Hoe de aanval echt binnenkomt

Op 3 juli 2026 onthulden onderzoekers Nevan Beal en Sam Decker van Blackpoint Cyber, samen met Palo Alto Networks Unit 42, een tot dan toe onbekend modulair framework dat ze Avalon noemden. Het komt niet als een voor de hand liggende bijlage. De keten begint met een e-mail die een juridisch document nabootst en de ontvanger naar een met een wachtwoord beveiligd archief op Proton Drive leidt, en de kwaadaardige code reist in een ISO-schijfkopie in plaats van in een bestand dat de mailgateway zou scannen.

Het openen van de kopie koppelt die als een schijf, en een als document vermomde Windows-snelkoppeling start MSBuild, een legitiem Microsoft-hulpmiddel, om ingebedde code te laden die eerst de gebeurtenislogboeken van Windows manipuleert en daarna Avalon binnenhaalt. Vrijwel alles draait in het geheugen en laat weinig sporen op schijf achter. Het monster werd op 11 maart 2026 naar VirusTotal geüpload en kreeg ongeveer vier maanden lang geen enkele detectie.

Het gaat eerst op de herstellaag af

Wat Avalon onderscheidt van gewone ransomware is de volgorde. Voor enige versleuteling verzamelt het framework inloggegevens uit browsers, wachtwoordkluizen en VPN-, SSH- en wifi-profielen, en beweegt het daarna lateraal naar precies wat herstel mogelijk zou maken: domeincontrollers, virtualisatiehosts zoals vCenter en Hyper-V, en back-upplatforms zoals Veeam, Acronis, NetApp en Synology. Onderweg wist het de Windows-schaduwkopieën.

Pas als de herstellaag is uitgeschakeld, versleutelt de CrownX-module de bestanden met geauthenticeerde AES-GCM-cryptografie. Het framework brengt ook eigen routines mee om zich te verbergen voor negen met naam genoemde producten: Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee en Bitdefender. De ongemakkelijke stelling is niet dat er weer ransomware bestaat; het is dat deze zo is gebouwd dat het standaardantwoord, we herstellen gewoon, al onwaar is voordat de versleuteling begint.

Wat dit verandert voor een exploitant

De praktische les hangt niet af van welk endpointmerk je draait. Als een pakket er speciaal op is gebouwd om er negen blind te maken en de back-ups eerst te wissen, wordt detectie een laag in plaats van de garantie, en de maatregel die nog werkt is een kopie die de aanvaller niet kan bereiken. Dat betekent minstens een onveranderlijke of offline kopie die zelfs een gecompromitteerde domeinbeheerder niet kan wissen, en een herstel dat je dit kwartaal echt hebt getest en niet slechts hebt aangenomen.

Twee details verhogen de inzet voor Europese exploitanten. Drie van de negen omzeilde middelen, Sophos, ESET en Bitdefender, zijn Europese steunpilaren, dus een groot deel van de regio gebruikt juist de producten waartegen dit pakket is afgesteld. En de onderzoekers zien tekenen van AI-ondersteunde ontwikkeling, wat de tijd en kennis verlaagt die een groep nodig heeft om iets zo gelaagds te bouwen, dus er komt meer. Onder NIS2 ligt de verantwoordelijkheid om dit aan te pakken bij het aangewezen bestuur, niet alleen bij het beveiligingsteam.

Lees hierna: Een enkele leverancierslek veroorzaakte de helft van Europa's ransomwareslachtoffers  |  Jailbreak-risico krijgt nu een ernstscore