Neem contact op
Neem contact op
Actueel / Pinewood Security Bulletin – Threat Actor Targets SonicWall SSL VPNs via Unknown Attack Vector
Security Bulletin

Pinewood Security Bulletin – Threat Actor Targets SonicWall SSL VPNs via Unknown Attack Vector

7 augustus 2025

 

For English, see below.

Beschrijving

SonicWall heeft aangegeven dat er recent een toename is te zien in incidenten gericht op SonicWall Gen 7 firewalls, specifiek op devices waarop de SSL VPN-functionaliteit is ingeschakeld. Op dit moment is nog onduidelijk of er bij de aanvallen misbruik is gemaakt van een nieuwe kwetsbaarheid of reeds bestaande kwetsbaarheid, of dat de aanvallers toegang hebben verkregen via gelekte inloggegevens. Publieke meldingen over recent misbruik lijken erop te duiden dat aanvallers zich ook toegang weten te verschaffen tot SonicWall firewalls die voorzien zijn van de laatste updates en waarop alle gebruikersaccounts voorzien zijn van MFA.

Het lijkt erop dat de recente incidenten met name verband houden met de Akira ransomwaregroep. Na initiële compromittatie van een SSL VPN-verbinding, zoeken de actoren achter deze ransomware binnen korte tijd naar mogelijkheden tot het verkrijgen van verhoogde rechten in het netwerk om vervolgens de ransomware te activeren.

Kwetsbare versies

De aanvallen richten zich op SonicWall Gen 7 firewalls met SSL VPN-functionaliteit. Aangezien op dit moment nog onduidelijk is welke kwetsbaarheid de aanvallers uitbuiten (en óf de aanvallers een kwetsbaarheid uitbuiten), is ook nog onduidelijk welke versies van deze firewalls kwetsbaar zijn.

Oplossingen en tijdelijke mitigaties

Aangezien nog onbekend is hoe de aanvallers hun aanvallen succesvol uitvoeren, is er op dit moment ook nog geen oplossing voorhanden om misbruik te voorkomen.

SonicWall raadt organisaties een aantal workarounds aan om te voorkomen dat aanvallen succesvol zijn:

  • Schakel de SSL VPN-functionaliteit tijdelijk uit indien niet strikt noodzakelijk.
  • Beperk de toegang tot SSL VPN tot alleen vertrouwde IP-adressen.
  • Schakel security services als ‘Botnet protection’ en ‘Geo-IP filtering’ in.
  • Activeer multi-factor authenticatie (MFA) op alle accounts.
  • Verwijder inactieve en ongebruikte lokale accounts.
  • Update regelmatig de wachtwoorden van accounts.

Detectie van mogelijk misbruik

Voor de initiële toegang breken de aanvallers in op de SSL VPN-service. Succesvolle inlogactiviteiten op de SSL VPN-service vanaf onbekende IP-adressen, vormen dan ook een indicatie van mogelijk misbruik. Dit is zeker het geval indien de inlogactiviteiten plaatsvinden vanaf een IP-adres waarvan bekend is dat deze in de aanvallen is ingezet. Zie voor een overzicht hiervan de afzonderlijke artikelen over deze aanvallen vanuit Huntress, Arctic Wolf en Field Effect.

In de bekende aanvallen maken de aanvallers – na initieel toegang te hebben verkregen – veelal misbruik van bekende technieken zoals het aanmaken van nieuwe accounts en het toekennen van “Domain Admin” rechten aan accounts. Bestaande detectieregels kunnen daarom helpen om eventuele vervolgacties na de initiële compromittatie te herkennen.

Meer informatie

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

SonicWall has indicated that there has been a recent increase in incidents targeting SonicWall Gen 7 firewalls, specifically on devices where the SSL VPN functionality is enabled. At this time, it is still unclear whether the attacks exploited a new vulnerability or an existing one, or whether the attackers obtained access through leaked credentials. Public reports on recent abuse suggest that attackers are also able to access SonicWall firewalls that are equipped with the latest updates and where all user accounts are protected by MFA.

It appears that the recent incidents are mainly related to the Akira ransomware group. After initially compromising an SSL VPN connection, the actors behind this ransomware quickly look for opportunities to gain elevated rights in the network and then activate the ransomware.

Vulnerable versions

The attacks target SonicWall Gen 7 firewalls with SSL VPN functionality. Since it is currently unclear which vulnerability the attackers are exploiting (and whether the attackers are exploiting a vulnerability), it is also unclear which versions of these firewalls are vulnerable.

Solutions and workarounds

Since it is still unknown how the attackers successfully carry out their attacks, there is currently no solution available to prevent misuse.

SonicWall advises organizations on several workarounds to prevent successful attacks:

  • Temporarily disable SSL VPN functionality if not strictly necessary.
  • Limit access to SSL VPN to trusted IP addresses only.
  • Enable security services like ‘Botnet protection’ and ‘Geo-IP filtering’.
  • Activate multi-factor authentication (MFA) on all accounts.
  • Remove inactive and unused local accounts.
  • Regularly update account passwords.

Detection of possible misuse

For the initial access, the attackers break into the SSL VPN service. Successful login activities on the SSL VPN service from unknown IP addresses, therefore, indicate possible misuse. This is certainly the case if the login activities occur from an IP address known to have been deployed in the attacks. For an overview of this, see the separate articles on these attacks from Huntress, Arctic Wolf, and Field Effect.

In the known attacks, after initially gaining access, the attackers often exploit known techniques such as creating new accounts and assigning “Domain Admin” rights to accounts. Existing detection rules can therefore help to recognize any subsequent actions after the initial compromise.

More information

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Actueel / Pinewood Security Bulletin – Critical Unauthenticated RCE Vulnerabilities in Cisco ISE and ISE-PIC
Security Bulletin

Pinewood Security Bulletin – Critical Unauthenticated RCE Vulnerabilities in Cisco ISE and ISE-PIC

7 augustus 2025

 

For English, see below.

Beschrijving

Er zijn twee kritieke kwetsbaarheden ontdekt in Cisco Identity Services Engine (ISE) en Cisco ISE Passive Identity Connector (ISE-PIC). Deze kwetsbaarheden bevinden zich in specifieke API-componenten van de software. Het betreft onderstaande kwetsbaarheden:

  • CVE-2025-20281: Deze kwetsbaarheid is het gevolg van onvoldoende validatie van gebruikersinvoer in een specifieke API. Een aanvaller kan via een speciaal geprepareerd API-verzoek willekeurige commando’s uitvoeren op het onderliggende besturingssysteem met root-rechten, zonder dat authenticatie vereist is.
  • CVE-2025-20282: Deze kwetsbaarheid treft alleen versie 3.4 van ISE en ISE-PIC en maakt eveneens het zonder authenticatie uitvoeren van willekeurige code mogelijk. De kwetsbaarheid bevindt zich in een interne API waarmee een aanvaller willekeurige bestanden kan uploaden en vervolgens uitvoeren (met root-rechten).

