Nieuws
De Autoriteit Digitale Gegevens waarschuwt voor aanvallen op Primedesk RMM
Illustratie bij dit bericht.
de Autoriteit Digitale Gegevens waarschuwt organisaties voor aanvallen gericht op Primedesk RMM. Er zijn meldingen van misbruik bij meerdere Nederlandse organisaties.
Er is een lijst met kenmerken gepubliceerd waarmee beheerders kunnen controleren of ze zijn geraakt.
Wat er precies gebeurde
Organisaties die het systeem gebruiken, wordt gevraagd de logbestanden na te lopen op ongebruikelijke aanmeldingen.
Aangeraden wordt om het systeem niet rechtstreeks vanaf internet bereikbaar te maken en beheer via een gescheiden netwerk te laten verlopen.
22 reacties
Waarom hangt dit soort apparatuur uberhaupt aan het internet?
De IoC-lijst is bruikbaar, die heb ik meteen in onze SIEM gezet.
Bij twijfel: sleutels roteren. Ook als de leverancier zegt dat het niet nodig is.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Goed punt, maar Dat geldt voor de zakelijke variant, thuisgebruikers hebben die knop helemaal niet.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Eens, met een kanttekening: Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
Melden bij de toezichthouder is verplicht, maar in de praktijk zie je dat organisaties eerst hun juristen bellen.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Eens, met een kanttekening: Ik heb het hier net getest en kan het bevestigen.
Niet helemaal. Ik heb het hier net getest en kan het bevestigen.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Dat is te kort door de bocht. Ik heb het hier net getest en kan het bevestigen.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Dat valt in de praktijk tegen. Formeel klopt het, praktisch schiet je er weinig mee op.
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Reageren kan na registratie.
Inloggen
Meer nieuws