Amerikaanse cyberwapens in handen van de Russische GRU: wat kunnen we doen?

OPENING — GEDRAMATISEERDE RECONSTRUCTIE

De volgende scène wordt gespeeld door acteurs. Geïnspireerd door echte gebeurtenissen en gedocumenteerde inbreuken op de beveiliging, reconstrueert het de gebeurtenissen in verhalende vorm om het onderzoek te introduceren.

De scène begint midden in het verhoor. Het is 18.00 uur op 17 april 2026.

– Dus Jeremy, je werkt bij een elitair cyberbeveiligingsbedrijf.

— Je ontwikkelt spyware voor de speciale diensten.

– Dat klopt, ja. Wij werken samen met de overheid.

— Jeremy, hier in het dossier staat dat een eenzame hacker 400 gigabyte aan geheime gegevens van je heeft gestolen, inclusief de meest recente exploits.

– Hoe slaagde hij erin voorbij jouw verdediging te komen?

— Maar kom, het was een ongekende en uiterst complexe brute-forceaanval.

— Het rapport zegt dat ze eenvoudigweg het beheerderswachtwoord hebben ingevoerd en dat uw wachtwoord het woord “password” was.

— Nee, nee, niet zomaar “password”.

— Het wachtwoord begon met een hoofdletter P en in plaats van de letter O was er ook een nul: een speciaal teken, hoofdletters, cijfers, volledige overeenstemming met de beveiligingsnormen van het bedrijf.

— Ik deed alles volgens de regels.

— We hebben alles volgens de voorschriften gedaan, we hebben alles correct gedaan.

EINDE VAN DE RECONSTRUCTIE — TIJD VOOR DE FEITEN

De gespeelde scène eindigt hier. We keren nu terug naar de gedocumenteerde feiten, de betrokken instrumenten en hoe deze daadwerkelijk circuleerden.

Hallo, ik ben het weer, Jeremy, voorzitter van het Belgisch Instituut voor Burgercyberveiligheid. En zoals velen weten ben ik geboren en getogen in het hart van Moeder Rusland, in de stad Moskou. Dit onderwerp is voor mij nog pijnlijker!

Ik heb nieuws voor je dat alle verbeelding te boven gaat.

Cyberwapens die door het Amerikaanse militair-industriële complex zijn ontwikkeld, zijn niet meer en niet minder in de handen van Russische speciale diensten en Chinese hackers gelekt.

Ze kunnen nu een Apple-apparaat betreden alsof ze hun huis binnenkomen, op voorwaarde dat de eigenaar nog geen tijd heeft gehad om het te updaten.

Ik heb het over Coruna.

Het is een reeks geavanceerde exploits voor iOS waarmee je een apparaat kunt binnensluipen en alle beveiligingsmechanismen kunt omzeilen.

En om geïnfecteerd te raken, hoeft de gebruiker vrijwel niets te doen.

Hij hoeft geen verdachte programma's te downloaden of ergens zijn login en wachtwoord in te voeren.

Het enige wat u hoeft te doen is naar een site te gaan die wordt beheerd door hackers, en de gegevens van uw apparaat gaan rechtstreeks naar hun servers.

Het meest verrassende is dat dit niet eens het enige instrument van dit type is dat eerst voor een staat is gemaakt voordat het in handen viel van gewone cybercriminelen.

Dit soort dingen gebeuren regelmatig. Dit is dus precies waar ik het vandaag over wil hebben.

Over Coruna zelf en wat ze kan; andere soortgelijke tools, zoals DarkSword; en, meer in het algemeen, hoe programma’s die zijn ontwikkeld om internationale terroristen op te sporen in de handen van cyberdieven terechtkomen.

En nu we toch bezig zijn: kunnen wij, gewone mensen, onszelf op de een of andere manier beschermen?

Laten we het proberen te begrijpen.

Maar wat is die Coruna waar je het over hebt?

Het omvat een heel arsenaal aan exploits voor Apple-apparaten, van iOS 13, uitgebracht in 2019, tot iOS 17.2.1, uitgebracht in december 2023.

Het is niet in staat om op tijd een gloednieuw en bijgewerkt apparaat te hacken. De door Google-onderzoekers vastgelegde versie is hier in ieder geval niet toe in staat.