Beide kwetsbaarheden hebben de hoogst mogelijke CVSS-score van 10 meegekregen, wat aangeeft dat deze kwetsbaarheden eenvoudig kunnen worden misbruikt. Voor uitbuiting is het uiteraard wel vereist dat de aanvaller toegang heeft tot de kwetsbare API’s, wat normaal gesproken alleen mogelijk is vanuit een intern netwerk.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van Cisco Identity Services Engine (ISE) en Cisco ISE Passive Identity Connector (ISE-PIC):

  • Cisco ISE en ISE-PIC versie 3.3 en later (voor CVE-2025-20281)
  • Cisco ISE en ISE-PIC versie 3.4 (voor CVE-2025-20282)

Versies ouder dan 3.3 zijn niet kwetsbaar.

Oplossingen en tijdelijke mitigaties

Cisco heeft de kwetsbaarheden verholpen via onderstaande patches en software-updates:

  • Cisco ISE 3.3: update naar een gepatchte versie die CVE-2025-20281 verhelpt
  • Cisco ISE 3.4: update naar een gepatchte versie die zowel CVE-2025-20281 als CVE-2025-20282 verhelpt

Meer informatie

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Two critical vulnerabilities have been discovered in Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC). These vulnerabilities are located in specific API components of the software. The vulnerabilities are as follows:

  • CVE-2025-20281: This vulnerability is the result of insufficient validation of user input in a specific API. An attacker can execute arbitrary commands on the underlying operating system with root privileges via a specially crafted API request, without requiring authentication.
  • CVE-2025-20282: This vulnerability affects only version 3.4 of ISE and ISE-PIC and also allows the execution of arbitrary code without authentication. The vulnerability is located in an internal API that allows an attacker to upload and then execute arbitrary files (with root privileges).

Both vulnerabilities have been assigned the highest possible CVSS score of 10, indicating that they can be easily exploited. However, exploitation does require the attacker to have access to the vulnerable APIs, which is typically only possible from within an internal network.

Vulnerable versions

The vulnerabilities are present in the following versions of Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC):

  • Cisco ISE and ISE-PIC version 3.3 and later (for CVE-2025-20281)
  • Cisco ISE and ISE-PIC version 3.4 (for CVE-2025-20282)

Versions older than 3.3 are not vulnerable.

Solutions and workarounds

Cisco has addressed the vulnerabilities through the following patches and software updates:

  • Cisco ISE 3.3: update to a patched version that resolves CVE-2025-20281
  • Cisco ISE 3.4: update to a patched version that resolves both CVE-2025-20281 and CVE-2025-20282

More information

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

 

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Actueel / Pinewood Security Bulletin – Active exploitation of a new NetScaler vulnerability
Security Bulletin

Pinewood Security Bulletin – Active exploitation of a new NetScaler vulnerability

26 juni 2025

 

For English, see below.

 

Beschrijving

Citrix heeft bekendgemaakt dat er zich een ernstige kwetsbaarheid bevindt in NetScaler ADC (voorheen Citrix ADC) en NetScaler Gateway (voorheen Citrix Gateway) waarvan aanvallers op dit moment al actief misbruik maken. De kwetsbaarheid (CVE-2025-6543) betreft een “memory overflow” in systemen die geconfigureerd zijn als Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) of als AAA virtual server. Het betreft hier een andere kwetsbaarheid dan de kwetsbaarheid die vorige week werd verholpen. De patches die Citrix vorige week uitbracht, bieden dan ook geen bescherming tegen deze nieuwe kwetsbaarheid.

Aanvallers kunnen de kwetsbaarheid op afstand en zonder authenticatie misbruiken en hiermee een Denial-of-Service (DoS) of “unintended control flow” veroorzaken. Citrix geeft aan dat misbruik kan resulteren in volledige aantasting van de vertrouwelijkheid, integriteit en beschikbaarheid van een kwetsbaar apparaat. Wel geldt dat voor succesvol misbruik aan specifieke vereisten/condities moet zijn voldaan, maar welke dit zijn is niet bekendgemaakt.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van NetScaler ADC en NetScaler Gateway:

  • NetScaler ADC en NetScaler Gateway 14.1 vóór versie 14.1-47.46
  • NetScaler ADC en NetScaler Gateway 13.1 vóór versie 13.1-59.19
  • NetScaler ADC 13.1-FIPS en NDcPP vóór versie 13.1-37.236-FIPS en NDcPP

Let op: versies 12.1 en 13.0 van NetScaler ADC en NetScaler Gateway zijn wel kwetsbaar, maar ook End-of-Life (EOL) en ontvangen hierdoor geen verdere updates. Klanten wordt dringend geadviseerd om te upgraden naar een ondersteunde versie. NetScaler ADC 12.1-FIPS is echter niet kwetsbaar.

Oplossingen en tijdelijke mitigaties

Citrix heeft nieuwe versies van NetScaler uitgebracht om deze kwetsbaarheden te verhelpen:

  • NetScaler ADC en NetScaler Gateway 14.1-47.46 en latere versies
  • NetScaler ADC en NetScaler Gateway 13.1-59.19 en latere versies
  • NetScaler ADC 13.1-FIPS en 13.1-NDcPP 13.1-37.236 en latere versies

Let op: het installeren van de patches die Citrix op 17 juni 2025 uitbracht, biedt geen bescherming tegen deze nieuwe kwetsbaarheid.

Meer informatie

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

 

===== ENGLISH =====

Description

Citrix has announced a serious vulnerability in NetScaler ADC (formerly Citrix ADC) and NetScaler Gateway (formerly Citrix Gateway), which is currently being actively exploited by attackers. The vulnerability (CVE-2025-6543) is a memory overflow issue in systems configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or as an AAA virtual server. Note that this is a different vulnerability from the one that was addressed last week. Therefore, the patches released by Citrix last week do not protect against this new vulnerability.

 

Attackers can exploit the vulnerability remotely and without authentication, potentially causing a Denial-of-Service (DoS) or “unintended control flow.” Citrix states that exploitation could result in a complete compromise of the confidentiality, integrity, and availability of a vulnerable device. However, successful exploitation requires certain specific conditions to be met, though these have not been disclosed.

