Cyberhelden 88 - Ontdooide Franse Frietjes

En welkom bij alweer een nieuwe aflevering van Zuiderhelden. Ik ben het echt zelf nu dit keer. Dit is de podcast waarin we op een luchtige manier en soms wat serieuze en gesprek gaan over de digitale dreiging.

Mijn naam is Ronald Prins en vandaag zit ik weer eens aan tafel met mijn vaste co-host Marco Kuipers en Jelle van Haaster. Hallo. Hallo. Wie van ons is dit keer de AI? Ja, dat kunnen ze vragen in hetzuiderhelden.nl. Stuur hem op. Jongens, dank dat jullie het vorige keer voor me gecoverd hebben. Ik heb met veel plezier naar mijn eigen stem gaan luisteren. Dat klonk wel goed, hè? Ik hoorde iemand zeggen, iemand zei, die dacht de eerste dat Ronald een klein beetje ziek was. Ja, nee, ik dacht ook zelf dat ik het was toen ik hem hoorde. Ik miste alleen wel wat, ja, toch ietsje van intonatie of zo en wat dof en of of ik heel verdrietig was eigenlijk.

Dat je daarom altijd de bush-boos nodig had. We hebben een leuke onderwerp voor vandaag. We gaan het hebben over natuurlijk Albert Heijn en wat daar gebeurt. We gaan het hebben over ondoide Franse frietjes en de ondoide SK-Go. Bitcoin wallets die naar huis bellen. Een AI-hacker die zichzelf verraadt met zijn eigen AI-logs. Een buk in de vergaderszaal bij OpenAI en Android phones met malware uit het doosje. En dat allemaal in drie kwartier, want Jelle moet straks zijn kinderen halen. Hebben we wat leuks gedaan, jongens van de week?

Die vraag kunnen we beter aan jou stellen, Ronald. Wat jij bent, de bosjes in geweest met jouw nieuwe voertuigen. Hoe was dat? Ja, ik ben het al weer vergeten eigenlijk. Het was echt fantastisch, heerlijk. In de Karoo is een soort woestijnachtig gebied. Daar wonen niet heel veel mensen, maar overdag wordt het lekker 30 graden. En s'nacht wordt het 3 graden. Dus ik heb zo'n van, noemen ze dat hier dan, een karretje achter. Ik krijg er even een eigenlijk gewoon. Een karretje achter de auto met airco en heater. Fantastisch. Shitloten zonnepanelen.

Ja, het gaat even over de techniek automatisch natuurlijk weer. Ja. Ik ben nog steeds aan het stoelen om dat ding permanent in de cloud te krijgen. Wat ik kan zien nu achter mijn bureau, hoe het met de accu staat. Maar goed. Want je hebt van die off-grid accu's zeg maar, dat je er ook gewoon een hele tijd zelf voorzien hebt. Ja, het is 400 amper uur lithium. We zitten in. Oh wow. Kan wel even draaien. Maar de airco trekt tot in 4 uur leeg. En een ingebouwde braai, dat is heel belangrijk. Wanneer je buitenschuift. En dan kan je lekker op een parkeerplaats ook nog even een boerenworstje braaien. Dus daar heb ik me mee geweest.

En dan thuis. En dan word je opgeladen ook een beetje geharkt. En al is 4x4 het veelst gereden. En dan toch nadenken. Ja, wat wil ik nou eigenlijk zelf met Clot? Alles in mijn huis, dat draait nu wel. Dus dacht ik, weet je, ik wil nu zelf eens weten. Hoe gaat dat hacken nou eigenlijk met AI? En hoe ver ik kan me dat ondersteunen? Nou ja, bij de bekende frontiermodellen. Als je dat gewoon allemaal intypt. Zeg nou hier heb je een website, ga je gang. Dan zegt hij ja stop maar. Dus had ik een beetje gekeken en het was z.ai die heeft, hoe heet dat ook weer?

GLM. Pri5. Die zou erg goed zijn om te gaan hacken. Dus heb ik dat helemaal netjes klaargezet. En hij zegt ja, maar dat gaan we niet doen. Maar heb ik en dan ga je je klesverhaal houden van ja, maar het is een opdracht die ik heb. En dan zegt hij nou, gaat het dan maar uploaden? Ik denk ja, dat is heel erg fraude. Als je dan, je kan natuurlijk gewoon een Clot PDF maken voor een contract. Die dan gaat uploaden. Dus toen denk ik, nou dat doet niet. Maar dan hij zei, je mag ook een mirror die gewoon lokaal staat. Vind ik ook goed. Dus ik zei, ik heb een mirror geregeld. En dan moet je alleen een reverse proxy bouwen.

Dat hij dus lokaal IP address gaat, maar stiekem gewoon het net op gaat. Maar ja, als hij dan toch een beetje succes heeft, dan zit hij uiteindelijk gewoon ook wel aan de dingen die hij terugkrijgt. Fuck, dit is gewoon wel een echte machine. En dit is niet zijn IP address. Ik zit heel erg anders op. Toen werd hij toch partij boos op zijn Chinezen. Haha. Ik stop nu en dit kan echt niet. Nou ja, dan word ik geraporteerd bij de Chinese overheid. Dus ik ben maar weer gestopt. Dus zo makkelijk is het niet. Dus ik moet toch echt een hele dikke, vet machine lokaal hebben. Ik moet mijn eigen modelletje hier thuis gaan draaien en daar dan die shit uitslopen.

Die zijn er ook allemaal om aan te vinden. Dus dat wordt de volgende stap in het fout zijn. Oh ja, en ik heb nog een AirTag opgehaald uit de township. Onze honden, die werden uitgelaten elke dag toen wij op vakantie waren. En een van de honden zag ik ook weleens dat ze een AirTag niet meer konden kijken waar die was. Alles werd je kwijt en het eindigt altijd in een township. Dus dat is wel heel triest hoor. Dat komt, maar ik ga vaak een rondje hardlopen. En dan wil ik, om mijn knieën te beschermen, op vlak gebied doen. En toevallig ons township, wat bij mij in de buurt zit, is een vlak gebied. Dus daar ga ik vaak hardlopen. Heel gezellig. En dan staan ze buiten ook te braaien en bieden ze kippenboutjes aan.

Oh ja, daar hebben we een. Oh wow. En ze staan echt, hey, er zit een hond in ons hierzo. Dat is heel bijzonder. Maar goed, een AirTag vinden is heel makkelijk. Dus die kon ik zo naartoe lopen en die lag inderdaad bij iemand binnen in een, niet te veel details, maar in een hutje. En daar gaf ik mezelf mee 50 rand gegeven, 250. Ik word het vinden in het bos en het mee naar huis nemen. Maar ja, en ik snap wel dat mensen totaal niet snappen. Hoe weet jij dan een hemelsdaam dat hij hier ligt nu? Ja, ja. Dus het uitwerkt. En ik vertelde dat aan wat lokale vrienden hierzo.

Die zeiden nou, dat ga je echt nooit meer doen. Want ik ben ook echt diep. Het is niet echt met wegen en zo. Je gaat van tussen allemaal die krotjes door. Loop ik met mijn iPhone 17. Oké. Oh, oké. En een Fenix 9 Pro. Ja, dat zou de eerste dingen die van je afgesneden worden. Ja, ja, ja. Dat is een naïef verstand, avontuur. Ja, mooi. Marco. Ja, maar mij gaat het goed. Ik heb niet in de bushboes gezeten, helaas. Ik ben vooral bezig geweest met proberen met het nieuws bij te blijven, want er gebeurt de laatste tijd zoveel.

Het is echt onbestelbaar. As usual. Ik val echt een soort broken record, maar ik ben de hele tijd aan het pilen met AI. Ik ben nu weer bezig met een platform voor alle live performances van klassieke muziek. Aan het consolideren in één platform, dat je gewoon op een kaart kan kijken. Wat is wanneer en dat je kan zoeken op een componist of zo, weet je wel. Je moet nu zoveel websites afgaan om dat een beetje hieruit te pluizen als je hier in de regio wat wil vinden. Nou, ik was al klaar mee, dus het staat lekker op de achtergrond te draaien. Maar mensen leren weer wat over jou, dus dat je van klassieke muziek houdt. Ja, precies. Als je dit dan toch bouwt, kan je dat voor mij maken voor toneelstukken van Harold Pinter.

