn de trucjes, want dan gaat het vaak om hoe kan ik zo'n telefoon makkelijk leegtrekken.

Ja, ik vind deze dan wel weer, deze zijn lang bezig al sinds 2016. En dat denk ik dan tenminste toen had ze al de eerste contracten. Dus ik weet niet helemaal hoe oud het succes van Celebrite is. Maar ik denk dat dit wel een van de eerder eerste partijen is. Omdat die daar misschien ook al zo'n gebruikersaantal had in de in de US. Maar inderdaad zou kunnen dat ze het gewoon inkopen en inderdaad de trucjes uit de pakketten halen. Maar uiteindelijk blijkt deze dus een heel kofferconstructie zijn sinds 2022, waar de Verenigde Staten na vier jaar achter komen. Die directeur, de Amerikaanse directeur, die Ryber in 2026 ook allerlei verklaringen heeft gedaan.

Dat er geen Russen bij de ontwikkeling van de software betrokken waren. Dat het een Amerikaanse product was. En vervolgens nu zegt de Department of Justice, zegt joh, het hele team zit in Rusland onder die Russische eigenaren allerlei dingen te doen. Dus eigenlijk zie je hier dat het een hele mooie kofferconstructie was. En dus dat ook al klinkt Amerikaans of Europees, dat het zomaar ook een rebranding kan zijn. Maar daarmee is het nog niet automatisch pionage. Het is natuurlijk ook, de Russen willen gewoon dingen verkopen. En dan is het niet zo handig als je jezelf Russisch noemt, terwijl je het aan de Amerikaanse overheid wil verkopen.

Nee, zeker. Dus dat is het inderdaad. Dat ze dat ook fraudeleus deden. En wat hier verder gebeurt is dus de Russische overheid gebruikt het product ook. Wat die er dus mee doen, het zusterbedrijf van hetzelfde bedrijf, ik ga nu nog niet verder in die namen. Maar die verkocht eigenlijk ook dezelfde software aan onder andere namen aan de FSB. Dus de FSB daar, die gebruikt eigenlijk ook hetzelfde toolset als de US. En dat is in 2015 had zelfs ook een Russisch staatsbedrijf een belang in dit bedrijf.

En dat was weer in mijn hoofd. Alles is connected, tools die je in de States fijn vindt, die zijn ook in Rusland interessant. Die diensten, de FSB die hier weer in zit. Het is gewoon een enorme whodunit. En dat uiteindelijk altijd alles een soort van connected is, hoe ver je ook gaat graven. Ik ben dan wel benieuwd. Dus dan heb je deze software uit Rusland. En die wordt dus veel gebruikt en er blijkt een hele grote band met de Russische overheid. Waar moet de Amerikaanse overheid zich nu zorgen over maken volgens jou? Ik denk dat je hebt een softwareproduct waar de FSB in 2015 een 25% aandeel in had in de bouwers hiervan.

En dat vervolgens leeft op allerlei systemen en binnen die hele overheid geïntegreerd is. Natuurlijk niet, dit is niet bewezen dat er dat spionage heeft plaatsgevonden hierbij. Het zijn gewoon nette practices. Maar voor mij is het wel dus, voorals takeaway van het hele verhaal is, dat je als overheid misschien moet googelen naar het bedrijf dat je inkoopt. En dan niet de huidige website geloven. Maar als je in de internet archive terug gaat twee jaar geleden, dat je dan gewoon ziet dat het allemaal Russische eigenaren heeft.

Dus dat vond ik weer de beste. Dus hier geen spannend spionage verhaal misschien, maar meer gewoon check je shit voordat je contracten afsluit van vijf jaar. Ik ben dus wel benieuwd of je hier nog een heel spionage, of dat je nog een stage gaat krijgen zeg maar. Nou ja, het is wel in Nederland verkocht ook. Ik zie, ja in Nederland heb je Leif Francier, data expert. Die leeft volgens mij ook dat van Celebrite. En dat is gewoon een prima bedrijf. Dat is gewoon een prima bedrijf. Dat is gewoon een prima bedrijf.

Wat de tools levert aan de politie. Dat is een reseller of een distributeur. En dat komt gelijk naar boven als je op googelt. Maar die pagina zelf, die verwijst naar Oxygen Forensics. Die geeft nu een 404. This domain has been seized. Oxygenforensics.com. Oxygen Forensics is waarschijnlijk gewoon nu afgehaald door data expert. Dat kan ik me ook wel voorstellen. En Oxygen Forensics.com is dus keitgeceased door de Bureau of Industry and Security.