Vulnerable versions

The vulnerabilities are present in the following versions of NetScaler ADC and NetScaler Gateway:

  • NetScaler ADC and NetScaler Gateway 14.1 before version 14.1-47.46
  • NetScaler ADC and NetScaler Gateway 13.1 before version 13.1-59.19
  • NetScaler ADC 13.1-FIPS and NDcPP before version 13.1-37.236-FIPS and NDcPP

Note: Versions 12.1 and 13.0 of NetScaler ADC and NetScaler Gateway are also vulnerable but have reached End-of-Life (EOL) and therefore no longer receive updates. Customers are strongly advised to upgrade to a supported version. However, NetScaler ADC 12.1-FIPS is not vulnerable.

Solutions and workarounds

Citrix has released new versions of NetScaler to address these vulnerabilities:

  • NetScaler ADC and NetScaler Gateway 14.1-47.46 and later versions
  • NetScaler ADC and NetScaler Gateway 13.1-59.19 and later versions
  • NetScaler ADC 13.1-FIPS and 13.1-NDcPP 13.1-37.236 and later versions

Note: Installing the patches released by Citrix on June 17, 2025, does not provide protection against this new vulnerability.

More information

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Actueel / Pinewood Security Bulletin – Critical Vulnerabilities in NetScaler ADC and Gateway (CVE-2025-5349, CVE-2025-5777)
Security Bulletin

Pinewood Security Bulletin – Critical Vulnerabilities in NetScaler ADC and Gateway (CVE-2025-5349, CVE-2025-5777)

18 juni 2025
For English, see below.

Beschrijving

Er bevinden zich twee kwetsbaarheden in Citrix NetScaler ADC en NetScaler Gateway. Het gaat om de volgende kwetsbaarheden:

  • CVE-2025-5777: betreft een kwetsbaarheid die een ongeauthenticeerde aanvaller in staat stelt om toegang te verkrijgen tot mogelijk gevoelige informatie in het geheugen, mits het apparaat is geconfigureerd als Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) of als AAA virtual server. Hoewel het type kwetsbaarheid (“out-of-bounds read”) normaal gesproken niet direct kan leiden tot het uitvoeren van willekeurige code, geeft Citrix aan dat misbruik van de kwetsbaarheid kan resulteren in volledige aantasting van vertrouwelijkheid, integriteit en beschikbaarheid.
  • CVE-2025-5349: betreft een kwetsbaarheid in de NetScaler management interface die door een ongeauthenticeerde aanvaller misbruikt kan worden voor het overschrijven van het geheugen (en daarmee het uitvoeren van willekeurige code).

Citrix heeft geen informatie vrijgegeven over het feit of er op dit moment actief misbruik wordt gemaakt van deze kwetsbaarheden. De kwetsbaarheden zijn echter als kritiek geclassificeerd, wat aangeeft dat ze relatief eenvoudig te misbruiken zijn onder de juiste omstandigheden. Daarnaast hebben we in het verleden vergelijkbare kwetsbaarheden gezien die op korte termijn werden misbruikt door diverse actoren.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van NetScaler ADC en NetScaler Gateway:

  • NetScaler ADC en NetScaler Gateway 14.1 vóór 14.1-43.56
  • NetScaler ADC en NetScaler Gateway 13.1 vóór 13.1-58.32
  • NetScaler ADC 13.1-FIPS vóór 13.1-37.235-FIPS
  • NetScaler ADC 12.1-FIPS vóór 12.1-55.328-FIPS

Let op: versies 12.1 en 13.0 van NetScaler ADC en NetScaler Gateway zijn wel kwetsbaar, maar ook End-of-Life (EOL) en ontvangen hierdoor geen verdere updates. Klanten wordt dringend geadviseerd om te upgraden naar een ondersteunde versie.

Oplossingen en tijdelijke mitigaties

Citrix heeft de kwetsbaarheden verholpen via onderstaande patches en versies:

  • NetScaler ADC en NetScaler Gateway 14.1-43.56 en later
  • NetScaler ADC en NetScaler Gateway 13.1-58.32 en later
  • NetScaler ADC 13.1-FIPS/NDcPP 13.1-37.235 en later
  • NetScaler ADC 12.1-FIPS 12.1-55.328 en later

Daarnaast raadt Citrix aan om, nadat de upgrade is uitgevoerd, onderstaande commando’s uit te voeren om alle bestaande ICA- en PCoIP-sessies op NetScaler-appliances te termineren:

  • kill icaconnection -all
  • kill pcoipConnection -all

Meer informatie

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Two vulnerabilities have been reported in Citrix NetScaler ADC and NetScaler Gateway. These are two separate vulnerabilities:

  • CVE-2025-5777: is a vulnerability that allows an unauthenticated attacker to gain access to potentially sensitive information in memory, provided the appliance is configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or as an AAA virtual server. Although the vulnerability type (out-of-bounds read) does not normally lead directly to arbitrary code execution, Citrix classifies the impact as critical and states that exploitation could result in a complete compromise of confidentiality, integrity, and availability.
  • CVE-2025-5349: This is a vulnerability in the NetScaler management interface that can be exploited by an unauthenticated attacker to overwrite memory (and thereby execute arbitrary code).

Citrix has not disclosed whether these vulnerabilities are currently being actively exploited. However, they have been classified as critical, indicating that they are relatively easy to exploit under the right circumstances. Additionally, we have seen similar vulnerabilities in the past that were exploited in the short term by various actors.

Vulnerable versions

The vulnerabilities are present in the following versions of NetScaler ADC and NetScaler Gateway:

  • NetScaler ADC and NetScaler Gateway 14.1 before 14.1-43.56
  • NetScaler ADC and NetScaler Gateway 13.1 before 13.1-58.32
  • NetScaler ADC 13.1-FIPS before 13.1-37.235-FIPS
  • NetScaler ADC 12.1-FIPS before 12.1-55.328-FIPS

Note: Versions 12.1 and 13.0 of NetScaler ADC and NetScaler Gateway are vulnerable but are also End-of-Life (EOL) and therefore do not receive further updates. Customers are strongly advised to upgrade to a supported version.

