Universiteit Maastricht

In het kort. Op 23 december 2019 versleutelden criminelen 267 servers van de Universiteit Maastricht, waardoor e-mail, bestanden en ook back-ups onbruikbaar werden.¹ Ze waren al twee maanden eerder binnengekomen via een phishingmail met een link naar een Excel-bestand, en konden daarna ongezien rondkijken tot ze de hoogste rechten in het netwerk hadden.¹ De universiteit betaalde ongeveer 197.000 euro losgeld om snel weer te kunnen werken; een deel daarvan kwam jaren later terug.²

Aanvalspad grotendeels bekend: ✅ 11 bevestigd · 🔎 0 gemeld · 🧠 2 afgeleid · ❓ 1 onbekend

1. In één oogopslag

2. Wat er gebeurde

De Universiteit Maastricht heeft zo'n 19.000 studenten en 4.500 medewerkers. Het netwerk is groot: 1.647 servers en 7.307 werkplekken.⁴

Op 15 oktober 2019 kreeg een medewerker een e-mail met als onderwerp "Documents". Het leek een bericht met een document via OneDrive. De link leidde naar een Excel-bestand met een macro: een klein programma in het bestand dat iets uitvoert zodra je dat toestaat. De macro haalde de malware SDBbot binnen. Een dag later gebeurde hetzelfde bij een tweede medewerker, met een mail over een vergaderrooster die naar zes adressen was gestuurd.¹ Via deze twee computers had de aanvaller een voet tussen de deur.

Vanaf 16 oktober was de aanvaller ook zelf actief in het netwerk, met hackersgereedschap zoals Meterpreter en later Cobalt Strike. Op 17 en 20 oktober nam hij vier servers over. Twee daarvan draaiden nog Windows Server 2003, een versie die Microsoft niet meer ondersteunt en waarop een belangrijke beveiligingsupdate ontbrak.¹ Daarna bracht hij het netwerk in kaart: welke computers er zijn, welke gebruikers en wie welke rechten heeft.

Op 21 november kreeg hij de sleutel van het hele netwerk: de inloggegevens van een domeinbeheerder, een account dat alles mag. Die stonden waarschijnlijk in het geheugen van een server die hij net had overgenomen, omdat een beheerder daar met dat account had gewerkt.¹ Dat was tegen het eigen beleid van de universiteit in.⁴

Op 23 december, twee dagen voor kerst, sloeg hij toe. Hij verwijderde de virusscanner op drie servers en startte vanaf daar de Clop-ransomware op alle Windows-servers van de universiteit. Binnen een half uur waren 267 servers versleuteld, waaronder de mailservers, bestandsservers met onderzoeksgegevens en ook een deel van de back-upservers.¹

Onderweg waren er alarmsignalen. Op 24 oktober verwijderde Windows Defender een hackersscript. Op 19 december zag de virusscanner tot drie keer toe Cobalt Strike en tot negen keer toe Mimikatz, maar hij stond zo ingesteld dat hij alleen registreerde en niet blokkeerde.¹ De meldingen kwamen grotendeels op een centrale logserver terecht, maar niemand keek er actief naar.¹ Ook waren er meldingen van de phishingmails bij de servicedesk binnengekomen, maar één variant werd onvoldoende opgevolgd.⁴

Na lang overleg besloot de universiteit op 29 december te betalen: ongeveer 197.000 euro in bitcoin.⁴² Op 30 december kwam de sleutel binnen.¹ Het alternatief was alles opnieuw opbouwen, en dat had maanden geduurd. Nu konden de lessen en tentamens op 6 januari doorgaan en werden de salarissen op tijd betaald.⁴

De universiteit maakte het onderzoeksrapport van Fox-IT openbaar en hield een symposium om andere instellingen te waarschuwen. De Inspectie van het Onderwijs oordeelde dat de crisis goed was aangepakt, maar dat de universiteit vooraf niet genoeg passende maatregelen had genomen.⁵ In 2022 kreeg de universiteit een deel van het losgeld terug. De politie had al in februari 2020 een cryptowallet laten bevriezen met ongeveer 40.000 euro; door de koersstijging was dat in 2022 zo'n 500.000 euro waard.²

3. Het aanvalspad

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

Fox-IT vat het samen als een combinatie van ontbrekende beveiligingsupdates, weinig segmentatie in het netwerk en alarmsignalen die niet werden opgevolgd.¹ Concreet:

1. Macro's mochten gewoon draaien. Een Excel-bestand van internet kon een macro starten die malware installeerde. Fox-IT adviseert om macro's zonder digitale handtekening niet toe te staan.¹
2. Alarmsignalen werden niet opgevolgd. Windows Defender en de virusscanner zagen hackersgereedschap, maar niemand keek naar die meldingen. De virusscanner stond bovendien op "alleen observeren", de standaardinstelling.¹
3. Servers waren niet bijgewerkt. Er draaiden nog servers met Windows Server 2003, zonder de update tegen EternalBlue. Ook de server waar de aanvaller op 21 november de domeinbeheerder vond, miste recente updates.¹
4. Beheerders werkten met het sterkste account op gewone servers. Daardoor lag het wachtwoord van de domeinbeheerder op een plek waar de aanvaller erbij kon.¹⁴
5. Het netwerk en de back-ups waren niet afgeschermd. De netwerkdelen waren vrij open naar elkaar, en de back-upservers hoorden bij hetzelfde Windows-domein. Er waren geen offline back-ups.¹⁴

Ook bestuurlijk was het niet op orde, concludeerde de Inspectie: cyberdreiging stond niet bovenaan de risicolijst, ransomware stond niet in de draaiboeken voor grote incidenten en er was geen totaaloverzicht van de IT.⁵

5. Wat het had kunnen stoppen

6. Lessen

Voor bestuur en management - ☐ Staan een cyberaanval en ransomware op de risicolijst en in het crisisdraaiboek? - ☐ Is vooraf afgesproken hoe je omgaat met een losgeldeis, en wie daarover beslist? - ☐ Is er een actueel overzicht van alle systemen en back-ups? - ☐ Laat je regelmatig toetsen of de belangrijkste maatregelen echt werken?

Voor IT en security - ☐ Blokkeren we macro's in bestanden van internet? - ☐ Kijkt iemand elke dag naar de meldingen van virusscanners en logs, ook in vakanties? - ☐ Draaien alle servers op een ondersteunde versie, en controleren we of updates echt zijn geïnstalleerd? - ☐ Gebruiken beheerders aparte accounts, en loggen domeinbeheerders alleen op domain controllers in? - ☐ Zijn er back-ups die een aanvaller met beheerrechten niet kan versleutelen of wissen, en oefenen we het terugzetten?

Voor iedere medewerker - ☐ Klik niet op "Inhoud inschakelen" in een onverwacht document. - ☐ Meld een verdachte mail, ook als je al hebt geklikt. Liever te vaak dan te laat.

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Tactieknamen volgens ATT&CK Enterprise v19.2, waarin Defense Evasion is opgesplitst in Stealth en Defense Impairment.

• Resource Development: T1583.001 nepdomeinen voor phishing, malware en command-and-control ✅
• Initial Access: T1566.002 links in mails naar nep-OneDrive en nep-Dropbox ✅
• Execution: T1204.002 en T1059.005 Excel-macro ✅; T1059.001 PowerSploit en PowerShell-uitvoering van Cobalt Strike en Mimikatz ✅; T1569.002 uitrol van de ransomware via services ✅
• Persistence: T1547.001 SDBbot via het register 🧠⁶
• Command and Control: T1105 download van SDBbot door de macro ✅; T1095 SDBbot-beacon elke 15 minuten 🧠⁷; Meterpreter en Cobalt Strike voor handmatige besturing ✅
• Discovery: T1046 scans met PowerSploit ✅; T1087.002 Active Directory in kaart met PingCastle ✅; T1018 AdFind op een domain controller ✅
• Lateral Movement: T1210 waarschijnlijk EternalBlue (MS17-010) 🧠⁸
• Credential Access: T1003.001 Mimikatz op 19 december ✅; het domeinbeheerderswachtwoord op 21 november 🧠⁹
• Privilege Escalation: T1078.002 Administrator.UNIMAAS op een domain controller ✅
• Stealth: T1036.004 services psxexesvc (lijkt op PsExec) en Winsysstrinsag ✅
• Defense Impairment: T1685 McAfee verwijderd en Windows Defender uitgeschakeld ✅
• Impact: T1486 Clop (RC4 per bestand, sleutel versleuteld met RSA-1024) en T1490 versleutelde back-upservers (DPM, DataProtector, Veeam) ✅

Gebruikte software: SDBbot (S0461)¹¹, Clop (S0611), Cobalt Strike (S0154), Mimikatz (S0002), PowerSploit (S0194), AdFind (S0552), Meterpreter (Metasploit) en de legitieme audittool PingCastle. Groep: TA505 (G0092).³ Volgens Fox-IT volgde de groep bij ruim 150 slachtoffers in 2019 hetzelfde patroon: brede phishing, organisatie verkennen, zijwaarts bewegen, back-ups versleutelen of wissen, ransomware breed uitrollen en losgeld eisen.¹

Kwetsbaarheden

Niet elke stap is met dit lek te verklaren: op een van de vier servers uit oktober werkte EternalBlue niet, en hoe de aanvaller daar binnenkwam, is niet vastgesteld.¹ Op de server van 21 november werd op 2 december alsnog een update geïnstalleerd, toen de aanvaller al domeinbeheerder was.¹