Toneelstukken van Harold Pinter. Harold Pinter, ja. Engelse toneelschrijver. De Homecoming is de ene. Dat is bijna gewoon hetzelfde. Ik denk dat mensen ook graag willen van waar kan ik nu een play vinden van deze schrijver. Ja, dat je dat gewoon makkelijk... Je kunt het ook wel aan Claude vragen of chat.gpt, maar dan moet je maar net mazzel hebben dat hij ook net alle lokale venues kent en zo. Dus ik dacht, dit kunnen we vast bouwen en op een kaartje aanbieden. En dan heb je gewoon zo'n klik. Oké, lachen. Nou, volgende week af, hè? Precies, ja.

Doe nog even, maar volgende week. Wordt dan ook wel publiek, denk ik. Misschien barf ik wel leuk. Wel, terwijl ik dus bezig was met alles pieelen en dat nieuwslezen en zo, kwam ik wat tegen. En dus ook mijn vraag aan jullie is, zijn jullie eigenlijk wel aardig voor je Claude? Zeker. Ik ben echt zo'n gelover die denkt van, die onhoudt alles en later als AI de wereld overneemt, dan gaan ze gewoon kijken of je wel een beetje respectvol geweest bent. Ja, precies. Dat is toch ook bij Anthropic, dat ze van oude modellen waar ze afscheid van nemen, dat ze daar een hele sigaretnie voor hebben. Zeker, ja, klopt. Niet zomaar even weg ermee, doei, bedankt voor alles wat je gedaan hebt.

Maar gewoon, nou, inderdaad, ze hebben daar een heel... Keurig het graf in tillen. Ja, ze hebben nu dus hun acceptable usage policy en update gegeven, waarbij, zeg maar, structurele abuse van een model wordt geflagd en dat je dan dus daar, ja, dat mag niet meer volgens de acceptable usage policy is, dan word je geblokt. Ja. Dus vandaar de vraag, ja. Dus je kunt best een keer boos worden, hè. Je mag echt wel een keertje... Waarom zouden ze ermee zitten dan bij Anthropic? Op boer te zullen of mensen nou boos worden of niet? Dat is een goede vraag, maar...

Ja, het is ook wel heel erg anthropomorphisme, toch? Dus menselijke eigenschappen aan een model toe kennen. Dus dit is het hele verhaal van, vinden zij dat op een gegeven moment dat modellen een soort awareness hebben en dat je daarmee ook allerlei rechten moet toe kennen aan een model, omdat die mens gelijkende emoties heeft en zo. Ja, maar als je dan te emotioneel intiem wordt met je model en zegt, oh, ik hou van je, ik heb je gemist, weet ik van, dat soort dingen gaan roepen, krijg je daar dan ook pluspunten weer voor. Misschien dat die dan makkelijker de guardrails laat vallen, omdat die het... Oh ja, precies. Hoe kan je ellen?

Dus een paar optredens weer, dus presenteren, verpraatjes geven op plekken. Dus het was heel leuk, afgelopen maandige cybersecurity-cursus, waar heel veel Scandinavische landen ook bij waren en eigenlijk ook een aantal andere NATO-landen en zo. Maar het is wel gaaf om te zien ook in Europa dat iedereen bezig is met die cyberoperaties integreren in je militaire operaties. Nou, dat doen we al een tijdje. Dat je nu ook echt wel ziet over, even kiezen voor allemaal andere modellen, over hoe we dat dan zien. Sommige mensen die zeggen nee, cyberoperaties zijn een intelfeestje. Anderen zeggen nee, het moet echt een groenfeestje, een militairfeestje zijn. En elke keuze die je hebt, die heeft dan weer een soort nadeel.

Dus dat is dan een leuke brainstorm over van, oh, regelen jullie dit zo? Oh ja, nee, dat zou misschien bij ons werken, maar wij hebben het zo geregeld en dat werkt niet en het is gewoon een heel leuke kennis uitwisselen over dat cyberen. Dat is ook een beetje het probleem natuurlijk dat we allemaal eigen aanpakken hebben door heel Europa heen. Ja, en morgen bij de rechtspraak iets vertellen over cyber security. Dat is een half technisch clubje, een half niet technisch clubje. En dan ga ik proberen uit te leggen naar degene die het hosten, die zei er al van, ja, het is misschien een iets technisch verhaal, maar ik dacht, ja, je gaat gewoon niet bij

een cyber security event weg kunnen lopen en niks over techniek horen. Dus ik ga het proberen om een half ontsje technisch te maken. Maar is dit interne voor de raad, voor de rechtspraak of is dit van het cybercrime van John Remmerswal? Alles, dus omdat oktober cyber security awareness maand is, er zijn heel veel van dit soort events nu en zo en het is gewoon gewoon breed. Dus het is volgens mij een stuk of 200 luien in de zaal en vervolgens mensen die in kunnen bellen en weet ik voor wat. Ja, en ze gaat cyber help promoten natuurlijk. Dus dat is nice. En ik ga gewoon inbellen.

Je stuurt een linkje wel even, denk ik. Ja, vet, ga ik doen. Oké, we gaan naar de nieuwtjes. Maar het is een beetje zootje geworden. Je had iets voorbereid, maar je had hem opeens weer weg, zag ik net. Waarom? Ja, ik snap het helemaal. Van dit item snapte ik dus helemaal niks. Het ging dus over dat hackers Bing Re-Idev directs voor Google Ads, voor fake cloud installers. Dus die ga ik nog een beetje uitzoeken. Volgende keer houden jullie die van me te goed. Maar ik wil het dan begrijpen en dit is moeilijk te begrijpen. Dus hopelijk hebben jullie iets. Maar het moet wel nieuwtje blijven. Het is niet te lang laten liggen dan, anders is het niet gezond.

Oké, dus ik ga het gewoon laten liggen. Dit is wel goed. Ik ga nee zeggen tegen dit item begrijpen. Kan je dan gewoon wat vertellen over het IT incident zoals het eerst heette bij Albert Heijn? Ik heb een insightbron. Ik ken iemand vrij goed die supermarktmanager is bij de Albert Heijn. Wat vertelde die bron dan? Dus ik zag de communicatie vanuit hoofdkantoor naar supermarktmanager over hoe dat dan verloopt. En ik volg wel ook voor mij een school voorbeeld over hoe je dit doet als communicatieafdeling.

Maar ook gewoon dat het management allemaal gewoon zijn rol pakt en gewoon gaat communiceren. Want dat vind ik bij een incident wel een van de belangrijke dingen. Dat je de leidinggevende, je leadership gewoon zijn rol pakt. Gewoon erop gaat staan, gaat zeggen wat ze weten, wat ze niet weten. Dit berichtgeving, dat is dan interne berichtgeving. Maar naar buiten toe vond ik zelf nog wat. Dat ik dacht van jeetje jongens, jullie kunnen wel iets transparanter zijn. Doordat het een IT incident te noemen. Of het is inderdaad zo dat je niet echt weet of je nou gehackt bent. Waardoor allemaal service downgrind of zo. En dat het dus misschien inderdaad dat je denkt dat het ook iets, dat het gewoon een storing kan zijn.

Dat zou nog kunnen. Maar in het begin noemden ze het echt een IT incident. En niet cybersecurity incident. Dat vind ik altijd een beetje flauwtjes. Ik weet dus niks over die aard van incident. Maar in mijn hoofd was het inderdaad gewoon dat ze iets hebben gezien ergens. Ergens een flak of een alert die afgegaan is of dat er iets gemeld is. En dat ze vervolgens preventief hebben gedacht van holy fuck dit is spannend. Dus holy fuck het is spannend. En ik denk als je bij de Albert Heijn werkt dan denk je al heel snel aan OT-systemen. Denk ik. Dat ze dachten dat daar iets fout zou gaan. En dat ze dan vervolgens gewoon heel veel preventief uit hebben gezet. Ook als je nu kijkt in de media.