Solutions and workarounds

Citrix has addressed the vulnerabilities through the following patches and versions:

  • NetScaler ADC and NetScaler Gateway 14.1-43.56 and later
  • NetScaler ADC and NetScaler Gateway 13.1-58.32 and later
  • NetScaler ADC 13.1-FIPS/NDcPP 13.1-37.235 and later
  • NetScaler ADC 12.1-FIPS 12.1-55.328 and later

In addition, Citrix recommends executing the following commands to terminate all existing ICA and PCoIP sessions on NetScaler appliances:

  • kill icaconnection -all
  • kill pcoipConnection -all

More information

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

 

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Actueel / Webinar: Maakt ook u u zorgen over wat uw medewerkers mogelijk delen met AI-tools als ChatGPT, Gemini en Meta AI?
Webinars

Webinar Maakt ook u u zorgen over wat uw medewerkers mogelijk delen met AI-tools als ChatGPT, Gemini en Meta AI?

28 mei 2025

Maakt ook u zich zorgen over wat medewerkers mogelijk delen met AI-tools zoals ChatGPT, Gemini of Meta AI? U bent niet de enige. Nu generatieve AI steeds vaker zijn intrede doet op de werkvloer, nemen ook de risico’s voor datalekken en ongecontroleerd gebruik toe.

In dit interactieve webinar ontdekt u hoe u als organisatie grip krijgt op het gebruik van AI binnen uw bedrijf. Cybersecurityspecialist Check Point presenteert de nieuwste generatieve AI-gestuurde beveiligingsfuncties binnen de Harmony Suite, inclusief:

  • Inzicht in het gebruik van niet-goedgekeurde AI-tools

  • Risico-identificatie en -prioritering op basis van AI-analyse

  • Realtime beleidsafdwinging en datalekpreventie via Harmony DLP

Daarnaast introduceren we de nieuwe Harmony Data Loss Prevention (DLP) cloudservice, die met behulp van GenAI gevoelige data detecteert – zelfs in afbeeldingen via geavanceerde OCR-technologie – en helpt om uw bedrijfsgegevens optimaal te beschermen.

Leer hoe u AI veilig en verantwoord inzet zonder concessies te doen aan productiviteit. Mis deze kans niet om uw organisatie klaar te stomen voor een AI-gedreven toekomst.

Dit webinar is bedoeld voor:

  • Security Officers
  • CISO’s/TISO’s
  • IT management
  • Directie
  • Technisch of functioneel systeembeheerders

🗓️ Datum & tijd: 1 juli 2025, 10:00 – 11:00

📍 Locatie: Online

🎤 Sprekers: Experts van Check Point

👉 Meld u vandaag nog aan! Schrijf u hieronder in:

"*" geeft vereiste velden aan

Nieuwsbrief

Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Pinewood Security Bulletin – Critical Buffer Overflow in Multiple Fortinet Products Exploited in the Wild
Actueel /
Security Bulletin

Pinewood Security Bulletin – Critical Buffer Overflow in Multiple Fortinet Products Exploited in the Wild

15 mei 2025
For English, see below.

Beschrijving

Er bevindt zich een stack-based buffer overflow in de webinterface van meerdere Fortinet-producten (CVE-2025-32756). De kwetsbaarheid is aanwezig in de HTTP-component van deze producten. Een niet-geauthenticeerde, externe aanvaller kan via speciaal geprepareerde HTTP-verzoeken willekeurige code uitvoeren op het systeem. Dit kan leiden tot volledige systeemcompromittering. De kwetsbaarheid is aanwezig in de volgende producten:

  • FortiVoice Enterprise
  • FortiMail
  • FortiNDR
  • FortiRecorder
  • FortiCamera

De kwetsbaarheid wordt actief uitgebuit in het wild, met name in FortiVoice-installaties. De aanval vereist geen authenticatie, wat de uitbuiting relatief eenvoudig maakt. De aanvallen omvatten onder andere het inschakelen van debugging, het verzamelen van inloggegevens en het wijzigen van systeeminstellingen.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van Fortinet-producten:

  • FortiVoice: 6.4.0 t/m 6.4.10, 7.0.0 t/m 7.0.6, 7.2.0
  • FortiMail: 7.0.0 t/m 7.0.8, 7.2.0 t/m 7.2.7, 7.4.0 t/m 7.4.4, 7.6.0 t/m 7.6.2
  • FortiNDR: 1.1 t/m 1.5 (alle versies), 7.0.0 t/m 7.0.6, 7.1 (alle versies), 7.2.0 t/m 7.2.4, 7.4.0 t/m 7.4.7, 7.6.0
  • FortiRecorder: 6.4.0 t/m 6.4.5, 7.0.0 t/m 7.0.5, 7.2.0 t/m 7.2.3
  • FortiCamera: 1.1, 2.0 (alle versies), 2.1.0 t/m 2.1.3

 

Oplossingen en tijdelijke mitigaties

Fortinet heeft de kwetsbaarheden verholpen via onderstaande patches:

  • FortiVoice: 6.4.11, 7.0.7, 7.2.1
  • FortiMail: 7.0.9, 7.2.8, 7.4.5, 7.6.3
  • FortiNDR: 7.0.7, 7.2.5, 7.4.8, 7.6.1
  • FortiRecorder: 6.4.6, 7.0.6, 7.2.4
  • FortiCamera: 2.1.4

Fortinet adviseert organisaties die de patch nog niet kunnen installeren om de toegang tot de beheer webinterface van de getroffen tijdelijk uit te schakelen.

Detectie van mogelijk misbruik

Via een aantal controles is het mogelijk te achterhalen of misbruik van deze kwetsbaarheid heeft plaatsgevonden.

Verkeer vanaf verdachte IP-adressen

Aanvallen zijn gezien vanaf onderstaande IP-adressen. Succesvolle verbindingen vanaf deze IP-adressen richting Fortinet-webinterfaces zijn dan ook verdacht.

  • 198.105.127[.]124 (AS149440 Evoxt Enterprise, GB)
  • 43.228.217[.]173 (AS133905 Layerstack Limited, TW)
  • 43.228.217[.]82 (AS133905 Layerstack Limited, TW)
  • 156.236.76[.]90 (AS149440 Evoxt Enterprise, US)
  • 218.187.69[.]244 (AS7482 Asia Pacific On-Line Service Inc., TW)
  • 218.187.69[.]59 (AS7482 Asia Pacific On-Line Service Inc., TW)

Configuratiewijziging

De debuggingoptie is standaard uitgeschakeld op systemen, maar in de bekende aanvallen schakelen de aanvallers deze optie juist in. Als in de output van het commando ‘diag debug application fcgi’ de regel ‘general to-file ENABLED‘ voorkomt, betekent dit dat debugging is ingeschakeld. Indien de organisatie dit in het verleden niet zelf heeft ingeschakeld, duidt dit op mogelijk misbruik van het systeem.