Het is heel goed mogelijk dat er momenteel ergens op het netwerk een Coruna 2.0 circuleert en al heeft geleerd hoe dat moet.

Maar het was nog maar kort geleden, en veel mensen gebruiken nog steeds oudere versies van iOS en willen niet updaten.

Hoe Coruna werkt is als volgt.

U komt terecht op een gecompromitteerde site of dienst die zich als van alles kan voordoen: een nieuwsportaal, een online winkel, een kleine gamingblog, enzovoort.

En als u een Apple-apparaat heeft, arriveert er kwaadaardige JavaScript-code met de pagina.

Het bepaalt welk apparaat u gebruikt en welke versie van iOS erop is geïnstalleerd.

Vervolgens kiest het een kant-en-klare exploitketen die precies bij uw geval past.

Coruna doorloopt alle beveiligingslagen.

Het ontsnapt uit de sandbox van Safari, verlaat de geïsoleerde omgeving waarin de browser zelf opereert, verkrijgt vervolgens toegangsrechten op kernelniveau en injecteert zichzelf in een van de systeemprocessen.

Vanaf dit moment krijgt de aanvaller de volledige controle over het apparaat en kan hij alles eruit halen wat niet aan de grond vastzit.

Berichten, oproepen, contacten, notities, foto's, video's, iCloud-gegevens, browsergeschiedenis, wachtwoorden en sleutelhangers, wifi-wachtwoorden, geolocatiegegevens, enzovoort.

Ik zou deze lijst voor altijd kunnen voortzetten.

In de praktijk zijn aanvallers doorgaans vooral geïnteresseerd in gegevens uit cryptowallets. Daarvoor laadt Coruna afzonderlijke exploits.

Het hele proces, van het openen van de site tot het exfiltreren van uw gegevens, is absoluut onzichtbaar voor de gebruiker en duurt slechts enkele minuten of zelfs seconden.

Alles wat ik u zojuist heb verteld, is openbaar geworden dankzij een rapport van Google-onderzoekers dat in maart van dit jaar is gepubliceerd.

Ze ontdekten enkele honderden voorbeelden van deze tool.

En dankzij de nalatigheid van de hackers zijn ze er ook in geslaagd een debug-versie in handen te krijgen.

Iemand had het gebruikt in plaats van de definitieve versie.

De debug-versie behield de interne namen: die van het Coruna-framework zelf, maar ook die van bepaalde exploits.

Interessant genoeg zijn sommige vernoemd naar vogels, bijvoorbeeld Mus of Cassowary.

Onthoud dit detail, we zullen het opnieuw nodig hebben.

Sommige exploits waren gebaseerd op bekende kwetsbaarheden die al waren gepatcht.

Maar er waren ook zero-day-kwetsbaarheden waarvan niemand eerder wist dat ze bestonden.

Deze reeks exploits is blijkbaar in opdracht van het Amerikaanse leger gecreëerd.

Twee voormalige werknemers van een defensie-aannemer bevestigden tegenover verslaggevers van TechCrunch dat Coruna de interne naam was voor een van de componenten die waren ontwikkeld door hun Australische divisie, Trenchant.

Trenchant is gespecialiseerd in hacktools en verkoopt deze aan de Amerikaanse overheid en aan haar nauwste bondgenoten in de Five Eyes-alliantie: Australië, Canada, Nieuw-Zeeland en het Verenigd Koninkrijk.

Het is in deze context dat de vogelnamen die aan exploits worden gegeven interessant worden.

Beveiligingsonderzoeker Costin Raiu zegt dat het vernoemen van tools naar vogels de kenmerkende signatuur van Trenchant is.

Oude gewoonten zijn hardnekkig.

Nog een interessant detail: Coruna is niet de eerste versie van deze tool.

Het heeft een prehistorie.

In 2023 ontdekte het Kaspersky-laboratorium dat tientallen iPhones van eigen medewerkers besmet waren met geavanceerde spyware.

Deze aanval en de software die tijdens de operatie werd gebruikt, kregen de naam Operatie Triangulatie, terwijl de FSB verklaarde dat de Amerikaanse NSA achter de operatie zat.

Minstens twee exploits uit de Coruna-toolkit waren ook gebruikt bij Operation Triangulation.

