Hoe een klein foutje leidt tot volledige controle over je IT-omgeving
In onze vorige blog: Zo kraken aanvallers jouw organisatie via identiteitsmisbruik lieten we zien hoe aanvallen vaak beginnen bij iets simpels: een vergeten account, een misconfiguratie, of het ontbreken van MFA. Maar dat is pas het begin. Want als een aanvaller eenmaal binnen is, begint het echte werk pas. In dit vervolg nemen we je mee in het hoofd van een aanvaller. Hoe hij zich verplaatst, privileges verhoogt, zich onzichtbaar maakt — en uiteindelijk volledige controle over je omgeving krijgt. Stap voor stap. Kinderlijk eenvoudig…
Stap 1: Een gestolen inlog. Niet spannend, maar effectief
Het begint vaak met een gestolen wachtwoord. Misschien via een credential stealer op een besmet device, misschien via een datalek van een extern platform. De aanvaller test de inlog op je VPN of Microsoft 365-account. Geen MFA? Dan is hij binnen. MITRE ATT&CK: T1078 – Valid Accounts (Initial Access / Persistence)
Bonus voor de aanvaller:
Als legacy protocollen als IMAP, POP3 of SMTP AUTH nog aanstaan, werken veel MFA-mechanismen niet eens. Welkom in je netwerk.
Stap 2: Verkennen zonder op te vallen
Eenmaal binnen gebruikt de aanvaller simpele tools om je omgeving te verkennen. Denk aan PowerView, SharpHound of BloodHound. Daarmee inventariseert hij:
- Wie is lid van welke groep?
- Waar staan fileshares open?
- Welke admin-accounts bestaan er?
- Welke servers zijn bereikbaar?
MITRE ATT&CK: T1087– Account Discovery
MITRE ATT&CK: T1069– Permission Groups Discovery
MITRE ATT&CK: T1018 – Remote System Discovery
En het mooiste? Je merkt hier meestal niks van. Want deze acties lijken op normaal gebruikersgedrag en worden dus vaak niet opgemerkt.
Stap 3: Privileges verhogen — zonder dat jij het merkt
De aanvaller zoekt naar “low-hanging fruit”:
- Een gebruiker met teveel rechten
- Een service account met admin privileges
- Een oud test of projectaccount dat nog steeds Domain Admin is
Via technieken als Kerberoasting of AS-REP Roasting, of simpelweg misbruik van gedeelde wachtwoorden, werkt hij zich omhoog in de piramide. Tot hij Domain Admin is met alle maar dan ook alle rechten van jouuw omgeving…
MITRE ATT&CK: T1558.003– Kerberoasting
MITRE ATT&CK: T1558.004– AS-REP Roasting
MITRE ATT&CK: T1068 – Exploitation for Privilege Escalation
Stap 4: Persistence — zorgen dat je niet zomaar meer van hem afkomt
Zodra de aanvaller volledige rechten heeft, maakt hij zichzelf onzichtbaar. Hij creëert nieuwe accounts. Past beveiliging instellingen aan. Zet scripts klaar die zichzelf opnieuw activeren. Misschien plaatst hij zelfs een backdoor ergens…
MITRE ATT&CK: T1136– Create Account
MITRE ATT&CK: T1053– Scheduled Task/Job
MITRE ATT&CK: T1547 – Boot or Logon Autostart Execution
Het doel: Als jij denkt dat je hem eruit hebt gegooid, zit hij er gewoon nog. Of hij loopt simpelweg door de achterdeur terug naar binnen…
Extra complexiteit en uitdaging: cloud én on-prem? Dubbel zo kwetsbaar
Veel organisaties bevinden zich tegenwoordig in een hybride realiteit: deels in de cloud, deels nog on-premise. En hoewel dat operationeel flexibiliteit biedt, creëert het ook een perfect speelveld voor aanvallers. Waarom? Omdat zij zich niets aantrekken van jouw IT-structuur of afdelingen. Ze zoeken naar de zwakste plek — en in hybride omgevingen zijn dat er meestal meerdere.
