Barracuda waarschuwt: misbruik van vertrouwde software en zwakke firewallregels vergroten aanvalsoppervlak van organisaties

Uit de nieuwste Barracuda SOC Threat Radar blijkt dat cybercriminelen op grote schaal misbruik maken van vertrouwde software, verkeerd geconfigureerde firewalls en openstaande remote-access diensten. Deze en andere incidenten die onlangs zijn geneutraliseerd door Barracuda Managed XDR laten zien hoe aanvallers actieve kwetsbaarheden scannen en legitieme beheertools misbruiken om langdurig toegang te krijgen tot bedrijfsnetwerken.  

• Aanvallers scannen op kwetsbare GlobalProtect-installaties (CVE-2026-0257): CVE-2026-0257 is een kwetsbaarheid in de GlobalProtect-diensten van Palo Alto waarmee aanvallers authenticatie kunnen omzeilen en VPN-sessies kunnen starten als een legitieme gebruiker. Het SOC-team van Barracuda detecteerde twee golven van scanactiviteit, gericht op publiek toegankelijke GlobalProtect-diensten in België om niet-gepatchte systemen op te sporen.
• Advies: pas securityupdates van de leverancier zo snel mogelijk toe, beperk de toegang tot VPN-portals via IP-allowlists en netwerksegmentatie, dwing MFA af en schakel cookies voor het omzeilen van authenticatie uit als deze niet nodig zijn.
• Credential stuffing-campagne legt risico's van zwakke firewallregels bloot: Het SOC-team detecteerde aanvallers die via credential stuffing toegang probeerden te krijgen tot de Fortinet remote-access VPN bij een klant. Onderzoek bracht een kritieke misconfiguratie van de firewall aan het licht die brede internettoegang toestond tot diensten met een hoog risico zoals SSL VPN, RDP en Telnet, wat direct de aandacht trok van meerdere scangroepen.
• Advies: beperk externe toegang tot bedrijfskritische diensten, verwijder verouderde protocollen zoals Telnet, dwing MFA af voor alle remote access en controleer firewallregels regelmatig volgens het principe van de minst mogelijke privileges (‘least privilege’).

• Misbruik van vertrouwde software (ScreenConnect) voor permanente toegang: Het SOC-team identificeerde een actief Remote Access Trojan (RAT) -incident waarbij ScreenConnect-software (ConnectWise Control) werd misbruikt om permanente remote access-toegang te verkrijgen. Niet-geautoriseerde clients waren geconfigureerd in de Windows System32-map en communiceerden via niet-standaard poorten, wat aansluit op de trend van ‘living off trusted software’ om op te gaan in normaal netwerkverkeer.
• Advies: houd een strikte inventaris bij van goedgekeurde beheertools, beperk lokale adminrechten, monitor op verbindingen met onbekende beheerinfrastructuur en isoleer getroffen systemen direct bij verdachte activiteit. 

Belangrijkste bevindingen van het SOC: de incidenten die de afgelopen maand door Barracuda Managed XDR zijn tegengehouden, onderstrepen het voortdurende risico van aanvallers die legitieme software en openstaande beheerdiensten misbruiken. Proactieve 24/7 monitoring op gedragsniveau en een gelaagde security zijn absoluut noodzakelijk om deze geautomatiseerde en gerichte dreigingen tijdig te neutraliseren.  

Meer informatie is te vinden op https://blog.barracuda.com/2026/08/26/soc-threat-radar-august-2026-remote-access-threats.