Dat blijkt uit het Google-rapport.

En eind maart analyseerde het Kaspersky-lab de code van Coruna en kwam tot de conclusie dat het hele raamwerk een modernere, vernieuwde versie van Triangulation was.

De link met de Five Eyes wordt dan ook door meerdere concurrerende bronnen tegelijk bevestigd: zowel aan Russische kant als aan Amerikaanse kant.

De ironie is dat de door Google opgehaalde Coruna-monsters noch door de Amerikanen noch door de Australiërs werden gebruikt, maar door hackers die banden hadden met de Russische inlichtingendienst en doelen in Oekraïne aanvielen.

Een andere actieve gebruiker van Coruna was een Chinese hackergroep die gespecialiseerd was in economische criminaliteit.

Met andere woorden, hacktools die voor de NSA en het Amerikaanse leger waren gemaakt, lekten in de handen van hun belangrijkste geopolitieke tegenstanders: Rusland en China.

Het is genoeg om je gek te maken.

Hoe dit precies gebeurde is een verhaal op zich, een spionageroman waardig.

In werkelijkheid is het inderdaad een spionageverhaal.

Aan de oorsprong van het lek lag Peter Williams, een voormalig medewerker van de Australische inlichtingendienst die in de particuliere sector ging werken, precies bij Trenchant.

Na een tijdje werd hij algemeen directeur.

In 2022 besloot Williams dat zijn bedrijfssalaris niet genoeg was om een goed leven te leiden en nam hij contact op met Operation Zero, een Russische zero-day kwetsbaarheidsmakelaar die niet-NAVO-klanten levert, waaronder de Russische overheid.

Gedurende de volgende drie jaar onderhielden ze een wederzijds voordelige samenwerking.

Williams haalde hacktools die voor westerse inlichtingendiensten waren ontwikkeld uit de kantoren van Trenchant, en Operatie Zero betaalde hem grote sommen in cryptocurrencies in ruil voor deze monsters.

In totaal had deze grote intrigant tijd om voor 1,3 miljoen dollar aan exploits te verkopen.

Vanwege zijn commerciële activiteiten veroordeelde een Amerikaanse rechtbank hem in februari van dit jaar tot zeven jaar gevangenisstraf.

En de oprichter van Operatie Zero, Sergey Zelenyuk, werd onder Amerikaanse sancties geplaatst.

Maar sancties zullen het weer niet veranderen.

We doen het gemalen vlees niet terug in de molen.

Geavanceerde cyberwapens die voor westerse speciale diensten zijn gemaakt, zijn nu in handen van de FSB en Chinese cybercriminelen.

En ze gebruiken het met plezier.

Mijn vrienden, terwijl jullie naar deze aflevering kijken, wordt de situatie in Rusland steeds erger.

De repressie wordt steeds heviger en massiever en onvoorspelbaarder.

We zien vervolging, spraakmakende strafzaken, marteling.

Gepensioneerden, vrouwen en zelfs minderjarigen en kinderen worden veroordeeld tot onevenredige straffen en vastgehouden in onmenselijke omstandigheden.

Mensen worden vervolgd voor elke poging tot protest en voor het uiten van hun eigen mening.

Wij, het mensenrechtenproject van de “First Department”, strijden sinds 2021 elke dag voor elke persoon die door de staat wordt vervolgd.

We verdedigen ze in de rechtbank, ondersteunen de gedetineerden, voorzien hen van een verbinding met de buitenwereld, helpen de families van politieke gevangenen en halen mensen eenvoudigweg het land uit als de kans zich voordoet.

Wij doen alles wat binnen onze macht ligt.

En ook jij kunt helpen.

Jij persoonlijk.

En jouw hulp is echt nodig.

Duizenden mensen hebben onze steun nodig.

Ze hebben advocaten, basismedicijnen en basisbehoeften nodig.

Help degenen die in de problemen zitten.

Help politieke gevangenen juridische en humanitaire steun te krijgen, en hun leven en menselijke waardigheid te behouden, daar waar de staat een beul is geworden.

Volg de link in de beschrijving.

Zelfs een klein bedrag kan iemands leven redden.

