Fog

Managementsamenvatting

Fog is relevant omdat de groep laat zien hoe VPN-toegang en snelle ransomwaredeployment sectoren zoals onderwijs en recreatie kunnen raken. Voor bezoekers is dit profiel bedoeld om de eigen omgeving te toetsen voordat een claim of encryptie zichtbaar wordt.

De kernvraag is welke stap in de keten u vroeg kunt stoppen: social engineering, kwetsbare externe toegang, geldige accounts, laterale beweging, datastaging, serviceverstoring of misbruik van beheerplatformen.

Dit dossier beschrijft daarom geen interne rapportage-eisen, maar operationele informatie: hoe de groep werkt, welke artefacten publiek bekend zijn, welke slachtofferpatronen terugkomen en welke maatregelen direct helpen.

Groepering en ontwikkeling

Arctic Wolf onderzocht vanaf mei 2024 Fog-incidenten tegen Amerikaanse organisaties in onderwijs en recreatie. Later beschreef Arctic Wolf verhoogde Fog- en Akira-activiteit gekoppeld aan SonicWall SSL VPN.

Actorgroepen veranderen snel van merk, affiliate of leak-site. Daarom is het profiel geschreven rond gedrag en betrouwbare bronwaarnemingen, niet alleen rond een naam in de feed.

Wanneer een groep vooral via leak-siteclaims bekend is, moet elke claim worden gekoppeld aan technische telemetry voordat er conclusies worden getrokken.

Aanvalspatroon uit publieke cases

Fog-incidenten draaien om initiële toegang, vaak via perimeter- of VPN-risico, gevolgd door snelle impact. De nadruk ligt op korte reactietijd en herstelvoorbereiding.

De aanval verloopt meestal in fases: initiële toegang, interne verkenning, privilegegebruik, datatoegang, exfiltratie en daarna encryptie of publicatiedruk. Het grootste verdedigingsvoordeel zit vóór de impactfase.

Let vooral op de koppeling tussen identity en tooling. Een enkele tool kan legitiem zijn; de combinatie met verdachte login, nieuwe rechten en databeweging maakt het incident.

Bekende IOC's en artefacten

Fog-artefacten zijn case-afhankelijk, maar VPN-logins, snelle bestandsencryptie, ransom notes en laterale beweging rond servers zijn belangrijke sporen.

Gebruik IOC’s voor retro-hunting, scopebepaling en bevestiging. Voor structurele detectie zijn gedragspatronen belangrijker: remote access, data staging, service stops, RMM-misbruik en afwijkende outbound transfers.

Leg per incident bron, datum, confidence, host, account en command-line vast. Oude indicatoren zonder context kunnen ruis veroorzaken.

Slachtofferpatroon en lessen

Onderwijs en recreatie tonen dat sectoren met veel gebruikers, beperkte securitycapaciteit en operationele druk aantrekkelijk zijn.

Slachtofferpatronen moeten worden gebruikt als scenario’s: welke sector, welke afhankelijkheid, welke data, welke externe toegang en welke herstelmiddelen waren aantrekkelijk?

Een claim in dezelfde sector is vooral nuttig als checklist voor de eigen omgeving, niet als bewijs dat dezelfde actor technisch binnen is.

Praktische detectielogica

Detecteer verdachte SSL VPN-logins, nieuwe apparaten, impossible travel, gevolgd door file-share access en encryptiepatronen.

Correlatie is belangrijker dan losse alerts. Combineer VPN/SSO, endpoint, serverlogs, file access, cloudopslag, firewall en back-upplatformen in één tijdlijn.

Detecteer voorbereidende fases: discovery, archivering, Rclone- of cloudsyncgebruik, remote execution, service stops en toegang tot back-up- of hypervisorbeheer.

Concrete hardeningprioriteiten

Patch en monitor SonicWall/SSL VPN en andere edgeapparatuur, beperk VPN-segmenten en test herstel voor onderwijs- en publieke dienstverlening.

Dwing MFA af op remote access, sluit directe RDP waar mogelijk, beperk beheer tot jump hosts en monitor leveranciersaccounts. Maak datatoegang zichtbaar op file shares en cloudomgevingen.

Bescherm back-ups en virtualisatie met aparte accounts, logging en netwerkrestricties. Herstelbaarheid moet buiten bereik van een gecompromitteerd domein blijven.

Identiteit, naamgeving en attributie

Voor Fog begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: Fog ransomware. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor Fog is 2024-07-16. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij Fog toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• Arctic Wolf: Lost in the Fog
• Arctic Wolf: Fog and Akira activity linked to SonicWall SSL VPN
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — Fog

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.