Cyberaanval HvA begon op een laptop van een student

De cyberaanval op systemen van de HvA eerder dit jaar, kon ontstaan doordat een student malware downloadde op een laptop. Hoewel de hogeschool besloot terug te vechten, hield men dagenlang rekening met het scenario dat ‘alle schermen op zwart’ zouden gaan.

Een student van de HvA of de UvA installeert op 11 februari een trojan horse op zijn laptop. Dat is malware die zich voordoet als een ander bestand, maar is gericht op het overnemen van de computer. Door die malware krijgt een aanvaller toegang tot de inloggegevens van de student.

62 servers en 10 beheeraccounts geïnfecteerd

Twee aanvallers verkennen daarmee de systemen van de hogeschool en universiteit en krijgen vervolgens door middel van een password spraying attack Een password spraying attack is een aanval waarbij iemand een voorspelbaar wachtwoord (bijvoorbeeld welkom01) gebruikt bij heel veel accounts. Dat doet hij heel vaak achter elkaar met verschillende wachtwoorden. toegang tot een beheeraccount. Vervolgens verspreiden de aanvallers zich door het systeem en weten ze onder meer 62 servers te infecteren en tien beheeraccounts binnen te dringen. Dat doen ze allemaal in de nacht van vrijdag 12 op zaterdag 13 februari.

‘Pas’ op maandagochtend 15 februari komen medewerkers van de ICT-afdeling daarachter. Daar wordt volgens het rapport goed opgetreden: er wordt snel alarm geslagen, wachtwoorden worden gewijzigd en enkele gecompromitteerde beheeraccounts worden geblokkeerd. Bovendien worden enkele geïnfecteerde servers uitgezet. ‘De aanvallers hebben na de genomen eerste maatregelen door de HvA en UvA geen verdere actie ondernomen,’ schrijft het COT Instituut voor Veiligheids- en Crisismanagement in het rapport.

Het crisisteam kiest ervoor om terug te vechten tegen de aanvallers, met ‘het risico dat de hacker alsnog de data van de HvA en UvA gijzelt’. Tegelijkertijd werkt een team aan een scenario waarin ‘alle schermen op zwart’ gaan.

Database met inloggegevens

Een van de aanvallers heeft in de tussentijd al een kopie van de zogenoemde Active Directory-domeindatabase gemaakt, zo blijkt enkele dagen later. Daarin staan meer inloggegevens als gebruikersnamen, wachtwoordhashesEen wachtwoordhash is een ge-encrypt wachtwoord. Alleen met de encryptiesleutel kunnen aanvallers de wachtwoorden ontgrendelen., telefoonnummers en e-mailadressen. Cyberbeveiligingsbedrijf Fox-IT, dat de HvA tijdens de aanval helpt, denkt daarom dat ‘de aanvallers mogelijk hun aandacht hebben gericht op een ander slachtoffer om mogelijk later terug te keren naar de HvA/UvA’.