Zoals ik je aan het begin van de video al vertelde, is het uitlekken van Coruna verre van het enige geval waarin de speciale diensten cyberwapens creëren die vervolgens in de handen vallen van God mag weten wie.

Bovendien is dit niet eens het enige geval dit jaar.

Letterlijk twee weken na het Coruna-rapport ontdekten dezelfde Google-onderzoekers een andere soortgelijke exploitkit, die ze DarkSword noemden.

En dit werkte niet meer op oude versies van iOS, maar op vrij recente versies, die in het najaar van 2025 nog steeds actueel zijn.

En nog steeds gebruiken meer mensen ze vandaag de dag.

De functionaliteiten zijn vergelijkbaar.

De aanvallen beginnen op een site van de hackers. Vervolgens verlaat DarkSword de sandbox en verkrijgt toegangsrechten, en zuigt vervolgens gesprekken op van alle boodschappers, het contactenboek, foto's, notities, gegevens uit cryptocurrency-portefeuilles, enzovoort.

We weten niet precies wie al dit wonder heeft ontwikkeld.

Dit is waarschijnlijk het werk van een commerciële aanbieder van hacktools die met veel klanten samenwerkt.

Maar deze keer is het cyberwapen niet alleen gelekt naar Russische hackers, ook al maken zij er ook actief gebruik van.

Nee. DarkSword is in het publieke domein gelekt.

Het werd letterlijk op GitHub gezet.

Dit betekent dat iedereen er gebruik van kan maken.

En als ik ‘iedereen’ zeg, bedoel ik niet zomaar een criminele hackergroep.

DarkSword kan worden gebruikt door elke specialist die weet hoe hij zijn eigen server moet opzetten en daarop een site moet hosten.

En als een taalmodel wil helpen, kan DarkSword zelfs worden gebruikt door iemand die absoluut geen technische vaardigheden heeft.

Volgens gegevens van het Apple-bedrijf zelf draaide ten tijde van het DarkSword-lek één op de vier iPhones iOS-versie 18 en zou daarom kwetsbaar kunnen zijn voor deze kit.

We bevinden ons in een situatie waarin letterlijk elke cybercrimineel de mogelijkheid heeft gekregen om vrijwel zonder moeite honderden miljoenen relatief nieuwe Apple-apparaten te hacken.

Terwijl voorheen alleen statelijke actoren met aanzienlijke middelen over een dergelijke capaciteit beschikten.

Dit doet allemaal sterk denken aan het verhaal van de EternalBlue-exploit, die in 2016 uitlekte.

Oorspronkelijk werd het ontwikkeld door de Amerikaanse NSA, maar de hackergroep Shadow Brokers wist het, samen met andere tools van de veiligheidsdiensten, te stelen en beloofde het geheel voor een miljoen bitcoins te verkopen.

Dat was destijds ongeveer een half miljard dollar.

Blijkbaar kwam er geen koper opdagen. Dus het jaar daarop publiceerde Shadow Brokers eenvoudigweg alles wat het op internet vond, inclusief EternalBlue.

Hackers uit Noord-Korea hebben het onmiddellijk in beslag genomen en op basis daarvan de beruchte WannaCry-ransomware gemaakt, die wereldwijd 300.000 computers infecteerde.

De schade die alleen al door deze campagne werd aangericht bedroeg vier miljard dollar.

Het grappige is dat een maand later dezelfde exploit al werd gebruikt door Russische hackers die NotPetya creëerden en Oekraïense overheidsinstellingen, staatsbedrijven en banken aanvielen.

En dat allemaal omdat de NSA duidelijk onze video's niet bekijkt en niet weet hoe ze haar gegevens moet beschermen.

Als ze zich hadden geabonneerd op onze cybersecurity-afspeellijst, zou er geen probleem zijn geweest.

Echte kinderen moet je ze eerlijk gezegd alles leren.

Als we nog wat verder teruggaan, kunnen we ons de aanval op het Italiaanse bedrijf Hacking Team herinneren.

Het was een spywarefabrikant die het op volkomen legale wijze aan dictators en corrupte functionarissen leverde, die het arsenaal vervolgens verkocht aan verschillende georganiseerde misdaadgroepen, waaronder Mexicaanse drugskartels.

