Britse overheid waarschuwt voor malware die Outlook-accounts kaapt
De Britse overheid heeft een waarschuwing afgegeven voor malware die Outlook-accounts kaapt en allerlei data van slachtoffers steelt. De malware wordt door het Britse National Cyber Security Centre (NCSC) Authentic Antics genoemd. Hoe de verspreiding precies plaatsvindt laat de Britse overheidsinstantie niet weten. Authentic Antics werd voor het eerst in 2023 ontdekt, na onderzoek van Microsoft en securitybedrijf NCC Group.
Eenmaal actief draait de malware binnen het Outlook-proces en laat periodiek inlogvensters zien om zo inloggegevens en tokens van Microsoft Office-accounts te stelen, zo stelt het Britse NCSC in een analyse. Via de gestolen inloggegevens en tokens kunnen de aanvallers weer toegang tot andere applicaties krijgen, zoals Exchange Online, SharePoint en OneDrive. Verder stuurt de malware data van het slachtoffer via e-mail naar een adres van de aanvaller, waarbij deze e-mails niet in de 'verzonden' map van Outlook zichtbaar zijn.
Volgens de onderzoekers hebben de makers veel aandacht besteed aan het ontwerpen van de malware zodat diens activiteiten samengaan met legitieme Outlook-activiteit. Zo is de aanwezigheid op de schijf beperkt, wordt data in specifieke register-locaties van Outlook opgeslagen en is er legitieme Microsoft authentication library code aan de code toegevoegd, maar wordt die niet gebruikt. Daarnaast vindt er alleen netwerkverkeer met legitieme netwerkdiensten plaats. Het Britse NCSC stelt dat een groep aanvallers genaamd APT28 voor de malware verantwoordelijk is.
Ik zag het van het weekend nog op Thunderbird bij mijn ouders. Elke keer als Thunderbird werd opgestart kwam er een groot scherm of ze wilden bewijzen dat ze geen robot waren (En dat ze waren wie ze zeiden dat ze waren, maar het was voornamelijk reCaptcha's invoeren en dat heeft niets met hun identiteit te maken).
Mijn ouders klikken dat weg. Ik heb het met hun hulp ingevuld. Maar ideaal voor phishing malware dat OAuth 2.0.
Ik zag het van het weekend nog op Thunderbird bij mijn ouders. Elke keer als Thunderbird werd opgestart kwam er een groot scherm of ze wilden bewijzen dat ze geen robot waren (En dat ze waren wie ze zeiden dat ze waren, maar het was voornamelijk reCaptcha's invoeren en dat heeft niets met hun identiteit te maken).
Mijn ouders klikken dat weg. Ik heb het met hun hulp ingevuld. Maar ideaal voor phishing malware dat OAuth 2.0.
Ik zag het van het weekend nog op Thunderbird bij mijn ouders. Elke keer als Thunderbird werd opgestart kwam er een groot scherm of ze wilden bewijzen dat ze geen robot waren (En dat ze waren wie ze zeiden dat ze waren, maar het was voornamelijk reCaptcha's invoeren en dat heeft niets met hun identiteit te maken).
Mijn ouders klikken dat weg. Ik heb het met hun hulp ingevuld. Maar ideaal voor phishing malware dat OAuth 2.0.
Het meest verontrustende aan dit verhaal is hoe slim deze malware inspeelt op vertrouwen in legitieme processen. Periodieke login-prompts lijken normaal, authenticatieverzoeken ook. Wie gaat daar vraagtekens bij zetten? Voeg daaraan toe dat de malware gebruikmaakt van Microsoft’s eigen authenticatiebibliotheken om zichzelf geloofwaardig te maken en je begrijpt hoe hoog de drempel is om dit te detecteren. Dit is social engineering en technische camouflage in één pakket.
Deze dreiging legt opnieuw bloot hoe afhankelijk organisaties zijn van cloudgebaseerde identiteits- en toegangssystemen. Zodra tokens en inloggegevens gecompromitteerd zijn, ligt de weg open naar alles: Exchange, SharePoint, OneDrive. Dat betekent dat één succesvolle aanval potentieel een complete digitale infrastructuur openbreekt. MFA helpt, maar alleen tot op zekere hoogte – zeker als sessietokens worden buitgemaakt.
De kernvraag is: doen we genoeg om deze dreigingen voor te zijn? Het voelt alsof we steeds achter de feiten aanlopen. Threat actors worden slimmer, geavanceerder en professioneler, terwijl basisdetectie en respons vaak tekortschieten. Misschien moeten we accepteren dat traditionele endpointbeveiliging niet langer volstaat en dat gedragsanalyse en zero-trust niet langer buzzwords, maar pure noodzaak zijn.
En eerlijk gezegd, als het NCSC écht wil dat organisaties zich wapenen, moet er meer komen dan een waarschuwing. Geef inzicht, deel indicators of compromise, leg uit hoe deze malware zich verspreidt. Want zonder die kennis blijft iedereen gissen – behalve de aanvallers, die precies weten wat ze doen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?