ThreatsDay brengt elke week een overzicht van opvallende beveiligingsverhalen. In deze editie springen vooral twee dingen eruit: aanvallers die met ogenschijnlijk kleine instellingen grote schade kunnen aanrichten, en incidenten waarin gestolen toegang (of zelfs een schijnbaar ‘legitieme’ sessie) de kern vormt. Eén onderwerp is daarbij extra zorgwekkend: DNS wallet theft waarbij malware via DNS omzeilt wat gebruikers normaal als veilige infrastructuur zien.
Daarnaast komen er meerdere softwarekwetsbaarheden voorbij die kunnen leiden tot remote code execution (RCE), plus nieuwe campagnes die draaien rond remote access trojans, datadiefstal en misbruik van vertrouwde verbindingen. Hieronder lees je de belangrijkste punten, vertaald naar praktische aandachtspunten.
DNS wallet theft via DNS TXT-records
Infoblox onderzocht een cryptowallet-drainerkit die zichzelf “Noir” noemt. Het opvallende: de werking leunt op DNS TXT-records om te bepalen welke backend-pool actief is. De kit wordt daarbij geleverd met een loader die TXT-informatie opvraagt via publieke DNS-over-HTTPS (DoH) diensten.
De drainer hoeft geen seed phrase, wachtwoord of private key te gebruiken. In plaats daarvan stemt de malware de volgende stappen af op wat hij na de eerste fase ziet en gebruikt hij leesrechten om een plan voor de specifieke wallet te maken. Daarna worden “spending permissions” ingezet op een manier die minder verdacht kan lijken dan een directe overschrijving, waarbij de diefstal plaatsvindt via infrastructuur die door de aanvaller wordt beheerd.
Infoblox signaleert bovendien dat de malware vermoedelijk met hulp van AI is gemaakt en onderhouden. Dat sluit aan bij het bredere patroon dat we zien: aanvallers automatiseren onderdelen, waardoor het tempo en de schaal van nieuwe varianten toeneemt.
Wat kun je hiervan leren? Als je omgevingen gebruikt waar wallet-achtige functies of blockchain-interfaces aan DNS-gedrag gekoppeld zijn, kijk dan niet alleen naar “klassieke” verdachte domeinen. Besteed ook aandacht aan ongebruikelijke DNS-querypatronen, afwijkingen in externe resolvers, en hostnames die wél binnen je netwerk vallen maar onverwacht gedrag tonen.
Adobe AEM: een keten voor unauthenticated RCE
Een andere grote rode draad is remote code execution zonder dat authenticatie nodig is. In de berichten rondom Adobe Experience Manager (AEM) gaat het om een exploitketen voor de cloud-variant. Die keten combineert meerdere fouten: unauthenticated DAM bulk import, stored cross-site scripting (XSS), unsafe XML parsing en groovy execution via een specifieke route (/bin/asynccommand).
De kwetsbaarheden zouden alleen de cloud versie treffen, en zijn volgens de meldingen inmiddels gepatcht. Dat betekent: als je AEM gebruikt, is dit precies het soort incident waar je niet te lang op moet wachten. Zelfs wanneer de fix beschikbaar is, kan de impact al zijn ontstaan als misbruik eerder plaatsvond.
Vergelijkbaar met andere RCE-incidenten is de kern hier: meerdere “kleine” componenten samen maken een groter aanvalspad. Dat is ook waarom het verstandig is om niet alleen de patchstatus te checken, maar ook indicaties van eerdere activiteit te onderzoeken.
Actieve ransomware-exploit via VPN-toegang
Een van de meest praktische waarschuwingen draait om PAN-OS GlobalProtect en Prisma Access. Het gaat om een authenticatie-bypass kwetsbaarheid (CVE-2026-0257) die al in mei 2026 is bekendgemaakt, maar volgens ReliaQuest nog steeds actief wordt uitgebuit door ransomwaregroepen Qilin en Settra.
ReliaQuest benadrukt dat de toegang via de eigen VPN-route kan binnenkomen. Daardoor kan kwaadaardig verkeer lijken op normaal remote work-verkeer. Het echte risico zit in de timing: een aanval kan onopgemerkt blijven tot er credential theft, laterale beweging, datadiefstal of het inzetten van ransomware plaatsvindt.
De aanbevolen aanpak na patchen is niet “alleen upgraden”. Er wordt ook geadviseerd om waar nodig authentication override cookies uit te schakelen, alle actieve GlobalProtect-sessies te beëindigen na het updaten, en verdachte connecties te onderzoeken. Daarbij wordt expliciet genoemd dat sessies met ongebruikelijke hostnames—zoals “kali”—een rode vlag kunnen zijn. Bovendien kan patchen niet automatisch toegang wegnemen die al vóór de remediatie is opgebouwd.
Als je dit vertaalt naar een checklist voor je eigen omgeving: neem naast technische wijzigingen ook sessie- en loganalyse mee. Let op wat er gebeurde rond de tijdvensters waarin de VPN-accounts en sessies actief waren.
Voor een bredere kijk op hoe je met “alerts” tot actie komt, kan je ook lezen: contextuele cybersecurity: van losse alerts naar actie.