In juni 2015 drong een hacker, bekend als Phineas Fisher, hun netwerk binnen en stal 400 gigabyte aan gegevens, waaronder verschillende zero-day-exploits en hun vlaggenschip-hackproduct: Remote Control System.

Vervolgens hackte hij het Twitter-account van het bedrijf en plaatste daar direct een link naar de gestolen broncodes.

Ik citeer:

“Omdat we niets te verbergen hebben, publiceren we al onze correspondentie, bestanden en broncode.”

Hacking Team werd gehackt via een kwetsbaarheid in de gebruikte SonicWall-VPN.

De kwetsbaarheid was zo gemakkelijk te misbruiken dat onderzoeker Darren Martyn, die het beschreef, gebruikers van SonicWall adviseerde om, met een citaat, "de stekker uit het stopcontact te halen, het met kerosine te doven en het in brand te steken, omdat dat de enige manier is om jezelf te beschermen tegen iets dat met zo'n mate van onzorgvuldigheid is ontwikkeld."

Dat gezegd hebbende, bleken de medewerkers van het Hacking Team ook IQ-ridders met dubbele cijfers te zijn.

Velen van hen gebruikten zeer eenvoudige wachtwoorden die gemakkelijk te kraken waren met woordenboeken.

En een van hen gebruikte daadwerkelijk het woord Password als wachtwoord, waarbij de letter O was vervangen door een nul.

Wat gebeurde er na het lek?

Je raadt het goed.

De hacktools werden onmiddellijk overgenomen door de Fancy Bear-groep, die werkt voor het hoofddirectoraat van de generale staf, ook wel bekend als de GRU.

Alle wegen leiden naar Rome en alle malware komt in handen van beroemde Russische hackers.

In werkelijkheid zijn er nog steeds veel van dergelijke verhalen, en elk ervan zou het onderwerp kunnen zijn van een afzonderlijke video.

De situatie is nog steeds hetzelfde.

Een staat of een van zijn contractanten creëert een cyberwapen en beweert dat dit alleen binnen de wet zal worden gebruikt en alleen tegen terroristen.

In sommige gevallen komen ze zelfs hun belofte na, of doen ze op zijn minst heel overtuigend alsof.

Maar dan valt het cyberwapen in handen van diezelfde terroristen, speciale diensten van andere staten of simpele netwerkdieven.

Omdat een genie besloot het woord ‘password’ als wachtwoord te gebruiken.

Maar wij zijn degenen die dit moeten opruimen, niet zij.

Laten we dus snel de manieren bekijken om onszelf te beschermen.

Het eerste en het belangrijkste.

Updates moeten regelmatig op alle apparaten worden geïnstalleerd, vooral op updates van het besturingssysteem.

Exploitontwikkeling kost veel tijd. Daarom werken ze vaak juist op oudere versies van besturingssystemen, zoals in het geval van Coruna.

Hoe ouder de versie, hoe waarschijnlijker het is dat iemand een niet-gepatchte kwetsbaarheid heeft gevonden en een manier heeft bedacht om deze te misbruiken.

Als u openbare activiteiten uitvoert in niet-vrije landen, een groot bedrijf leidt of bezit, grote hoeveelheden cryptocurrencies opslaat of op een andere manier van belang bent voor veiligheidsdiensten en grote georganiseerde cybercriminele groepen, is het een goed idee om de Lockdown-modus op Apple-apparaten in te schakelen.

Dit is een veilige modus.

Het beperkt de functionaliteit van het apparaat ernstig, maar verkleint het aanvalsoppervlak radicaal.

Bovendien verscheen onlangs een soortgelijke functie op Android-apparaten.

Coruna negeert bijvoorbeeld eenvoudigweg telefoons die in de Lockdown-modus staan, omdat het er niets aan kan doen.

En het zou ook niet slecht zijn om de fouten van de mensen van het Hacking Team niet te herhalen en eindelijk normale wachtwoorden te gaan gebruiken, die onmogelijk in een milliseconde te kraken zijn.

U moet daarom voor elke dienst een lang en uniek wachtwoord kiezen en dit vervolgens opslaan in een betrouwbare wachtwoordbeheerder, zodat het niet wordt hergebruikt of gestolen.

Daarmee neem ik afscheid.