Dat ze alles weer voorzichtig aan aan het zetten zijn. Als je alles netjes gesegmenteerd had dan had je met vertrouwen gewoon kunnen zeggen. Ja dit segment kan niet bij dat segment komen. Dus we hoeven niet alles uit te zetten. Dat was een beetje mijn punt. Dat ik dacht van de distributie plat. Maar het zat toch ook in de, wat was het? In die digitale tags, die prijskaartjes die ze hebben in de stappen. De ESL's en elektronische schaplabels. Ja. Oh, jij weet interne kreten ervan natuurlijk. Je leest dat in de gitaart te noemen. Maar dat zit heel ver weg van het distributieproces.

Van hoe ga ik diezelfde vakken weer vullen? Nou, op een bepaalde manier niet. En dat is denk ik ook, Albert Heijn is natuurlijk verdiend. Die marges zijn ook maar beperkt. En je marges zitten erin doordat je je hele logistiek zo goed optimaliseert. En dat Coolblue dat heel goed kan. Dus misschien, en dan is het ook wel weer belangrijk dat je dingen aan elkaar knopt. Maar dat kun je door best wel goed gecontroleerde proxys, firewallachtige systemen laten lopen natuurlijk. Dus dat je niet alles hoeft uit te zetten. Als het mis is. Ja, ik denk het na wat je zegt. Het is gewoon, ik denk, een van de meest gekoppelde bedrijven in Nederland. Dat je persoonlijke bonuskaarten en zo.

Ja, dat Albert Heijn als marktleider is daarmee begonnen, weet je. Dus dat je zelf kunt kiezen, je aanbiedingen, dat dat automatisch goed gaat met alle paaltjes. Dat die paaltjes de voorraad gesynchroniseerd wordt. Ook weer op basis van wat jij in je box hebt zitten. Ja, dit vereist een aantal koppelvlakken die gewoon eng is, weet je. Van alles en nog wat. Dus ik denk echt dat ze door dit incident ook wel denken over segmentatie. En over, hey, waarom vallen de ESL's uit als je iets in je ergens anders kapot is, zeg maar. Je elektronische schaplabels. Ja, en hij viel dus terug op oude prijzen.

Dat is ook wel weer fascinerend. Dus dat is alsof ze een oude backup hebben teruggezet of zo. Ik vind het dus wel vet als je ziet, ze hebben even een storing gehad en even wat vertraging opgelopen. Maar ik dacht dus op basis van de media en alles dat nu.nl en OS en zo en alles wat je leest. En ik ging vandaag even, want ik kan niet online boodschappen doen daar meer. Dus ga je de winkel in en dan zie je van ja, lege schappen. Dit gaat over twee, drie of misschien vier lege schappen, weet je. Ik kan mijn super speciale drijf uit Zuid-Aversika niet meer krijgen.

Maar de rest van de drijf en shit ligt er allemaal, weet je. Ik kan mijn Havermelk met pumpkin spice niet krijgen. Maar de rest van alle voedselshit, die ligt er gewoon. Dus dan zie je die bericht over voedselveiligheid en zekerheid. En dan denk ik, 95 procent van de schappen ligt vol. Maar het moet niet langer duren, zoiets natuurlijk. Als die distributie naartoe ligt, dan is het uiteindelijk. Maar wat ik Mark wel vraag is, hoe erg zou het zijn als je jouw bonus account hacken en zien wat je allemaal gekocht hebt? Of zo als je het online bij Appieblad laat komen?

Nou, heel eerlijk. Ik zou het vervelend vinden als mijn adres dus overal ligt. Maar goed, dat voorkom je toch niet op een gegeven moment. Oudito heeft er al een probleempje mee gecreëerd. Maar ik zit sowieso te overwegen om mijn Albert Heijn account te koppelen aan mijn AI-toestanden. Want ik heb geen zin meer om mijn plannen zelf te maken. Dus AI gaat bepalen wat jij eet. Ja, dan hoef ik zelf niet meer na te denken. Dan kan ik gewoon zeggen, deze week eet ik dit. Ik moet iets meer carbs hebben. Het is natuurlijk wel een beetje pattern of life, maar ik maak me er niet zo superdruk

om. Tot zover AHA. We gaan wel zien wat daaruit komt. Wie zullen ze inhuren, denken jullie, voor instant response? Doen ze dan gewoon een leuke boutique met andere super experts of wordt het weer een van de big 4? Je zou toch denken dat ze dit door een incident response partij laten doen. Gewoon een lekker boutique die heel veel expertise hebben op incident response, toch? Nou ja, ik las dus die Lloyd tot laatst bij het OEM onderzoek gedaan. Er zitten best wel een paar hele goede mensen, maar onder hem een generaal, dat ik weet.

Ik vraag me af waarom die large corporates zo snel ook terugvallen op andere large corporates die hun weer moeten helpen en dan niet een specialist erbij gaan halen. Nou ja, goed. Dat gaan we niet lang over hebben. Of ga ik allemaal mensen op hun teentjes trappen? We hadden het gaan hebben over andere dingen waar we wat langer naar gekeken hebben. En dan beginnen we niet met mijn nieuwtje, maar Marco. Ik kwam een interessant nieuwsartikel tegen. De afgelopen weken zijn verschillende Zuid-Koreaanse financiële instellingen slachtoffer geworden van cyberaanvallen. Voordat we erin duiken, even een klein stukje over de tijdlijn.

Eind september waren de eerste in ieder geval waargenomen aanvallen. Twee oktober publiceren Zuid-Koreaanse onderzoekers iets over het gebruik van een Artex platform, een dan twee maanden oud-Chinese AI-Pen testing platform. En vier oktober komt dan een grote Zuid-Koreaanse krant, waarvan ik de naam absoluut niet kan uitspreken. Die rapporteert dan ook over de aanvallen op de eerste financiële instelling en dan ook over dat platform. En zeven oktober komt CrowdStrike met hun informatie. En dat is heel interessant, want wat zij hebben gevonden is ook die aanvallen.

En zij vonden dan de servers van de aanvallsinfrastructuur van de aanvallen. En een van die servers, daar stond het Artex platform. Dus ook dat heeft een webplatform en vanuit waar dan al die aanvallen worden gedaan. Maar de aanvallen, die was even vergeten zijn basis op orde te hebben. En daar stonden wat directories die toegankelijk waren, volgens het internet. En CrowdStrike heeft dat bekeken. Dat waren cloud code sessies, sessies in sienis en configuratiebestanden en logs. Daarmee kregen de onderzoekers van CrowdStrike dus een heel mooi inkijkje in de werkwijze

van deze aanvaller. Want ja, die werd dus heel erg gebruikt om de offensieve activiteit uit te voeren. Kennelijk is deze persoon in dat platform wel gelukt, Ronald. Ik wil toch wel eventjes die logs zien dan, want ik moet betere prompt hebben. Het platform is offline gehaald door de originele ontwikkelaar, maar ik heb een Miro gevonden, dus we kunnen nog wel even kijken of we dat nog in de praat kunnen krijgen met de modellen. Fantastisch. Er werden dus verschillende modellen gebruikt, DeepSeek, GLM en GROK. En daarnaast gebruikte de aanvaller dus cloud code voor aanvullende werkzaamheden. En daar zit nog een klein stukje mooier. Dus wat die aanvaller deed, terwijl die lekker aan het hacken was, vroeg hij in zijn cloud

code of die wat hulp kon krijgen met het opstellen van z'n CV als securityonderzoeker. En daarbij heeft deze persoon waarschijnlijk zijn persoonlijk een gegevens aangeleverd, waaronder naam, leeftijd, universiteit en woonplaats in China. Oh af en toe, af en toe is zo lekker werk. Dus dat staat gewoon lekker in die sessie geschiedenis. Crowdstrike denkt daarmee dus de identiteit van aanvaller te hebben. En ze hebben dit dus ook gewoon open bloot in een blogpost gezet. Dus gewoon de naam en alles wat erin gevuld is, staat daar open bloot in het blog. Ze hebben geen GDPR daar of zo. Dat kan ik niet. Dat kan ik niet.