Aanvallers bewegen moeiteloos tussen cloud en on-prem
Zodra een aanvaller voet aan de grond krijgt, maakt het niet uit of dat via een on-prem laptop is of via een cloudapplicatie. Ze kunnen:
- Van cloud naar on-prem springen door tokens of credentials die op beide plekken toegang geven.
- Cloudbeheer gebruiken om lokaal beheer te verkrijgen (bijv. Azure AD accounts die lid zijn van lokale admins).
- Lokaal malware of scripts plaatsen die cloudresources benaderen, zoals Exchange Online of SharePoint.
- Identiteiten of sessies hergebruiken in beide werelden.
Zonder heldere afbakening en monitoring loop je het risico dat één fout toegang geeft tot alles.
Wat maakt dit zo lastig?
1. Inconsistente beveiliging
In de cloud heb je misschien MFA, Conditional Access en Identity Protection goed ingericht. Maar lokaal draait nog een oude fileserver waar een vergeten service account Domain Admin-rechten heeft — zonder wachtwoordrotatie of monitoring.
2. Verouderde protocollen en configuraties
On-premise draaien nog regelmatig:
- NTLM-authenticatie
- LDAP zonder signing
- Verouderde RDP-instellingen
- Scripts met hardcoded credentials
3. Gebrekkige zichtbaarheid en logging
Veel organisaties hebben logging wél in de cloud geregeld (bijv. met Microsoft Sentinel), maar lokaal ontbreekt het vaak aan:
- Windows Event forwarding
- SIEM-integratie
- Realtime monitoring van AD of RDP
4. Shadow IT en vergeten configuraties
Projectomgevingen, labservers of oude testomgevingen worden vaak vergeten in de beveiliging, maar hebben nog wel koppelingen met productiesystemen of cloud identities. Eén zo’n vergeten VM is soms genoeg voor een volledig datalek.
Hybride omgevingen zijn krachtig — maar zonder volledige zichtbaarheid, consistente policies en identity-first security ben je eigenlijk op twee fronten kwetsbaar. Aanvallers weten dat. Jij nu ook.
Conclusie: Identity Security is niet optioneel
Wat hierboven staat, klinkt als een complex scenario. Maar voor een gemiddelde aanvaller is het dagelijkse kost. Ze hoeven niet in te breken. Alleen maar slim te kijken. En als je identiteiten niet strak geregeld zijn, liggen de sleutels al klaar. Bij Route443 begrijpen we dat effectieve cybersecurity verder gaat dan alleen detectie en respons. Onze SOC++ dienst biedt een uitgebreide, proactieve benadering die verder kijkt dan traditionele Security Operations Centers (SOC).
Een van onze belangrijkste specialisaties is identiteitsbeveiliging — omdat we weten dat 90% van de cyberaanvallen begint met het compromitteren van een identiteit. Onze SOC++ is daarom uitgerust met revolutionaire ITDR-technieken, waarmee we aanvallen op identities niet alleen detecteren, maar ook realtime analyseren en blokkeren — voordat er schade ontstaat.
We helpen je de aanvalsvectoren van kwaadwillenden drastisch te beperken door identiteiten te beschermen en misbruik te voorkomen. Dit vermindert niet alleen de kans op aanvallen, maar ook de potentiële schade die daaruit voortvloeit.
Wil je weten hoe jouw organisatie ervoor staat? Vraag dan onze Digital Defense Review aan. We zoeken gericht naar identity-misconfiguraties, privilege-escalaties en kwetsbare accounts. En we doen dat op no cure, no pay-basis: je betaalt alleen als we iets vinden wat écht impact kan maken.
Ben je klaar om je identity security naar een hoger niveau te tillen? Neem contact met ons op via deze website of stuur een mail naar info@route443.eu. Wij helpen je graag met inzicht, strategie én directe actie om jouw organisatie beter te beschermen tegen moderne dreigingen.