Nieuwe en gewijzigde bestanden

Bij de bekende aanvallen plaatsen de aanvallers nieuwe bestanden op het systeem en voeren ze wijzigingen door in bestaande bestanden. Het gaat specifiek om onderstaande bestanden:

  • /bin/wpad_ac_helper: malware met MD5-hash 4410352e110f82eabc0bf160bec41d21
  • /bin/busybox: malafide indien de MD5-hash van het bestand gelijk is aan ebce43017d2cb316ea45e08374de7315 of 489821c38f429a21e1ea821f8460e590
  • /data/etc/crontab: nieuwe regel toegevoegd om gevoelige informatie te verkrijgen vanuit fcgi.debug
  • /var/spool/cron/crontabs/root: nieuwe regel toegevoegd om een backup te maken van fcgi.debug
  • /var/spool/.sync: nieuw bestand waarin credentials worden verzameld
  • /etc/pam.d/sshd: nieuwe regel(s) toegevoegd om gebruik te maken van het malafide bestand libfmlogin.so
  • /lib/libfmlogin.so: nieuw bestand (met MD5-hash 364929c45703a84347064e2d5de45bcd), betreft een malafide bibliotheek waarmee gebruikersnamen en wachtwoorden vanuit SSH-logins worden vastgelegd
  • /tmp/.sshdpm: nieuw bestand met daarin de verzamelde SSH-credentials
  • /bin/fmtest: nieuw bestand (met MD5-hash 2c8834a52faee8d87cff7cd09c4fb946) waarmee het netwerk kan worden gescand
  • /etc/httpd.conf: nieuwe regel toegevoegd om de socks5 module te activeren

Meer informatie

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft is er geen actie nodig. Pinewood neemt de benodigde maatregelen om uw omgeving te beschermen tegen deze kwetsbaarheden.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

 

===== ENGLISH =====

Description

A stack-based buffer overflow exists in the web interface of multiple Fortinet products (CVE-2025-32756). The vulnerability is present in the HTTP component of these products. An unauthenticated, remote attacker can execute arbitrary code on the system via specially crafted HTTP requests. This can lead to full system compromise. The vulnerability affects the following products:

  • FortiVoice Enterprise
  • FortiMail
  • FortiNDR
  • FortiRecorder
  • FortiCamera

The vulnerability is actively being exploited in the wild, particularly in FortiVoice installations. The attack does not require authentication, making exploitation relatively easy. The attacks include enabling debugging, collecting login credentials, and modifying system settings.

Vulnerable versions

The vulnerabilities are present in the following versions of Fortinet products:

  • FortiVoice: 6.4.0 through 6.4.10, 7.0.0 through 7.0.6, 7.2.0
  • FortiMail: 7.0.0 through 7.0.8, 7.2.0 through 7.2.7, 7.4.0 through 7.4.4, 7.6.0 through 7.6.2
  • FortiNDR: 1.1 through 1.5 (all versions), 7.0.0 through 7.0.6, 7.1 (all versions), 7.2.0 through 7.2.4, 7.4.0 through 7.4.7, 7.6.0
  • FortiRecorder: 6.4.0 through 6.4.5, 7.0.0 through 7.0.5, 7.2.0 through 7.2.3
  • FortiCamera: 1.1, 2.0 (all versions), 2.1.0 through 2.1.3

Solutions and workarounds

Fortinet has addressed the vulnerabilities through the following patches:

  • FortiVoice: 6.4.11, 7.0.7, 7.2.1
  • FortiMail: 7.0.9, 7.2.8, 7.4.5, 7.6.3
  • FortiNDR: 7.0.7, 7.2.5, 7.4.8, 7.6.1
  • FortiRecorder: 6.4.6, 7.0.6, 7.2.4
  • FortiCamera: 2.1.4

Fortinet advises organizations that cannot yet install the patch to temporarily disable the HTTP/HTTPS administrative interface.

Detection of possible misuse

Several checks can help determine whether this vulnerability has been exploited.

Traffic from Suspicious IP Addresses

Attacks have been observed from the following IP addresses. Successful connections from these IPs to Fortinet web interfaces are considered suspicious:

  • 198.105.127[.]124 (AS149440 Evoxt Enterprise, GB)
  • 43.228.217[.]173 (AS133905 Layerstack Limited, TW)
  • 43.228.217[.]82 (AS133905 Layerstack Limited, TW)
  • 156.236.76[.]90 (AS149440 Evoxt Enterprise, US)
  • 218.187.69[.]244 (AS7482 Asia Pacific On-Line Service Inc., TW)
  • 218.187.69[.]59 (AS7482 Asia Pacific On-Line Service Inc., TW)

Configuration Changes

The debugging option is disabled by default, but in known attacks, attackers enable this option. If the output of the command ‘diag debug application fcgi’ contains the line ‘general to-file ENABLED’, it indicates that debugging is enabled. If the organization did not enable this in the past, it may indicate system compromise.

New and Modified Files

In known attacks, attackers place new files on the system and modify existing ones. Specifically:

  • /bin/wpad_ac_helper: malware with MD5 hash 4410352e110f82eabc0bf160bec41d21
  • /bin/busybox: malicious if MD5 hash is ebce43017d2cb316ea45e08374de7315 or 489821c38f429a21e1ea821f8460e590
  • /data/etc/crontab: new line added to extract sensitive info from fcgi.debug
  • /var/spool/cron/crontabs/root: new line added to back up fcgi.debug
  • /var/spool/.sync: new file collecting credentials
  • /etc/pam.d/sshd: new line(s) added to use malicious file libfmlogin.so
  • /lib/libfmlogin.so: new file (MD5 hash 364929c45703a84347064e2d5de45bcd), a malicious library capturing SSH login credentials
  • /tmp/.sshdpm: new file containing collected SSH credentials
  • /bin/fmtest: new file (MD5 hash 2c8834a52faee8d87cff7cd09c4fb946) used for network scanning
  • /etc/httpd.conf: new line added to activate the socks5 module

More information

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, no action is required. Pinewood takes the necessary measures to protect your environment from these vulnerabilities.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Actueel / Pinewood Security Bulletin – Ivanti EPMM Flaws Exploited in Remote Code Execution Attacks
Security Bulletin

Pinewood Security Bulletin – Ivanti EPMM Flaws Exploited in Remote Code Execution Attacks

14 mei 2025
For English, see below.