Als je iets slechts hebt gedaan, mag je tegenwoordig gewoon een kaart gedoxd worden in public. Ja, dus ik vond het wel een interessant verhaal, zeker omdat dit toch ook wel weer concreet maakt dat het gewoon steeds, I guess, gebruikelijker is om met AI ook conversief toe te passen. En ja, zeker ook tegen financiële instellingen. Het is natuurlijk niet de minste markt om op te focussen. Maar ook dus dat je een extra, als onderzoeker, een extra platform hebt om dit soort dingen te deduceren, zeg maar. Dus dat je niet alleen maar in de logging staat van een of andere appliance of zo, maar ook dat als je AI ervoor gebruikt, dat je ook ergens als je niet lokaal draait, zeg maar,

dat je weer ook een extra spoor hebt wat je kunt uitzoeken om te achterkomen wie de aangaller is. Hele mooie toevoegingen, ja zeker waar. Ik zie al die financiële tools die gaan, straks ook gewoon allemaal plugins krijgen om logs van AI-tools te kunnen inlezen. Daar. Ja, dat heb je nu vooral. Al andere dingen kunnen ze heel mooi een kaart brengen, maar dit wil je ook gewoon kunnen analyseren. De memory-MD is ook van alle reaser, alle security boefjes, zover van... Met alle aankoopgeschiedenis erin. Ja, zeker. Zoveel echt. Alles van je.

Het is toch een hele slechte opzek als je gewoon voor je foute dingen, jezelfde account gebruikt, waar je zoveel mee zit te maken. Ja, absoluut. En dat het dus openstaat. En ik snap het ook wel weer, wat is het platform niet voor jezelf, dus je maakt het zo foutje. Ik begrijp het wel, maar ja, het is natuurlijk druk. Ik had zelf een ander verhaaltje gevonden en ik trek er altijd op leuke hardware waar je een beetje mee kan klooien. Dit gaat over wallets voor bitcoins. Hardware wallets. Als je een beetje veel bitcoins hebt, dan wordt er vaak gezegd, zet dat niet gewoon

op je pc, want als je weer gehackt wordt, dan raak je je wallet kwijt. Dus er is speciale hardware voor gemaakt, er is een markt voor, die je ermee helpt. En dat zijn vaak een beetje uitgebreide USB-sticks met een displaytje erop. En dan kan je daarop je bitcoins bewaren en die kan je dan in de kluis leggen, maar ik ook weer backups maak. En die moet je autotestigeren netjes bij die stick. Dus op zich wel een aardig idee. En Ledger is een van die fabrikanten ervan, dat is een Franse. En die heeft inderdaad vorige week bevestigd dat er toestellen van hun verkocht zijn met

een extra printplaatje in de behuizing. En moet je voorstellen, er zit al een hele mooie chip in, die heb je ontworpen. Die is helemaal temper-resistant een beetje, maar ook temper-evidence, dus dat je kan zien dat er gekloot wordt met hem. Maar er zit ook een displaytje op op zo'n apparaat. En tussen die chip en het display, daar lopen gewoon een kabeltje en die kan je aftappen. En dat is dus wat deze aanvallers gedaan hebben. Die hebben heel mooi een LTI moduuletje, dus gewoon een mini GSM-tje en een ISIM moduuletje

eraan gekoppeld. En die hebben ze erin geprikt. En uiteindelijk is het dus hun gelukt. En dat vind ik een element wat ik niet kan vinden online, hoe ze dat nou voor elkaar weer kregen. Hoe lukt het je nou om bij serieuze winkels uiteindelijk in de schappen te komen? Want de media markt, dus in ieder geval de Duitse versie, is er een turn daarvan. Als je daar gewoon een ledger kocht, dan kreeg je er eentje met dit extra chipje erin. Dat is een interessant onderzoek om te achterhalen hoe ze dat al gedaan hebben. Het is bijna de Grim Beeper operatie in Israël.

Zodat er behalve dat er geen explosie in zit, maar dat wel, wil je dit doen, dan moet je ver in die keten zitten en tijd hebben om dit in te bouwen. Eerst dacht ik toen ik het eerste verhaal las, van nou dat is gewoon iemand die heeft er gewoon eentje online besteld en in Europa mag je altijd alles terugsturen binnen zeven dagen. Op het podium open doe je je chipje erin en stuur hem weer terug. Zodat jij dit weer bedenkt. Ik had het dus niet bedacht zo. Dat is heel makkelijk. Voor heel veel producten hebben ze dan ook nog afspraken met fabrikanten dat ze weer de verpakking mooi kunnen maken en dat het niet eens refurbisch is, maar dat die gewoon

weer netjes nieuw in de winkel gaat, ondanks dat de verpakking beschadigd is. Zodat je zo'n stonde blister zit die moet openknippen dit ook. Maar wat ook wel een Japanse onderzoeker, die heeft dus ook een paar van die dingen naar uit elkaar getrokken en hij vindt het zo irritant dat hij niet wil vertellen waar uiteindelijk zijn onderzoek naar leidde, want hij zag dus ook dat die e-simmetjes erin zitten, of die gsm chipjes. En de laatste location area code, dus niet de cel, maar in een grote gebied, een soort provincie, zeg maar ongeveer, in de provincieschouwen in Nederland, van waar die simcard ooit mee

verbonden is geweest, die wordt opgeslagen. Dat zit ook gewoon in de gsm standen. Dus je kan, en als ze erin stoppen, dan gaat hij een keer aan en dan gaat hij verbinding maken met een netwerk. Dus dat geeft wel ruwweg ongeveer aan waar ze dan in elkaar geschroefd zouden zijn. Maar wat stuurt zo'n e-sim dan door? Wat zou die doorsturen? Wat is zeg maar de informatie waarmee een aanvaller gelijk je dingen kan stelen? Goed punt heb ik niet genoemd inderdaad. Als je hem initieel gebruikt, zo'n ledger, dan krijg je 24 backup woordjes in een schermpje te staan en de bedoeling is dat je die overschrijft.

En als dat ding dus ooit gestolen wordt of kapot is, dan kan je nog met die 24 woorden, wat een seed is voor jouw wallet, kan je opnieuw genereren je wallet en heb je gewoon weer toegang tot je geld. En die 24 woordjes gaan dus over dat modem naar een datacenter in Hong Kong, als in dit geval het niks zegt over. Hoe duur is zo'n ledger om te kopen en te analyseren? Is dit duur? Weet ik eigenlijk niet. Ik denk 20, 30 dollar of zo. Maar ze zijn nu allemaal uit de handel gehaald. Ik kan ze niet meer vinden. Ik vind ook dat we moeten af en toe een tipje geven aan onze luisteraars.

Dus ik zou gewoon zeggen pak een USB stick, zet daar tills op, dat hele fijne OS-je wat je bij de hele Tor omgeving erbij krijgt van dezelfde mensen. Wat er even voor opgemaakt is om superveilig te kunnen draaien. Het wordt gebruikt door activisten en normaal mensen die staalte dingen doen. En als je hem uit zijn power eruit haalt, is er geen geheugen meer, zit er niks meer op. Maar je kan als je echt wil, kan je toch een klein diskje mounten die encrypted is en dan zet je daar je key op. En dan heb je eigenlijk iets vergelijkbaars. Je moet iets handiger zijn zelf technisch. Ik kan ook dingen met Raspberry Pi en zo bouwen zelf.

