SilentRoute Trojan: een nep-VPN-tool die onder de radar inloggegevens kaapt

Een vertrouwde naam die een Trojaans paard werd

Een andere cyberdreiging veroorzaakt opschudding in het beveiligingslandschap, en het is niet de gebruikelijke verdachte. Deze trojan, SilentRoute genaamd, is ontdekt in een nepversie van SonicWall's veelgebruikte NetExtender VPN-client. De aanval is gericht op gebruikers die legitieme software willen downloaden en hen ertoe verleiden een gecompromitteerde versie te installeren.

NetExtender is in essentie bedoeld om externe gebruikers veilig te verbinden met bedrijfsnetwerken, zodat ze toegang hebben tot bestanden, interne applicaties en andere bronnen alsof ze aan een bureau op kantoor zitten. Wanneer deze echter als wapen wordt gebruikt, zoals SilentRoute, wordt deze connectiviteit een toegangspoort voor aanvallers om gevoelige gegevens rechtstreeks van het apparaat van de gebruiker te stelen. Uiteraard is SonicWall niet betrokken bij de verspreiding van deze malware.

De infiltratiemethode van SilentRoute

De geïnfecteerde software, die zich voordeed als versie 10.3.2.27 van NetExtender, werd ontdekt via een frauduleuze website die inmiddels offline is gehaald. Wat de list overtuigend maakt, is dat het installatieprogramma digitaal ondertekend was – blijkbaar door een legitiem bedrijf genaamd CITYLIGHT MEDIA PRIVATE LIMITED. Deze digitale handtekening heeft waarschijnlijk geholpen om de scepsis van gebruikers en beveiligingsmaatregelen te omzeilen.

Microsoft, dat samenwerkte met SonicWall om de campagne te onderzoeken, identificeerde de trojan en volgde de verspreiding ervan. De aanvallers lijken bekende maar effectieve methoden te hebben gebruikt om slachtoffers te lokken – tactieken zoals zoekmachineoptimalisatie (SEO), spearphishing en zelfs malvertising om de namaaksoftware te verspreiden. Gebruikers die online naar NetExtender zochten, zijn mogelijk onbewust op de kwaadaardige site terechtgekomen, hebben de nepclient gedownload en daarbij hun inloggegevens prijsgegeven.

Hoe SilentRoute achter de schermen werkt

Eenmaal geïnstalleerd, gedraagt de kwaadaardige versie van NetExtender zich bedrieglijk als de echte applicatie. Maar onder de motorkap zijn twee van de belangrijkste componenten – NeService.exe en NetExtender.exe – aangepast om configuratiegegevens naar een door een aanvaller beheerde server te sturen. Deze gegevens omvatten inloggegevens zoals gebruikersnamen, wachtwoorden, domeinnamen en andere configuratiegegevens die essentieel zijn voor VPN-toegang.

De malware doet dit door het verbindingsproces te kapen. Wanneer gebruikers hun VPN-gegevens invoeren en op "Verbinden" klikken, onderschept de schadelijke code de informatie en verzendt deze via poort 8080 naar een externe server met IP-adres 132.196.198.163. De malware omzeilt bovendien de gebruikelijke certificaatcontroles, waardoor de gemanipuleerde bestanden geen onmiddellijke waarschuwingssignalen opleveren.

Wat dit betekent voor gebruikers en organisaties

De implicaties van deze campagne gaan verder dan diefstal van individuele inloggegevens. Omdat VPN's vaak de eerste toegangslijn tot een beveiligd bedrijfsnetwerk vormen, kunnen gecompromitteerde inloggegevens aanvallers aanzienlijke privileges verlenen, waardoor zij laterale verplaatsing, data-exfiltratie en langdurige surveillance mogelijk worden. Voor organisaties die afhankelijk zijn van een infrastructuur voor werken op afstand, vormt SilentRoute een ernstig risico voor interne systemen en gevoelige gegevens.

Bovendien compliceert het misleidende gebruik van digitale handtekeningen het detectieproces verder. Door de malware te ondertekenen met wat een geldig certificaat lijkt, omzeilen aanvallers veel conventionele antivirus- en endpoint protection-tools, met name die welke afhankelijk zijn van detectie op basis van handtekeningen.

Het bredere dreigingslandschap: EvilConwi en gerelateerde campagnes

SilentRoute is geen op zichzelf staand incident. Rond dezelfde tijd meldde het Duitse cybersecuritybedrijf G DATA een verwante dreigingscluster genaamd EvilConwi , waarbij aanvallers op vergelijkbare wijze vertrouwde tools – in dit geval ConnectWise-installatieprogramma's – manipuleerden om malware te verspreiden. Deze campagnes maken gebruik van 'authenticode stuffing', een techniek waarmee kwaadaardige code kan worden geïnjecteerd zonder de digitale handtekening van een bestand te kraken.

Infecties in het geval van EvilConwi beginnen vaak met phishingmails die linken naar een Canva-pagina, die vervolgens een gemanipuleerd ConnectWise-installatieprogramma downloadt. Van daaruit implementeren aanvallers neppe Windows-updateschermen om te voorkomen dat slachtoffers hun systemen afsluiten terwijl er op de achtergrond stilletjes toegang op afstand wordt verkregen.

Deze bredere trend onderstreept een groeiende tactiek onder cybercriminelen: ze misbruiken de legitimiteit van bekende software om hun activiteiten te verhullen. Hierdoor worden hun activiteiten moeilijker te detecteren en gemakkelijker te vertrouwen.

Vooruitlopen op de dreiging

De SilentRoute-campagne onderstreept het belang van waakzaamheid bij het downloaden van software, met name tools voor beveiliging en toegang op afstand. Gebruikers en beheerders moeten altijd de bron van downloads controleren, idealiter rechtstreeks van officiële websites van leveranciers in plaats van te vertrouwen op zoekmachineresultaten.

Voor organisaties is dit ook een wake-upcall om de endpoint monitoring te versterken, waar mogelijk certificaatpinning te implementeren en gedragsgebaseerde detectiemechanismen te overwegen die ongebruikelijke netwerkactiviteiten of bestandswijzigingen kunnen signaleren.

Naarmate aanvallers steeds bedrevener worden in het verbergen van hun intenties via vertrouwde kanalen, moeten cyberbeveiligingsmaatregelen parallel evolueren. De SilentRoute Trojan herinnert ons eraan dat vertrouwen – met name in software – constant geverifieerd moet worden, en niet verondersteld.