Beschrijving

Er bevinden zich twee kwetsbaarheden in Ivanti Endpoint Manager Mobile (EPMM), een oplossing voor mobiel apparaatbeheer (voorheen MobileIron Core). Het betreft de volgende kwetsbaarheden:

  • CVE-2025-4427: door een kwetsbaarheid in de API-component van EPMM kan een ongeauthenticeerde, externe aanvaller toegang krijgen tot API-endpoints die normaal alleen beschikbaar zijn voor geauthenticeerde gebruikers.
  • CVE-2025-4428: een geauthenticeerde aanvaller kan via deze kwetsbaarheid willekeurige code uitvoeren op een kwetsbaar systeem.

Door deze kwetsbaarheden te combineren, kan een aanvaller zonder enige vorm van authenticatie willekeurige code uitvoeren op een kwetsbare EPMM-installatie. De kwetsbaarheden zijn gerelateerd aan open-source bibliotheken waarvan EPMM gebruikmaakt.

De kwetsbaarheden worden momenteel actief uitgebuit in het wild, zij het in beperkte mate. Ivanti heeft bevestigd dat er gerichte aanvallen plaatsvinden waarbij deze kwetsbaarheden worden gecombineerd. Er is geen publiek beschikbare proof-of-concept op het moment van schrijven. Organisaties die API-toegang beperken via Portal ACL’s of een externe Web Application Firewall (WAF) lopen minder risico.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van Ivanti Endpoint Manager Mobile (EPMM):

  • EPMM versie 11.12.0.4 en eerder
  • EPMM versie 12.3.0.1 en eerder
  • EPMM versie 12.4.0.1 en eerder
  • EPMM versie 12.5.0.0 en eerder

Oplossingen en tijdelijke mitigaties

Ivanti heeft de kwetsbaarheden verholpen via onderstaande patches en nieuwe versies:

  • EPMM versie 11.12.0.5
  • EPMM versie 12.3.0.2
  • EPMM versie 12.4.0.2
  • EPMM versie 12.5.0.1

Ivanti adviseert organisaties die de patch nog niet kunnen installeren om de toegang tot de API te beperken via Portal ACL’s of een externe Web Application Firewall (WAF). Dit verkleint de kans op succesvolle uitbuiting van de kwetsbaarheden.

Meer informatie

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Two vulnerabilities have been identified in Ivanti Endpoint Manager Mobile (EPMM), a mobile device management solution (formerly MobileIron Core). These vulnerabilities are:

  • CVE-2025-4427: due to a flaw in the API component of EPMM, an unauthenticated, remote attacker can gain access to API endpoints that are normally only available to authenticated users.
  • CVE-2025-4428: an authenticated attacker can exploit this vulnerability to execute arbitrary code on a vulnerable system.

By chaining these vulnerabilities, an attacker can execute arbitrary code on a vulnerable EPMM installation without any form of authentication. The vulnerabilities are related to open-source libraries used by EPMM.

The vulnerabilities are currently being actively exploited in the wild, although on a limited scale. Ivanti has confirmed that targeted attacks are taking place in which these vulnerabilities are combined. At the time of writing, no public proof-of-concept is available. Organizations that restrict API access via Portal ACLs or an external Web Application Firewall (WAF) are at reduced risk.

Vulnerable versions

The vulnerabilities are present in the following versions of Ivanti Endpoint Manager Mobile (EPMM):

  • EPMM version 11.12.0.4 and earlier
  • EPMM version 12.3.0.1 and earlier
  • EPMM version 12.4.0.1 and earlier
  • EPMM version 12.5.0.0 and earlier

Solutions and workarounds

Ivanti has addressed the vulnerabilities through the following patches and new versions:

  • EPMM version 11.12.0.5
  • EPMM version 12.3.0.2
  • EPMM version 12.4.0.2
  • EPMM version 12.5.0.1

Ivanti advises organizations that are unable to install the patch to restrict access to the API via Portal ACLs or an external Web Application Firewall (WAF). This reduces the likelihood of successful exploitation of the vulnerabilities.

More information

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

 

Actueel / Training NIS2 Directive Foundation (Incl. PECB-certificering + examen)
Trainingen

Training NIS2 Directive Foundation (Incl. PECB-certificering + examen)

13 mei 2025

De NIS 2-richtlijn Foundation-training schetst de essentiële inzichten die nodig zijn om de vereisten van de NIS 2-richtlijn met betrekking tot cyberbeveiligingsmaatregelen te begrijpen. Het biedt de kernconcepten die nodig zijn om organisaties te ondersteunen in de eerste fasen van planning, implementatie en beheer van cyberbeveiligingsprogramma’s.

De NIS 2-richtlijn Foundation training biedt een introductie in de NIS 2-richtlijn met als doel organisaties te helpen hun cyberbeveiliging te verbeteren met het oog op de steeds groter wordende cyberdreigingen. Deze wetgeving speelt een centrale rol bij het versterken van de cyberbeveiliging binnen kritieke infrastructuursectoren zoals energie, transport, gezondheidszorg en digitale diensten. De PECB NIS 2 Directive Foundation training behandelt de fundamentele concepten met betrekking tot de vereisten van de richtlijn. De cursus biedt informatie die u helpt de best practices voor het beschermen van kritieke infrastructuur tegen cyberdreigingen te begrijpen.

Voor wie?

  • Cyberbeveiligingsprofessionals die een fundamenteel inzicht willen krijgen in de vereisten van de NIS 2-richtlijn en praktische strategieën willen leren om robuuste cyberbeveiligingsmaatregelen te implementeren
  • IT-managers en -professionals die fundamentele inzichten willen verwerven in het implementeren van veilige systemen en het verbeteren van de veerkracht van kritieke systemen
  • Overheidsfunctionarissen en regelgevende instanties die verantwoordelijk zijn voor de handhaving van de NIS 2-richtlijn

Tijdens deze 1-daagse training behandelen we de volgende domeinen:

  • Domein 1: Fundamentele concepten en definities van de NIS 2-richtijn
  • Domein 2: NIS 2 Directive requirements

Datum: Op aanvraag

Waar: Delftechpark 35, Delft

Prijs: € 1250-, per deelnemer (excl. BTW). De inschrijving is definitief na ontvangst van de betaling.