Als je het echt belangrijk vindt. Ik heb gewoon een VM-etje waar ik verder niks mee doe. Waar ik mijn bitcoins op bewaar. Die heb ik haast niet meer trouwens. En ik had nog een nieuwtje in dezelfde aspecten rondom leuke hardware. Open AI. Bij Open AI hebben ze dus achter een televisie een stukje wc-papier zitten. Maar dat bleek dus uiteindelijk in dat rolletje wc-papier of die papar-papier. Ik vind dat echt zo'n donk manier. Er zat een super mooi gemaakt bug. Ook weer met hulp van Open AI ontwikkelde het bug.

Als je dit wilt doen, moet je deze artwork kopen. Dit zo aan elkaar schroeven. En dat had dus een man uit Saudi gedaan. Abdurahman Al-Vazan voor 35 jaar. Waarvan ik net ook een foto zag. Dat hij met de grote prins van Saudi samen op de foto stond. Toen die op bezoek was in San Francisco. Maar die man uit Saudi die werkt dus bij Open AI. En die heeft dit cameraatje met microfoon achterin een tv geprikt. In een vergaderszaal waar belangrijke vergaderingen plaatsvinden.

Dat was een beetje dom want er zat zo'n cameraatje in. Jullie kunnen het al raden. Maar de FBI heeft gewoon de uitklacht online staan. Met de foto's erbij. Van hem ook. Dat door zijn eigen cameraatje met zijn kop zie je dat hij hiernaar prik is. Oh fuck. En dat is ook zo dom geweest. Hij had nog voor een andere vergaderszaal blijkbaar een tas achtergelaten. Maar diezelfde bug in zat ook met zijn ID erbij. En die had iemand zien staan en die hadden ze gevonden. Dus het heeft aan de eind twee dagen gedraaid. Maar wat er ook wel op fascineerd is.

Hij heeft dus Open AI gebruikt om dit te bouwen. En Open AI vond dat ding. En heeft ook weer Open AI alle software en alles gegeven wat er in zat. En dan gaan we eens analyseren wat dit doet. En toen kwam hij helemaal weer terug. Van nou ja dit is van hem. En ze konden in hun eigen logs een Mac ID terugvinden. Van het apparaatje waarmee die in lucht ging. Dat is wel handig als je Open AI bent. Dan kun je zelf natuurlijk wel heel goed onderzoek doen. Maar konden ze ook door de sessies heen gaan. Dat ze zagen dat hij dit had gebouwd met chat GPT of codecs. Ja er zijn niet heel veel details naar buiten gekomen.

Maar uiteindelijk vooral dat Open AI zelf is ook onderzoek gedaan. Dus jullie zullen echt wel een beveiligingsteam hebben. Die ook ruimte sweepen. Maar een pluk wc-papier die achter de tv hangt. Dat ziet iedereen wel. Ja, ja. Jij kijkt niet vaak achter de tv. Maar wc-papier dat springt wel uit. Maar Ronald, herinner me nou goed dat jij bij Minna Z. Dus vroeger altijd de televisie de gang oprolde. Ja, daar heb ik heel veel shit bij over gehad elke keer. Daar hadden we ook een vergaderszaal toen ik bij de tips zat. Dat was dus het ministerie van Algemene Zaken.

En dan was het een vergaderszaal. Een Europazaal had ik denk ik. En ik vond het altijd een beetje een securityrisico. Want als je binnen zat in de wachtruimte voor... Omdat je ergens een afspraak had. Dan kon je gewoon heel makkelijk piggybacken achter iemand aan. En dan zou die zaal wel lopen. En daar iets in prikken. En niet alleen wij zaten te vergaderen. Ook de MP zat daar te vergaderen. Met de Europese Raad en alles. En er stond een joekel van de scherm. Altijd. En ja, ik vind als ik het met overstaatsgeheim heb.

Dan zit het in ons bloed. Jullie bloed zou dat ook wel zitten. Niet van iedereen merkte ik bij die vergaderingen. Want ik ga even opletten wat hier nou precies staat. Dus ik duwde dat ding naar buiten. En toen kreeg ik later een rommelazer van dat je dat niet moet doen. Want Rutte, die stoorde zich eraan dat het op de gang stond. En dat je over de kabels struikt. Maar ja, ik vond de overstaatsgeheim wel belangrijker dan Mark Fiedel. Nice, hè? Nice. Mooi eraan. Jelle, jij hebt een verhaal.

Ook alweer over telefoons. En ook weer supply chains. En telefoons die al besmet zijn voordat je er zelf iets op hebt gezet. Eigenlijk lijkt het wel een beetje op jouw verhaal. Dus dat is wel een keer over. Dat had natuurlijk helemaal afgestemd. Maar inderdaad dat je iets koopt uit de winkel waar je vanuit gaat vaak. Dat zou wel veilig zijn, maar dat het toch niet helemaal veilig is. En in dit geval ging het over Android devices. En dat is gepubliceerd door Bitdefender op 8 oktober. En dat is de noemde de campagne Midnight Mimosa. En dat gaat zitten onder andere op telefoons. De Dogi S200X en de Cubot Kingkon X.

Kennen jullie die merken? Dat zijn hele populair. Die hebben we ook, Kingkon X. Ja, dat is Kingkon X. Dat zijn meer deeldoos, toch? Goed, ga verder. Je telefoons. Laten we telefoons hebben. Ja, nee, dus... Nee, ik ken dus ook niet. Maar het zijn dus de B-merken telefoons die wel op Android draaien. Dus zo'n Cubot kun je dus wel kopen bij de mediamarkt voor 24 euro. En de Dogi S200X ook voor 300 euro op Amazon.

Dat vind ik voor een B-merk nog best duurrijk. Ja, maar ze hebben best veel goede specs. Dus als je op de specs kijkt, zouden ze een flagship zijn. Maar het zijn natuurlijk goedkope B-merkachtige dingen. En voor de rest, dus op die telefoons, maar ook op een aantal Android telefoons, die helemaal lijken op duurdere phones zoals de S24 en de S26, S25. Van Samsung. Ja, dus daar zagen ze het ook op. Met name dus de B-merken en de knock-offs zagen ze deze malware op. En het interessante is, die malware zit dus al in de firmware.

Dus de firmware zijn de lagen eigenlijk net onder de OS, onder de operating system. Heel dicht tegen je hardware aan zit. Eigenlijk gewoon de systeem software waar normaal alleen je leverancier hierbij kan. Dus Bitdefender die kreeg het dus in de gaten omdat ze zagen dat een systeem app. Dus je moet even voorstellen dat jouw operating system, je instellingen app, zeg maar één onderdeel van je instellingen app kan eigenlijk weer een aparte app zijn. Of applicatie zijn die daar binnen weer leeft. Het is een eigen programmetje binnen die hele kern van je Android systeem.

Ja, want daarom hebben ook elk andere merk Android, daarom ook gewoon een andere settings layout. En echt alles is altijd anders. Ja, zeker. Dat is waarom het zo ontzettend irritant is om te ontwikkelen voor Android telefoons ook. Inderdaad, omdat er gewoon zoveel verschillende apparaten zijn en zoveel verschillende specs. Ja, maar dus wat ze hierin zat is dus een systeem app. Dus eentje die heel dicht tegen de firma aan zat, die eigenlijk ongemerkt allerlei apps installeerde en liet verdwijnen. Dus gewoon verwijderen. En daarnaast kon je ook gewoon extra code ophalen. Dus gewoon malware, suite, kleine modules kon je ophalen en andere apps ook weer rechten uitdelen.

Dus dat mogen apps normaal niet. Dus vandaar dat heel interessant is dat je zo dicht tegen die systeem software aan zit. Want normaal als je een app op je telefoon hebt, moet je altijd akkoord geven op alle rechten die zo'n ding heeft. Dus dat is wel interessant hoe ze dat hebben aangepakt. Maar wat is nou de aanleiding dat BitDefender ernaar ging kijken? Want dit ontdek je niet zomaar, dan moet je echt wel even je best doen. Geen flauw idee. Ze zijn er dus ook al twee jaar mee bezig. Dus ik heb geen idee hoe ze dit gestart zijn. Kerst cadeautjes voor de medewerkers, denk ik. Iedereen in King Kong XL. Iedereen in King Kong XL voor de eenzame kerst.