Sporen van de aanvallers

Uit het Fox-IT-rapport (2019); vooral nog leerzaam als voorbeeld.¹

• Download van SDBbot: windows-en-us-update[.]com (185.225.17[.]99) en windows-afx-update[.]com (185.212.128[.]146)
• Command-and-control van SDBbot: drm-server13-login-microsoftonline[.]com (195.123.242[.]250)
• Phishinglink: cdn2.onedrive-download-en[.]com, en een tweede domein dat op Dropbox leek
• Bestanden: sage.exe (uitroltool, in C:\Users\Public\Music\), swaqp.exe (ransomware), losgeldbericht ClopReadMe.txt, extensie .Clop
• Services: Winsysstrinsag en psxexesvc

Detectie en respons

De signalen die er waren, volgens Fox-IT:¹

• 24 oktober 2019, 11.41 uur: Windows Defender detecteert en verwijdert PowerView (HackTool:PowerShell/PowerView.A, ernst High).
• 19 december 2019, vanaf 16.35 uur: McAfee Endpoint Security detecteert drie keer Cobalt Strike en negen keer Mimikatz, maar AMSI staat op Observe mode (de standaard): gelogd, niet geblokkeerd.
• 23 december 2019, 17.55 uur: McAfee verwijdert sage.exe; de aanvaller verwijdert daarna McAfee met een lokaal beheeraccount.
• Er was geen netwerkmonitoring, en de centrale logserver werd niet actief bekeken. Er was geen incident-responseplan en geen herstelplan met offline back-ups.

Wat verdedigers hierop kunnen bouwen:

• Elke detectie van hackersgereedschap (PowerView, Mimikatz, Cobalt Strike) behandelen als incident, niet als opgeloste melding.
• AMSI en scriptscanning laten blokkeren, niet alleen observeren.
• Alarm bij aanmeldingen van domeinbeheerders op iets anders dan een domain controller.
• Alarm bij nieuwe services op veel servers tegelijk en bij het verwijderen of uitschakelen van beveiligingssoftware.
• Uitgaand verkeer met een vast ritme naar domeinen die op Microsoft of cloudopslag lijken.

8. Wat we niet weten

• Hoe de aanvaller vier servers en het domeinbeheerderswachtwoord in handen kreeg. EternalBlue en het geheugen van een server zijn de meest waarschijnlijke verklaringen, maar niet bewezen.¹
• Of er gegevens zijn gestolen. Fox-IT vond binnen zijn onderzoek alleen sporen van het verzamelen van netwerkinformatie, gebruikersnamen en wachtwoorden, maar kon diefstal van onderzoeks- of persoonsgegevens niet uitsluiten. De universiteit liet vervolgonderzoek doen; de uitkomst daarvan hebben we niet in openbare bronnen gevonden.¹⁴
• Wie de daders precies zijn. De toeschrijving aan TA505 is gebaseerd op de werkwijze. Het OM bevroor een wallet waar een deel van het losgeld naartoe ging, en in het onderzoek kwam een persoon in Oekraïne in beeld. Over aanhoudingen is niets bekendgemaakt; volgens het OM is het aanhouden van verdachten bij ransomware weinig kansrijk.²
• Waarom de phishingmail door de filters kwam. Dat staat niet in de openbare rapporten.

9. Begrippen

Phishing: een nepmail die je probeert te laten klikken, iets te openen of gegevens af te staan.

Macro: een klein programma in een Office-bestand dat automatisch taken uitvoert. Criminelen misbruiken macro's om malware te starten.

Malware: kwaadaardige software.

Ransomware: malware die bestanden versleutelt, zodat je ze pas terugkrijgt als je betaalt.

Domeinbeheerder (domain admin): een account dat alles mag in het Windows-netwerk van een organisatie.

Domain controller: de server die bepaalt wie mag inloggen en wie wat mag.

Update (patch): een verbetering van software, vaak om een beveiligingslek te dichten.

EternalBlue: een aanvalsmethode op een lek in de bestandsdeling van Windows (SMB), waarvoor sinds maart 2017 een update bestaat.

Segmentatie: het netwerk opdelen in afgeschermde delen, zodat een aanvaller niet overal bij kan.

SIEM en SOC: een systeem dat alle meldingen verzamelt (SIEM) en een team dat ze bewaakt en erop reageert (SOC).

Offline back-up: een reservekopie die niet via het netwerk bereikbaar is, en dus ook niet door een aanvaller kan worden versleuteld.

MITRE ATT&CK: een openbare lijst van werkwijzen van aanvallers, met een nummer per techniek.

IOC (indicator of compromise): een spoor van een aanvaller, zoals een domeinnaam, IP-adres of bestandsnaam.

Versies

• v1 (2026-09-28): eerste versie, op basis van het Fox-IT-rapport, de reactie van de universiteit, het rapport van de Inspectie en het bericht van het OM. ATT&CK-nummers gecontroleerd tegen ATT&CK Enterprise v19.2.

Bijlage: bronnen en noten