Aanmelden:

"*" geeft vereiste velden aan

Mijn inschrijving is*
Nieuwsbrief

Inclusief:

  • materiaal
  • lunch
  • examen
  • examenvoucher

Extra informatie

Gebruik van eigen laptop

Klik hier om de brochure van PECB te downloaden

 

 

Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

Eric van Loon

CISO & Manager Security Consultancy at Pinewood | MSc | BEng | CISA | CISM | CISSP | CCSP | CIPP/E

eric.vanloon@pinewood.nl

Actueel / Training NIS2 Directive Lead Manager (Incl. PECB-certificering + examen)
Trainingen

Training NIS2 Directive Lead Manager (Incl. PECB-certificering + examen)

13 mei 2025

De training Certified NIS 2 Directive Lead Implementer stelt deelnemers in staat de benodigde competenties te verwerven om organisaties te ondersteunen bij het effectief plannen, implementeren, beheren, monitoren en onderhouden van een cyberbeveiligingsprogramma dat voldoet aan de eisen van de NIS 2-richtlijn.

Door deel te nemen aan de training Lead Implementer van de NIS 2-richtlijn, krijgt u diepgaande kennis van de vereisten van de richtlijn, implementatiestrategieën en best practices die kritieke infrastructuur beschermen tegen cyberdreigingen. Door middel van interactieve sessies en praktische oefeningen leert u hoe u de cyberbeveiligingsrisico’s van uw organisatie beoordeelt, robuuste incidentbestrijdingsplannen ontwikkelt en effectieve beveiligingsmaatregelen implementeert om te voldoen aan de vereisten van de NIS 2-richtlijn. Bovendien krijgt u inzicht in industriestandaarden en best practices waarmee u op de hoogte kunt blijven van het veranderende bedreigingslandschap en geavanceerde cyberbeveiligingsoplossingen kunt implementeren. Na het succesvol afronden van deze training ben je een vertrouwde cyberbeveiligingsprofessional die over de expertise beschikt om door het complexe landschap van kritieke cyberbeveiligingsinfrastructuur te navigeren en bij te dragen aan de veerkracht van je organisatie en de samenleving als geheel.

Voor wie?

  • Cyberbeveiligingsprofessionals die een grondig begrip willen krijgen van de vereisten van de NIS 2-richtlijn en praktische strategieën willen leren om robuuste cyberbeveiligingsmaatregelen te implementeren
  • IT-managers en -professionals die inzicht willen krijgen in de implementatie van veilige systemen en de veerkracht van kritieke systemen willen verbeteren
  • Overheidsfunctionarissen en regelgevende instanties die verantwoordelijk zijn voor de handhaving van de NIS 2-richtlijn

Tijdens deze 4-daagse training behandelen we de volgende domeinen:

  • Domein 1: Fundamentele concepten en definities van de NIS 2-richtijn
  • Domein 2: Planning van de implementatie van de vereisten van de NIS 2-richtlijn
  • Domein 3: Cyberbeveiligingsrollen en-verantwoordelijkheden en risiobeheer
  • Domein 4: Cyberbeveiligingscontroles, incidentbeheer en crisisbeheer
  • Domein 5: Communicatie en bewustzijn
  • Domein 6: Testen en monitoren van een cyberbeveiligingsprogramma

Datum: Op aanvraag

Waar: Delftechpark 35, Delft

Prijs: € 2495-, per deelnemer (excl. BTW). De inschrijving is definitief na ontvangst van de betaling.

Aanmelden:

"*" geeft vereiste velden aan

Mijn inschrijving is*
Nieuwsbrief

Inclusief:

  • materiaal
  • lunch
  • examen
  • examenvoucher

Extra informatie

Gebruik van eigen laptop

Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

Eric van Loon

CISO & Manager Security Consultancy at Pinewood | MSc | BEng | CISA | CISM | CISSP | CCSP | CIPP/E

eric.vanloon@pinewood.nl

Actueel / Pinewood Security Bulletin –  Sharp Increase in AitM Phishing Attacks on Microsoft Accounts
Security Bulletin

Pinewood Security Bulletin –  Sharp Increase in AitM Phishing Attacks on Microsoft Accounts

3 april 2025
For English, see below.

Beschrijving

Het Pinewood SOC heeft de laatste dagen een sterke toename waargenomen in phishing-aanvallen die zich richt op inloggegevens voor Microsoft 365. De aanvallen volgen hierbij steeds eenzelfde patroon:

  1. Het slachtoffer ontvangt een e-mail van een (meestal Nederlandse) derde partij wiens account eerder is gecompromitteerd. Deze e-mail bevat veelal de naam van de organisatie en bevat een link die verwijst naar het pad /drive op een steeds wisselend domein (bijvoorbeeld hxxps[:]//<phishdomain>/drive).
  2. Na het klikken op de link komt de gebruiker uit bij een CloudFlare CAPTCHA die uiteindelijk leidt naar een neppe OneDrive-pagina waarop zogenaamd een “Shared file” wordt aangeboden. Zie het screenshot Neppe Onedrive-pagina.png in de bijlagen.
  3. Na het invullen van inloggegevens stuurt de aanvaller het slachtoffer door naar een Actor-in-the-Middle (AitM) phishing-website waarmee de gebruiker uitkomt op de echte Microsoft 365 inlogpagina van de organisatie. De verbinding verloopt echter via de server van de aanvaller, waardoor de sessietokens onderschept worden. Deze phishing-website draait in veel gevallen op een .icu domein met daarin de tekst “securedoc”, zoals bijvoorbeeld hxxps[:]//login[.]securedoc5553[.]icu/. Zie ook het screenshot Phishing-pagina.png in de bijlage.
  4. Na het inloggen via de AitM-website heeft de aanvaller nu de beschikking over de inloggegevens van het slachtoffer, inclusief eventuele tokens die gebruikt worden voor MFA-authenticatie. De aanvaller kan zich hierna bij Microsoft authenticeren op het account van het slachtoffer, zelfs als dit account beveiligd is middels MFA.

Voorkomen van misbruik

Om de kans op een succesvolle aanval te verkleinen is het voor een strakke inrichting van o.a. Conditional Access van groot belang. Denk hierbij aan het volgende:

  • Verklein de standaard “sign-in frequency” van 90 dagen naar een kortere periode.
  • Vereis dat gebruikers zich alleen kunnen aanmelden vanuit managed en compliant devices.
  • Maak gebruik van de “location”-conditie waarmee het mogelijk is om eisen op te leggen m.b.t. de locatie van waaruit de gebruiker inlogt.
  • Maak gebruik van Entra ID Protection Risk policies

Daarnaast kan het voor deze specifieke campagne helpen om eindgebruikers op de hoogte te stellen van hoe ze een aanval kunnen herkennen. Maak hiervoor gebruik van de kenmerken zoals beschreven aan het begin van dit bulletin.

Zie voor meer details over hoe je misbruik kunt voorkomen ook onze eerdere bulletin “Account compromise activity“ (september 2023).