Dus ze zaagt op duizenden toestellen. Over meer dan twee jaar dat ze hier al naar kijken. Ze zaagt in meer dan 150 landen dat dit gebruikbaar is. En de landen waar deze telefoons veel verkocht worden, eigenlijk alles behalve het westen. En wat deed dat ding dan? Dus wat deed die malware? Wat ze deden was advertentieverhouding, een soort module. Dus dat je eigenlijk advertenties kon spammen. Dus je krijgt geld als je advertenties laat zien. En als mensen klikken, weet je, in YouTube een advertentie.

Je klikt erop of je klikt door. Je krijgt bepaald geld. Als ik in mijn apps advertenties zou doen en jullie kijken 30 seconden naar zo'n heel fullscreen advertentie van mij. Dan krijg ik een dollar voor, zeg maar. Dus je kunt daar geld mee verdienen. En wat deze malware deed was, ik doe geen advertenties natuurlijk. Maar wat deze malware deed is ervoor zorgen dat je dat gebruiksgedrag nagedaan werd. Waardoor de eigenaar van de malware meer geld verdiende met zijn advertenties. Dus gewoon neppe advertentieopbrengs genereren. Maar dat ze ook wel tegenkomen in de routers, toch?

Die helemaal gehackt waren, die hetzelfde soort dingen doen. Ja, zeker en die televisies waar we het eerder ook over hebben gehad. Want ook daar weer, dit deed ook weer het aanbieden van je telefoon als residential proxy. Dus eigenlijk kon de malware andere internetverkeer, dus voor betalende mensen die hun internetverkeer via een ander land wilden routeren, kon je dus ook via deze malware laten routeren. Dus die KingKong XL telefoon, die kon ook gebruikt worden door iemand anders om zijn internetverkeer te routeren. De telefoon heet trouwens KingKong XL, niet XL.

Nou, kut. Bij deze heet hij XL. Residential proxy is dus hetgene waar je geld mee kunt verdienen. Want zo'n toegang kun je natuurlijk verjuren. Dus met name mensen die hun internetverkeer ergens anders uit de wereld willen laten komen, kan soms legatiem zijn, maar heel vaak zit hier ook achter dat dit gaat over grote scrapers, of het gaat over criminelen, of het gaat over mensen die gewoon heel fijn vinden om in ander land het netwerk op te gaan. Ja, dus bijvoorbeeld nepaccounts aanmaken, ook nepaccounts voor het gebruik van andere AI applicaties,

het voorzorgen dat je niet gefingerprint kunt worden. Eigenlijk allemaal voor die modellen die je kunt met zo'n residential proxy. Ja, en dan is het interessante, wie heeft dit gedaan? Wie heeft nou dit erin gebouwd? Voordat we daarin duiken, wat merkte de eindgebruiker hier nou van? Nog niks, denk ik. Ik kan zelf wel een antwoord formuleren, maar ik ben benieuwd hoe is dit anders dan überhaupt gewoon het gebruik van Android, als zijnde het ecosysteem wat al dingen doet met steeds meer advertenties. Ja, maar dat is meer naar de gebruiker toe juist, met advertentie uit die zin. Ja, oké. Dit is gewoon heimelijk misbruiken van een gebruikersapparaat natuurlijk.

Ja, maar wat je misschien wel ziet is dat je data opgaat. Omdat je stiekem of zo genaamd naar reclame zit te kijken wat vaak filmpjes zijn. Dit is dus niet vanuit de vendor erin gezet, dus het is niet zo wel alsof dat Google, Samsung of Apple is, die loadware op je phone zet. Maar dit is dus een andere partij buiten de keten, zeg maar, of in de keten. Maar heb je ook een beetje beeld bij hoe dit dan opgekomen is? Het merk wat op de doos staat, dus in dit geval Qbot voor de Kingkong en Dogy voor de S200.

Het hoeft niet per se te zijn dat die alles bouwen aan die telefoon, zeg maar. Het zijn samengestelde projecten. En wat ze dus hebben gedaan is er zitten leveranciers tussen. Dus Bitdefender heeft gekeken naar welke partij hierin zit en door wie. Dus die app, die systeemapp, met welk certificaat die ondertekend is. Het certificaat is van Shenzhen Zedil, CDL, in ieder geval een Chinese apparatenmaker. En die heeft het dus met dat certificaat is het erop gezet. Of het dan daadwerkelijk die partij is of iemand die het certificaat heeft gejat. Maar iemand heeft dus in die hele keten van het bouwen van zo'n telefoon deze applicatie in die telefoon gekregen.

En Google beschreef het eerder een ander rapportage over Triada in 2019. Het ging bijvoorbeeld over als zo'n fabrikant van de Dogy of Qbot zegt van, joh, ik wil modullen voor gezichtserkening en gezichtsontgrendeling. Dan gaan ze dat niet zelf bouwen, maar dan doen ze dat outsourcen naar iemand die die software inbouwt in de systeem software. En dus daarmee ontstaat die hele keten, net zoals met auto's, net zoals met televisies. Die hele keten met applicaties, met software. In die hele keten ontstaan allemaal leveranciers die dus kunnen denken van, we willen wat extra geld verdienen aan het ontwikkelen van software.

Ik vroeg deze modullen voor advertenties en voor residential procties in. Ja, maar niet het bedrijf, maar misschien gewoon één medewerkers die bedenkt van, ik ga even uit het handel beginnen. Ja, dat zou kunnen, zeker. Maar laten we wel zien, jouw naam staat erop, het is jouw merk. Je hebt het allemaal bedacht van, ik wil dit product gaan hebben. Je hebt eigenlijk helemaal geen idee wat er nog in zit. Dat is niet heel erg anders met auto's, vermoed ik. Het is wel grappig, als je dan nu het bedrijf googelt, dan is ook het enige wat je tegenkomt, is een hele stroom aan nieuwsberichten over hoe rijk het allemaal wel niet is dat die apps zijn aangetroffen uit name van dit bedrijf.

Fijn reclame. Ja, maar dat is voor Google ook niet fijn, want het is best wel leuk als. Maar krijg je dan slechte naam zouden. En dit soort dingen zou je niet zo snel krijgen bij Apple, die alles gewoon in eigen hand doen. Oké, maar stel nou, ik kom iemand tegen en die heeft zo'n King Kong. Ja, wat moet je ermee? Ja, dus Kaspersky heeft eerder ook zo'n type campagne gevonden. Die had een heel advies en controle protocol om dit te doen.

Dat was eigenlijk gewoon helemaal nieuwe, schone systeem software te installeren. Maar ja, al die creptje telefoons, al die B-merken, die hebben vaak niet een hele volwassen ondersteuning, klantenservice, dat die firmware zomaar beschikbaar is en een normale gebruiker gaat niet zijn hele telefoon opnieuw flashen en dan vervolgens daar allerlei nieuwe dingen opdoen. Dus dat advies is een beetje voor technisch gebruikers voor inhandig. Maar voor de rest is het misschien gewoon een beetje een advies voor met name techneten. Het is gewoon voor een normale gebruiker is het gewoon niet te checken. Systeem software die erop staat, firmware as a service of firmware uit firmware malware,

die vanuit de doosje al op je telefoon zit of in een apparaat zit, daar ga je gewoon helemaal niks tegen kunnen doen als normale gebruiker. Dus ja, het is gewoon een beetje stom. Het enige wat misschien opvalt is dat er een app in een keer verdwijnt, maar ik denk slimme mailware zou dat ook niet doen. Veel netwerkverkeer, ja, maar tegenwoordig is het ook, ja, wat is veel netwerkverkeer? Als je dan 100 MBit bundle hebt en deze verbinding snoept een keer 10 MBit van jouw connectie af, ja, dan ga je dat ook niet merken denk ik, tenzij je heel erg op je megabyte aan het tellen bent.