Oh, ik heb hier de archive page. 18 mei 26-20 staat er gewoon op. Als Oxygen Forensics is een bedrijf dat zich oorspronkelijk bezighield met het maken van communicatieprotocollen. Maar wij bieden training aan in Oxygen Forensics Detective. Dus de tool waar we het over hebben hier. En dat die met name gericht is op de exacte tool die we net beschreven. En die door de FSB mede ontwikkeld is. Die gebruik ik gewoon in Nederland ook.

En dat kan haast niet anders dan bij de politie of bij andere diensten. Oké, dan wist ik niet. En inlichtingdiensten lopen niet heel vaak tegen een telefoon aan die ze moeten leegtrekken. Nee. De politie wel, die doet niet anders dan telefoons in beslag nemen. Oké, ik denk dat dit advisories is over twee weken. Dat is advisories zijn voor inkopenafdelingen.

Dat is even checken waar het bedrijf eigenlijk zit. De UBOS. Ja, dat je googelt. Ik had dit als dat Secret Service en FBI misschien wat beter moet googelen. Maar als we als dit deze tool breder loopt dan meerder de inkopers beter moeten googelen. We kunnen het ook als dienst aanbieden. Wij zijn wel handig in het googelen. Dat ze het gewoon aan ons vragen. Kunnen we dit veilig kopen of ga je erover zitten zeiken? Oké, dat was hem weer voor deze week. Of heeft Marco nog iets wat hij kwijt wil?

Ik zat dus nog even te speuren over de Nederlandse overheid en Oxygen Forensics. Het is best wel grappig dat je toch nog redelijk wat kan terugvinden rondom data expert en Nederlandse overheid. Lang leven Tendernet waar je allerlei gunningen in de markt kan inzien. Zo is bijvoorbeeld een contract een raamoverenkomst forensische IT middelen voor de Belastingdienst met data expert BV. En die scope die omvat expliciet forensische software en hardware voor opsporingsonderzoek. Waaronder middelen voor het ontsluiten van telefoons.

En er is een nieuwe raamoverenkomst eind 2025 ook weer gegund aan data expert. En inmiddels spreekt de overheid over 25 fabrikanten en 66 verschillende forensische producten. Opnieuw staat expliciet vermeld dat de samenstelling van al die applicaties allemaal vertrouwelijk is. En alleen in de tweede aanbestedingsfase onder NDA wordt gedeeld. Even kijken, we hebben het natuurlijk gehad over de data expert die de Oxygen Forensics training verkocht aan Nederland. Maar ze hebben ook bij een van de trainingen staat dat de Nederlandse Defensie USK specifiek namelijk dat het bedrijf het J-Deal team trainde.

En dat is een mobiele, even kijken of ik het goed zeg, een mobiel laboratorium dat onder andere Oekraïne helpt oorlogsmistalen te onderzoeken. Best wel interessante referentie naar hoe ook wij dus wel met deze software ogenschijnlijk bezig zijn met de overheid. Nou met dit hele opbeurrende einde gaan we deze podcast weer afsluiten. Dank je wel jongens, veel dank Marco, veel dank Jelle, veel dank alle luisteraars.

En heb je vragen of opmerkingen of onderwerpen die we moeten bespreken of andere fan mail? Jij hebt nog fan mail gekregen Jelle? Ja, dank je. Al die meiden. Mail ons dan via vragen het Scibehalden.nl. Elke week kan je weer naar een nieuwe aflevering van Scibehalden luisteren. En onze gesprekken kan je allemaal terugvinden op Spotify of elke andere favoriete podcast app of zelfs via je browser. Vergeet ook niet te subscriben dan krijg je vanzelf een notificatie als er weer een nieuwe aflevering klaar staat.

En als het in jouw app kan zet er ook eens een leuke comment achter dan komen wij hoger te staan. En dat willen we. Veel dank voor het luisteren en graag tot de volgende keer. En dankjewel tot de volgende. Zie ons ook op YouTube daar is Marco heel druk mee geweest en ik ben de enige die daar een bericht onder heeft geschreven nog. Dus feliciteer Marco met zijn YouTube. Op YouTube.