Detectie van mogelijk misbruik

Er bestaan diverse manieren waarop de beschreven aanval is te herkennen. Wees in ieder geval alert op waarschuwingen die Microsoft Defender uitgeeft. De campagne die we nu zien, leidt in veel gevallen tot alarmen zoals:

  • “Risky sign-in after clicking a possible AiTM phishing URL”;
  • “A potentially malicious URL click was detected”; en
  • “Unfamiliar sign-in properties”.

Als u bent aangesloten op het Pinewood SOC wordt op deze meldingen uiteraard actief gemonitord. Daarnaast monitoren we ook op de indicators of compromise van deze phishing-aanvallen vanuit onze verschillende CTI-bronnen.

Het Pinewood SOC heeft verder aanvullende detectiemechanismen waarmee dit type phishing-aanvallen kunnen worden gedetecteerd in een vroeg stadium. Klanten van het Pinewood SOC raden we daarom aan om aan te sluiten op de AitM Monitor indien dit nog niet gebeurd is.

Mitigatieadvies voor Gecompromitteerde Accounts

Op het moment dat een account in handen van een aanvaller valt, is het allereerst van groot belang om dit zo snel mogelijk vast te stellen. De schade is het kleinst als de aanvaller al snel weer de toegang tot een account kwijtraakt. Na het vaststellen van misbruik van een account raden wij aan om standaard een aantal stappen uit te voeren:

  • Schakel het account in eerste instantie uit (disable account) zodat de aanvaller geen gebruik meer kan maken van het account. Verklaar tevens direct alle refresh tokens die aan het account hangen ongeldig zodat de aanvaller ook daar geen gebruik meer van kan maken.
  • Ga ervanuit dat de aanvaller volledige controle heeft over de authenticatie-informatie van de gebruiker. Reset daarom het wachtwoord én controleer de verificatiemethoden (MFA) van de gebruiker. Verwijder alle verificatiemethoden waarover twijfel bestaat.
  • Het is bekend dat aanvallers na een succesvolle inbraak op een account ook regelmatig mail forwarding rules aanmaken zodat zij toegang blijven houden tot de e-mails van een gebruiker, zelfs als zij de controle over het account zelf zijn kwijtgeraakt. Controleer daarom altijd alle mailbox rules en mailbox forwarding rules die op het account zijn geconfigureerd.
  • In sommige gevallen slaagt een aanvaller er zelfs in om een eigen apparaat (device) te registreren op naam van de gebruiker welke vervolgens vertrouwd wordt. Controleer daarom ook of de lijst aan “enrolled devices” valide is.
  • Controleer tot slot alle activiteiten die vanuit het account zijn uitgevoerd vanaf het moment dat dit account in handen van de aanvaller viel. Maak hiervoor gebruik van de uitgebreide audit-functionaliteiten die Microsoft biedt.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

The Pinewood SOC has observed a significant increase in phishing activity targeting Microsoft 365 credentials in recent days. The attacks follow a consistent pattern:

  1. The victim receives an email from a (usually Dutch) third party whose account has previously been compromised. This email usually contains the name of the organization and includes a link pointing to the path /drive on an ever-changing domain (e.g., hxxps[:]//<phishdomain>/drive).
  2. After clicking on the link, the user ends up with a CloudFlare CAPTCHA that eventually leads to a fake OneDrive page supposedly offering a “Shared file.” See the screenshot Neppe Onedrive-pagina.png in the attachments.
  3. After entering login credentials, the attacker redirects the victim to an Actor-in-the-Middle (AitM) phishing website that takes the user to the organization’s real Microsoft 365 login page. However, the connection goes through the attacker’s server, intercepting the session tokens. In many cases, this phishing website runs on an .icu domain containing the text “securedoc,” such as hxxps[:]//login[.]securedoc5553[.]icu/. See also the screenshot Phishing-pagina.png attached.
  4. After logging in via the AitM website, the attacker now has access to the victim’s login credentials, including any tokens used for MFA authentication. The attacker can then authenticate to Microsoft on the victim’s account, even if this account is secured using MFA.

Preventing Abuse

To reduce the likelihood of a successful attack, it is crucial to have a well-configured Conditional Access setup. Consider the following:

  • Reduce the default “sign-in frequency” from 90 days to a shorter period.
  • Require users to sign in only from managed and compliant devices.
  • Use the “location” condition to impose requirements regarding the location from which the user logs in.
  • Utilize Entra ID Protection Risk policies.

Additionally, for this specific campaign, it may help to inform end-users on how to recognize an attack. Use the characteristics described at the beginning of this bulletin.

For more details on how to prevent abuse, refer to our previous bulletin “Account compromise activity” (September 2023).

Detecting Possible Abuse

There are several ways in which the described attack can be recognized. In any case, be alert to alerts issued by Microsoft Defender. The campaign we’re observing often leads to alerts such as:

  • “Risky sign-in after clicking a possible AiTM phishing URL”;
  • “A potentially malicious URL click was detected”; and
  • “Unfamiliar sign-in properties.”

Of course, if you are a SOC customer, these notifications are actively monitored. In addition, we also monitor for indicators of compromise of these phishing attacks based on our various CTI sources.

The Pinewood SOC has additional controls to detect AitM phishing attacks at an early stage. We therefore recommend that Pinewood SOC customers connect to the AitM Monitor if they have not done so already.

Advice for Mitigation of Account Compromise

If an account falls into the hands of an attacker, it is crucial to identify this as quickly as possible. The damage is minimized if the attacker loses access to the account soon after. Upon detecting account abuse, we recommend performing the following standard steps:

  • Initially disable the account so the attacker can no longer use it. Also, immediately invalidate all refresh tokens associated with the account to prevent the attacker from using them.
  • Assume the attacker has full control over the user’s authentication information. Therefore, reset the user’s password and check the configured verification methods (MFA). Remove any MFA methods that look suspicious.
  • It is known that attackers often create mail forwarding rules after successfully compromising an account to maintain access to the user’s emails, even if they lose control of the account itself. Always check all mailbox rules and mailbox forwarding rules configured on the account.
  • In some cases, an attacker may even register their own device in the user’s name, which is then trusted. Always check if the list of “enrolled devices” is valid.
  • Finally, review all activities performed from the account since it fell into the attacker’s hands. Use the extensive audit functionalities provided by Microsoft for this purpose.

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.

Contact
  • Delftechpark 35,
    2628 XJ Delft
  • 015 251 36 36
  • info@pinewood.nl
Social

© 2026 Pinewood