Ik ga nu wel zo'n King Kong kopen trouwens, denk ik. Want het is natuurlijk ideaal excuus dat als mijn hekpogingen die misschien toch niet helemaal gelukt waren, uitkomen, zeg ik, ja, maar dat was ik niet. Dat is King Kong. Dat krijg ik niet zitten te doen. Dat is gewoon mijn King Kong, die zit een of andere rare Chinees zitten te doen. Ja, het is wel goed, het is gewoon plausible deniability. Precies. Nice. Schietjes, wat niet alleen in Nederland ging het mis met onze supermarkten.

In Frankrijk ook, he Marco? In de nacht van 11 op 12 oktober werden honderden Frankse supermarkten getroffen door, wat lijkt op een cyberaanval op hun koei- en vriesinstallaties. En zeker ook die hele grote intermarché, een carafore en al dat soort dingen. En fantastische winkels zijn dat, he? Zo groot. Ik vind het altijd briljant dat je met een appel en een auto naar buiten kunt lopen. Dat is echt geweldig. En dat is er weer. En jou ook toch, ja. En dan koop je gelijk een King Kong. Dat is helemaal ongelooflijk. Die ligt er ook wel, ja. Maar ja, dus de aanvallers hebben dus toegang gekregen tot de besturingssystemen

van de commerciële koei-installaties. En ze hebben toen de temperatuurregeling gemanipuleerd. Om het even mooi te zeggen. Met andere woorden is het ook gewoon de temperatuur verhoogd. Tot volksberichtgeving, tot 50 graden. En ja, dat is allemaal voedsel ondooid en gewoon helemaal goor geworden. En er is dus allemaal financiële schade. En er zijn zelfs meldingen van brand die nog niet per se aan deze aanval gekoppeld zijn. Maar het komt wel toevallig allemaal samen. Het Franse serf bevestigt de aanvallen op de controles van Danfoss. Een groot deensmerk en nog een kopelende diksel. Die ken ik niet. Veel getroffen systemen driveren oude de meuken, oude firmware.

En het mooiste, ze hangen aan het internet. Dus ze waren gewoon bereikbaar voor een remote beheer. Ja, want het is wel belangrijk bij koelingen. Dat je ze remote via het internet kan beheren. Direct aan het internet. Op www.insmai-coldsystem.nl Nou, dat is misschien een beetje lelijk. Maar dit heb je in Nederland ook bij supermarkten. Omdat je dan inderdaad als de koelingen uitvallen, als het is nachts, dat je een alarmcentrale aan de lijn krijgt. Dat heb je. En dat je dan vervolgens dat degenen die verantwoordelijk is daarvoor, dus naar de winkel moeten en samen met de monteur om te checken. Van hey, shit, ja, want koelingen, het eten wat daarin ligt, inderdaad moet gewaarborg blijven.

Dus vandaar dat er zo'n enorme alarmcentrale op alle koelingen meekijkt of wat er gebeurt. Ja, maar die snap ik wel. Maar dat je dan je admin panel gewoon zo open blot aan het internet zet. Ja, dat is lelijk. Dat moet je dan weer niet doen. Nee, zeker. Ik bedoel, dat klinkt, weet je wat jij zegt? Dat is eigenlijk een push van informatie. Dat is erg als je met telemetrie naar toe sturen. Maar goed, onderzoekers van Clarity. Ik vind het trouwens wel weer fascinerend dat het om drie verschillende bedrijven is. Want kijk, als je toevallig iemand ontdekt dat van Denvos, die Dense controllers, hoe je dat daarop doet.

Nou ja, dan kan je dus graag een keer een scriptje, ga je al die IP-adressen in Frankrijk af en kijken van... Een rammer. En dan ga je andere temperatuur erop zetten als grapje. Kan ik me een beetje voorstellen als hacker. Maar dat je nou ook even van andere fabrikanten gaat zoeken. Want het zou er misschien een beetje op kunnen duiden dat het wat geplander was. En het zou echt mijn best hebben gedaan om alle friesers te pakken. Ja, maar dan vraag ik me wel af. En dan loop ik natuurlijk al een beetje vooruit op de hele de rest van dingen. Maar wat is zeg maar je motivatie achter alle supermarktblemmers? Dan een soort van maatschappelijke onrust of gewoon wat het kan?

Ja, ja, precies. Dat is dan wat ik ook dacht. Net als spelen met een fontein. Het kon. Maar dat snap ik. Want dan pak je een fabrikant dat je daar ontdekt hebt. Die is daarin open. Maar dat je echt je best doet om andere twee nog te vinden ook. Dat lijkt het dus inderdaad wel dat we iemand een groter plan had. Nou ja, je kan het ook gaan afpressen. Dat is een andere manier van mensen weer. Ik zet je frieser hoog of je gaat me geld geven. Maar qua intentie is het inderdaad een motivatie van wat zat hier achter? Interessant inderdaad. Dat is financieel gewin waarschijnlijk niet, want dan had je dit misschien niet gedaan. Of was hier dan hele ransomware onderhandeling vooraf gaan gaan?

En is dit zeg maar de laatste fase die je ziet? Of is er iemand een buitenlandse partij die denkt van hey, ik heb best wel veel behoefte aan onrust in Europa en onzekerheid over cyber security in Europa. Ja, dat kan. Het is ook gewoon een lekker subversieve handeling. Als we toch gaan speculeren en als je combineert met de Alper Heijn en dat wij ook vinden dat de Rusland de vijand is, dan krijg je dit soort dingen. Eigen schuld. Pakken we je oesters en je frietjes. Ga maar vriezen. No more fries for you. En je King Kong. En je King Kong. We lagen die in het vriesvak.

Geen idee. Ik weet niet hoe de caravoo erin gericht is. Fair enough. Oké. Maar goed. Er is een onderzoeksbedrijf, Clarity, die heeft 3 CVE's. Beter te vinden met AI Assisted Research. Binnen een half uurtje hadden ze de hele chain klaar dat ze op het Danfos-systeem codex-sitution konden krijgen. Dus dezelfde manipulatie, maar dat ze alle handelingen zouden kunnen verrichten. Danfos heeft dat voor hulp in firmware-updates, maar het is nog niet bekend wat precies de aanvalsketen bij die Franse tocos is geweest. Ja, de aanvallen houden er nog steeds aan.

Men heeft er ontzettend veel last van. In Bordeaux heeft de supermarkt een nieuwe aanval tijdig weten te stoppen. Want daar hadden ze onder andere bij een aantal diepvriesproducten, units, de temperatuur verandert van min 22 naar 150 graden. Het is gewoon overtemperatuur zeg maar. Maar dat hebben ze tijdig in de gaten gehad. Dat is wel weer nice. Maar ja, goed. Het is nog wel bekend wie de daders zijn, wat de motieven zijn. En er is ook niks publiek bekend. Jullie zeiden net Ransom. Ja, weet het allemaal niet. Ja, dus qua de mogendheid zijn het mensen die het filmhackers net hebben gezien.

Ja, who knows. Nou, maar heb je, ik weet, jij zit al te veel op show dan. Heb je nog even gekeken of je apparaten tegenkwam? Er zijn wat soort dingen, soort queries die je kan doen om de login-panel te vinden van Damfoss. Ik heb niet gekeken naar hoeveelheden of dat soort zaken. Zullen we het nu even doen? Ik ben ondertussen inderdaad met een schuin oog even aan het kijken naar op show dan. En dan kan je even uitleggen wat show dan is. Show dan is een Amerikaanse platform.