CikaBika Bot: Discord als command & control
Verder zien we een remote access trojan die gebruikmaakt van Discord als command & control. De Rust-gebaseerde malware (CikaBika Bot) wordt geleverd via een documentthema-lure met een kwaadaardige LNK en een PDF met embedded payload.
De keten bevat meerdere stappen, waaronder een Nim loader, UAC bypass en DLL search-order hijacking. Vervolgens wordt Discord ingezet voor C2, reconnaissance, remote execution en exfiltratie. In waargenomen gedrag ondersteunt de malware ook screenshot capture en file transfers, waarbij ngrok wordt genoemd als onderdeel van de operatie.
Praktische implicatie: C2 via populaire platforms maakt detectie complexer. Je organisatie moet daarom niet alleen kijken naar “bekende malware-domeinen”, maar ook naar anomalieën in communicatiepatronen, sessielogica en verzoekgedrag vanuit endpoints.
KGB RAT: diefstal én intimidatie
Group-IB beschrijft een Windows RAT die op underground fora werd aangeboden als “volledig undetectable”. KGB RAT combineert credential theft met ransomware en kent daarnaast een opvallend pakket aan psychologische harassments, zoals jump scares en gedwongen blue screens of death.
De kern van het verhaal: dit is niet alleen een tool om stil gegevens te stelen. Het is ontworpen om het slachtoffer te ontregelen, terwijl controle over de machine blijft bestaan. Bovendien wordt genoemd dat het om een builder gaat waarin meerdere functies in één pakket samenkomen.
Wordfence: self-healing WordPress backdoor
Wordfence beschrijft een ongebruikelijke WordPress backdoor die wordt geïnstalleerd als must-use plugin. Het mechanisme is gericht op overleven na verwijdering via meerdere self-healing mechanismen. Daarnaast wordt EtherHiding genoemd: een techniek die de locatie van command-and-control servers verbergt via een smart contract op de Ethereum-blockchain.
De malware kan administrator access opbouwen, een rogue administrator-account verbergen, administratorwachtwoorden oogsten, remote site wijzigingen doorvoeren en data exfiltreren. Ook kan hij zich verspreiden naar andere WordPress-installaties op basis van bestandssysteemtoegang.
Dit type incident vraagt om snelle, grondige containment: niet alleen plugin verwijderen, maar ook controleren welke accounts actief zijn, welke wijzigingen er zijn doorgevoerd en of er extra persistence is ontstaan.
Extra signalen: surveillance-platforms en credential-diefstal in de breedte
Er is ook aandacht voor bredere diefstal- en spionagecapabilities. Zo rapporteert Netskope over XWorm, dat is geëvolueerd van infostealer naar een surveillanceplatform. Het uitbreiden van plugins (van 35 naar 46) wijst op doorlopende ontwikkeling, met functies zoals GPS-opvraging, live audio en controle over geauthenticeerde browsersessies zonder dat operators direct credentials hoeven aan te raken. Ook wordt MFA-bypass genoemd in dit kader.
Meta meldt daarnaast dat het onbekende aanvallers waarnam via gestolen GitHub-credentials in een aantal repositories. De toegang is inmiddels afgesloten, maar het incident laat wederom zien hoe belangrijk goede credential-hygiëne en snel uitschakelen van verdachte accounts is.
Waarom deze verhalen telkens weer op dezelfde zwaktes wijzen
Wat deze week bij elkaar komt, is vrij consistent. Aanvallers hoeven niet altijd een “slimme” zero-day te hebben. Soms is één fout genoeg—of één instelling die lang als veilig is gezien. Daarbij zie je steeds vaker combinaties: een kwetsbaarheid, een misbruik van toegang, en daarna stappen richting diefstal of verstoring.
Daarom is de logische aanpak niet alleen “patch en klaar”. Onderzoek wie toegang had, wat er is aangeraakt, en of er aanwijzingen zijn dat aanvallers terug kunnen komen. Vooral in omgevingen waar trusted routes bestaan (VPN, integraties, accounts met brede rechten) is die extra verificatie cruciaal.
Concrete vervolgstappen voor jouw organisatie
- Patch snel voor systemen die in de meldingen terugkomen, zoals AEM cloud en VPN gateways, en verifieer daarna dat de update daadwerkelijk is uitgerold.
- Beperk en herstart sessies waar misbruik via remote toegang mogelijk is geweest—beëindig actieve sessies volgens het advies waar van toepassing.
- Controleer DNS- en connectiepatronen bij wallet- of infrastructuurcomponenten: afwijkende TXT-queries en resolutie via DoH kunnen deel uitmaken van een aanval.
- Zoek naar persistence bij webplatformen (zoals WordPress), inclusief accounts, plugins en verborgen configuratieveranderingen.
- Vergroot context in detectie: koppel signalen aan gedrag (wie, wanneer, vanaf waar) zodat je niet verdrinkt in losse alerts.
Als je één thema uit deze ThreatsDay-editie moet meenemen, dan is het wel dit: de weg naar datadiefstal begint vaak met toegang of communicatie die “normaal” lijkt. En precies daarom moet je niet alleen kijken naar wat er stuk is, maar ook naar wie er binnen was—en wat er daarna is gebeurd.
Bron: https://thehackernews.com/2026/10/threatsday-adobe-rce-dns-wallet-theft.html
