Een nieuwe cyberaanval van de Russische hackersgroep COLDRIVER markeert een zorgwekkende escalatie in hun tactieken, waarbij zij gebruikmaken van geavanceerde malware genaamd LOSTKEYS. Onderzoekers van Google hebben belangrijke stappen gezet om de impact van deze aanvallen te beperken.
VERVOLG VAN DE CYBERDREIGING: COLDRIVER IN DE AANVAL
Volgens een recent gepubliceerd rapport van Google Threat Intelligence, uitgevoerd op 7 mei, heeft de Russische hackersgroep COLDRIVER een geavanceerde cyberaanval gelanceerd tegen verschillende Westerse doelwitten. De groep benut malware genaamd LOSTKEYS om vertrouwelijke informatie te stelen en haar aanvallen sindsdien aanzienlijk te verfijnen.
DE AANVAL: EEN SLIMME STRATEGIE
De installatie van LOSTKEYS verloopt in vier strategische stappen. Het begint met een ogenschijnlijk onschuldige nepwebsite, die bezoekers verleidt met een valse CAPTCHA. Wanneer een slachtoffer in de val trapt, wordt een kwaadaardig PowerShell-script naar het klembord van de gebruiker gekopieerd. Dit script misleidt het apparaat en opent de deur voor de malware. Vervolgens installeert LOSTKEYS zichzelf, waardoor de aanvallers toegang krijgen tot het systeem.
Eenmaal actief, verzamelt de malware verschillende soorten bestanden en systeeminformatie, die vervolgens naar COLDRIVER worden gestuurd. Zorgwekkend genoeg blijkt dat het IP-adres van ten minste één aanval afkomstig was van 165.227.148[.]68.
GOOGLE TREFT MAATREGELEN
Om de gevolgen van deze dreiging te beperken, heeft Google ingegrepen. De malafide websites die gebruikt worden voor de verspreiding van LOSTKEYS zijn toegevoegd aan hun Veilig Browsen-functie, zodat gebruikers automatisch gewaarschuwd worden bij het bezoeken van deze gevaarlijke pagina’s.
Achtergrond COLDRIVER
COLDRIVER, een hackersgroep die wordt gesteund door de Russische staat, richt zich met name op diplomaten, journalisten, defensie-instellingen en andere gevoelige Westerse doelwitten. Eerder in januari 2024 voerde de groep al een aanval uit met de Spica-malware, die in staat was om commando’s uit te voeren en externe software te manipuleren. De nieuwe LOSTKEYS-aanvallen geven aan dat COLDRIVER haar tactieken heeft geperfectioneerd, waardoor de risico’s voor overheden en instellingen aanzienlijk toenemen.
CYBERBEDREIGINGEN IN DE CRYPTOSECTOR
De gevaren van cyberaanvallen reiken verder dan overheidsdoelen. De cryptosector is eveneens zwaar getroffen, met meer dan $2 miljard aan digitale activa die alleen al in het eerste kwartaal van 2025 zijn gestolen. Dit bedrag is zelfs hoger dan het totaal van heel 2024. Cybersecuritybedrijf Hacken waarschuwt dat zwakke toegangsbeveiligingen en operationele fouten nog steeds grote risico’s vormen voor zowel gecentraliseerde als gedecentraliseerde cryptoplatforms.
Een opvallend incident dit jaar vond plaats bij cryptobeurs Bybit, waar in februari meer dan $1,5 miljard werd gestolen. Deze aanval wordt toegeschreven aan de beruchte Lazarus Group, een hackerscollectief met banden naar Noord-Korea.
EEN GROEITENDE DREIGING
De opkomst van malware zoals LOSTKEYS wijst op een evoluerende digitale dreiging, die zich zowel richt op statelijke instellingen als commerciële platforms. Experts voorspellen een verdere stijging in het aantal gerichte aanvallen in 2025, gedreven door geopolitieke spanningen en de groeiende waarde van digitale activa.
Vraag & Antwoord
- Wat is de nieuwe malware die door COLDRIVER wordt gebruikt? COLDRIVER maakt gebruik van de malware LOSTKEYS om vertrouwelijke gegevens te stelen van Westerse doelwitten.
- Hoe heeft Google gereageerd op deze cyberaanval? Google heeft malafide websites die LOSTKEYS verspreiden in hun Veilig Browsen-functie toegevoegd, zodat gebruikers automatisch worden gewaarschuwd bij het bezoeken van deze gevaarlijke pagina’s.
- Welke sectoren worden het meest getroffen door cyberaanvallen? Naast overheidsdoelen zijn ook de cryptosector en commerciële platforms zware slachtoffers, waarbij onlangs miljarden dollars aan digitale activa verloren zijn gegaan.