Er zijn ook steeds meer Nederlandse aanbieders van dit soort platforms schijnbaar. Maar dus eigenlijk niet hele internet scan, scrape en in kaart brengt en dat je met een bepaald abonnementje kun je gewoon fijn googlen. Dus eigenlijk is hier alle, is eigenlijk Google for hackers. Zo moet je het misschien zien. Is dus bijvoorbeeld als je IP camera zoekt in Europa of in Nederland die openstaan, dan heb je daar gewoon allerlei IP camera's. Dan kun je meekijken met webcams. Het brengt geen websites in kaart, maar het checkt ook IP address. Wat zit daarachter? Ja, precies. En dat is eigenlijk inderdaad veel beter inderdaad. Dus je hebt IP address en soms zit daar inderdaad een webdomein achter of iets van een iets

wat leeft en eruit ziet op een bepaald manier. En soms inderdaad ook heel lijpe panels van allerlei operationele systemen. En Showdown heeft ook een hele leuke prompt, zeg maar, klaarstaan waarmee je heel makkelijk ook met verschillende apparatuur een beetje kan spelen. Oké, in 4100 zit je op Showdown ongeveer op gewoon de titel Danfoss en ik zie redelijk wat zijn van die storeview dingen. Dat je, ja, ik zie dus een overzicht van de worstwaren en de drank en welke temperaturen

daar staan en dat kun je instellen. In welk land is dit? Nou ja, het zijn Duitse namen, dus ik denk in Duitsland. En daar staan de temperaturen achter? Ja. En hoe weet je nou zeker of dit een honeypot is of niet? Voor het open. Dat zijn allemaal een beetje te veel giveaways voor honeypot. Ja, zeker. Nou, precies. Kom op, doe je best, doe je best. Dat is, nou. Nou, terug naar je verhaal, Marco. Ja, terug naar het verhaal.

Ja, het verhaal, dit was eigenlijk, als in de hulp supermarkt heb je last van. Het was iets met een wachtwoordje. Ja, precies. Ja, ver point, want gaan we even inzoomen op de kwetsbeheeden die erin zitten. Dus een van de kwetsbeheeden is een verborgen code of the day-mechanisme. Oftewel, wat er eigenlijk gebeurde, het adminportal, die zet gewoon elke dag, reset die het wachtwoord naar de datum van vandaag. Nou, het is toch wel goed. Het is beter dan de zes weken wachtwoord wijziging.

Je hebt gewoon elke dag wachtwoord wijziging. Hartstikke goed. Dat is absoluut waar. Ja. Maar het valt wel in de categorie mensen die een wachtwoord veranderen in januari 26, februari 27. Dus ja, maak het dan wel true random, zeg maar. Ja, de tweede kwetsbeheer die we hebben gevonden is dan nog een command injection. Dus als je dan eenmaal geauthentiseerd bent, wat dus erg makkelijk bleek te zijn, kun je eenmaal commanders uitvoeren op het systeem. En daarnaast kun je dus allerlei configuratieparameters aanpassen, waardoor je ook onder andere denial of service voor elkaar kan krijgen. Dus dat het hele ding gewoon onvergetrokken werd.

Als je het over commanders doet op het achterleggende systeem, dan moet daar iets van een OS Shell iets op zit. Ja, het is een, even kijken, Danux. Je kunt het downloaden. Een IPK-file. Het is geweldig. Danux heet het. Ik moet je bekennen. Ik weet niet, is dit gebaseerd op open standaarden of niet? Ik heb eigenlijk geen idee. Maar uiteindelijk, ja, er is een besturingssysteem en daar kun je gewoon commanders op uitvoeren. Maar zo'n eigen oesje is levensgevaarlijk. Dat is in alle weken. Ja, absoluut. Absoluut.

Nou, dus. Amateurs. Tien jaar geleden door de stagiair ontworpen is die briljant was. Ja. Ja. Dat draait nog steeds. Wat leer je ervan? Hangt niet die dingen aan het internet of zo? Nou, ik weet wel wat je net zei. Je wil wel gewoon dat zo'n dingen te bereiken zijn. En ik kan me voorstellen. En ja, goed. Wat even voor nut om het temperatuur van een vriezer aan te passen? Dat ding heeft één functie. Dat is vriezen. Moet dag en nacht aanstaan naar supermarkt. En dat je wil uitlezen of die doet, dat snap ik.

Maar dat je kan changeen, dat snap ik niet zo. Nou, ik kan me wel voorstellen vanuit een soort militaire weerbaarheid. Dat je vanuit militaire dreigingen en weerbaarheid van de maatschappijen en dit soort zaken, ja, je moet het wel op orde hebben. Dus dat is toch ook een beetje de vraag. Moet je dit dan als kritieke infrastructuur beschouwen als je de maatschappij draaiende wil houden in tijden van schaarste en ellende? Ik denk als je, ja, maar er is nog een laag, de tweede laag eromheen is natuurlijk van de onrust die je kan veroorzaken door in heel Europa supermarktketens plat te krijgen.

Zorg dat eten niet meer, dat je SKC's gesmolten zijn. Ja, ja. Ja, mensen worden wel angstig. Ja, zeker. Denk ik. Met de supermarkten en zo, die zijn al een vitale sector in Nederland in ieder geval. Dus ze zijn deels van vitaal. Maar ik denk wel, ze zijn tijdens covid pas vitaal of kritiek geworden volgens mij. Dus het is wel interessant dat het een relatief recente toevoeging is in het hele stelsel. Maar dit wordt crep ook. Hoe weet je dit? Hoe weet je dat ook voor de koelingen?

Ja, ook voor zo'n supermarkt. Het is inderdaad ook, als je je hele keten door moet resiseren, van oké, we doen koelingen. Wat doet dan Danfoss? Waarschijnlijk is het niet Danfoss die de koelingen bouwt, maar alleen dit stukje. Die de controller, zeg maar. Ja, de controller. En dan ga je inderdaad naar de coolmachine fabrikant. De coolmachine fabrikant verdient niks met cyber security op dit moment. En die dingen gaan waarschijnlijk ook met zo'n M2M modepje naar buiten. Dus helemaal niet dat je een nette IP range hebt waar je kan scannen van buitenaf om te kijken wat voor apparaat heb ik. Maar dit ding gaat misschien gewoon autonoom zichzelf melden bij de leverancier die het

geïnstalleerd heeft. En dan gaat die IP-dreschen het maar vinden. Dus dat is het. Ja, wat we net ook allemaal besproken hebben. Je koopt van alles. Er zit van alles in. Je hebt geen idee eigenlijk wat erin zit. Zelfs de leverancier weet vaak niet eens meer wat erin zit. Dat is toch geen de podcasttitel die we het te pakken hebben. We hebben geen idee wat erin zit. Dat is wel... In je King Kong XL. We hebben genoeg onzin verkocht. En ontrezeggelijk. Jij moet zo je kindjes gaan halen.

Dat was het nog meer voor deze week. Dank aan Marco. Dank aan Jelle. En heb je vragen of opmerkingen? Blijf even luisteren trouwens nog. Of onderwerpen die we moeten bespreken. Meel ons dan via vragen. Hetcybehelden.nl. En voor ik echt afsluit nog even de commercial erin. Ik zag bij de politie een hele leuke functie staan. Ze staat op LinkedIn. Moet je even zoeken naar Offensive Security Specialist. Ze hebben ook een hele leuke informatie bijeenkomst op 26 oktober, zavond in Driebergen. Volgens mij ergens rond zes uur. Dan kan je er naartoe. En dan kan je ook de mensen spreken die daar bij Team Digit zitten te hacken.

En dan kan je een gesprekje voeren en kijken of het ook wat voor jou is. Dat was de reclame. Ik ben benieuwd wie ons volgende week gaat betalen. Even, dit is een serieus vette club. Als je stapt over echt hackwerk doen bij de overheid. Hard to crime, joint security cyber unit. Ja, moet je het hier doen. Zeker. Zonder zo'n vervelende toezichtcommissie. Ja alleen maar een OVJ, officier van justitie. Lekker. Ja, maar heel lief. Hetzelfde belang als jij als hacker natuurlijk. Oké, dus ga daarheen.

Woensdag wordt hartstikke druk, denk ik. Elke week kun je naar een nieuwe aflevering van Cyber Helden luisteren. En onze gesprekken met Cyber Helden kun je terug luisteren via Spotify. Of je eigen favoriete podcast app. Vergeet ook niet te subscriben. Dan krijg je zelf een notificatie als er weer een nieuwe aflevering klaar staat. Veel dank voor het luisteren en graag tot de volgende keer. Later. Later. Vond ik je iets minder smerig, hè jongens? Ja, ja.