Barracuda-aanvallers misbruiken ScreenConnect voor remote access en gebruiken gestolen credentials voor ransomware en datadiefstal

Het Security Opera­tions Center (SOC) van Barracuda heeft recent verschil­lende trends gesig­na­leerd in het cyber­drei­gings­land­schap. Cyber­cri­mi­nelen misbruiken steeds vaker kwetsbare versies van Screen­Con­nect – een tool voor remote support voor beheer – voor toegang en zetten gestolen of gekochte inlog­ge­ge­vens in voor ransom­ware en data­dief­stal. Ook zien de onder­zoe­kers een groeiend aantal login­po­gingen op Microsoft 365-accounts vanuit vreemde landen.

Belang­rijkste bevindingen: 

• Toenemend misbruik van Screen­Con­nect voor onge­au­to­ri­seerde remote toegang - Aanval­lers maken steeds vaker misbruik van Screen­Con­nect, waarbij zij endpoints proberen te koppelen aan bestaande omge­vingen of dit tool zelf instal­leren om hosts op afstand volledig over te overnemen. Omdat Screen­Con­nect een legitiem en populair remote beheer platform is, wordt misbruik niet altijd direct gede­tec­teerd. Een ernstige kwets­baar­heid in oudere Screen­Con­nect-versies heeft dit risico vergroot. Hoewel er op 24 april 2025 een patch is uitge­bracht, maken crimi­nelen nog steeds misbruik van niet-gepatchte systemen om ransom­ware te instal­leren, data te stelen en zich verder door netwerken te bewegen.
• Ransom­ware en data­dief­stal met gestolen of gekochte creden­tials - Cyber­cri­mi­nelen kopen of stelen steeds vaker gebrui­kers­namen en wacht­woorden om daarmee bedrijfs­net­werken binnen te dringen. Eenmaal binnen, instal­leren ze ransom­ware of stelen ze gevoelige data. Omdat de aanval­lers legitieme inlog­ge­ge­vens gebruiken, lijken hun acties op normaal gebrui­kers­ge­drag. Barracuda’s SOC-analisten herkennen derge­lijke aanvallen aan de hand van subtiele signalen zoals afwijkend gebruik van beheer­tools, herhaalde of gelijk­tij­dige inlog­po­gingen en het onver­wacht aanmaken van remote services.
• Stijging in Microsoft 365-inlog­po­gingen vanuit vreemde landen - Het SOC-team ziet een duide­lijke stijging in het aantal inlog­po­gingen op Microsoft 365-accounts vanuit landen waar orga­ni­sa­ties zelf niet actief zijn. Dit duidt erop dat crimi­nelen proberen in te breken met gestolen inlog­ge­ge­vens. Indien ze toegang krijgen, kunnen ze e‑mails en bestanden inzien, zich voordoen als legitieme mede­wer­kers en interne phis­hing­cam­pagnes starten om zich verder door het netwerk te verplaatsen

Meer infor­matie is te vinden op: https://​blog​.barracuda​.com/​2​0​2​5​/​1​2​/​0​2​/​s​o​c​-​t​h​r​e​a​t​-​r​a​d​a​r​-​d​e​c​e​m​b​e​r​-​2025

Orga­ni­sa­ties lopen risico als ze:

• Software en systemen niet tijdig updaten of patches overslaan
• Geen sterk wacht­woord­be­leid of conse­quente MFA-imple­men­tatie hebben
• Geen detec­tie­mo­ge­lijk­heden hebben voor afwij­kende logins of misbruik van beheertools
• Mede­wer­kers onvol­doende trainen in cyber­se­cu­rity awareness