Maze

Managementsamenvatting

Maze is historisch een van de belangrijkste ransomwaregroepen omdat de operatie dubbele afpersing zichtbaar mainstream maakte. Waar oudere ransomware vooral draaide om versleuteling, gebruikte Maze gestolen data als extra drukmiddel. Voor bezoekers is Maze daarom geen actueel “nieuwe dreiging”-profiel, maar een kerncase voor waarom datadiefstal en leak-sites centraal staan in moderne ransomware.

Veel hedendaagse groepen gebruiken een model dat Maze hielp normaliseren: toegang verkrijgen, data verzamelen, systemen versleutelen en daarna publicatie dreigen. De groep zelf is niet meer dominant, maar het model is overal.

De belangrijkste les is dat verdediging tegen ransomware altijd ook verdediging tegen exfiltratie is. Back-ups herstellen bestanden, maar herstellen geen gelekte klantdata, contracten of persoonsgegevens.

Groepering en ontwikkeling

Maze werd actief rond 2019 en kreeg aandacht door het publiceren van gestolen data van slachtoffers die niet betaalden. Dit veranderde het machtsevenwicht in ransomwareonderhandelingen: zelfs organisaties met goede back-ups konden onder druk blijven door datalekrisico.

De operatie stopte later publiekelijk, maar het dubbele-afpersingsmodel werd door andere groepen overgenomen. Maze is daarom historisch relevant en hoort niet uit de profielen te verdwijnen.

In een actorbibliotheek moet Maze worden gebruikt als oorsprongsprofiel voor leak-site-afpersing en datagedreven druk.

Aanvalspatroon uit publieke cases

Maze-achtige aanvallen begonnen vaak met toegang via phishing, exploitatie of remote access, gevolgd door verkenning van interne data en laterale beweging. De specifieke vector verschilde per incident, maar het doel was consistent: data vinden die publicatiedruk oplevert.

De groep gebruikte publicatie van gestolen data als drukmiddel. Voor detectie betekent dit dat file access, staging, archivering en outbound verkeer eerder zichtbaar kunnen zijn dan encryptie.

De impactfase combineerde versleuteling met reputatie- en meldingsrisico. Dat is precies waarom moderne ransomware niet als puur beschikbaarheidsincident mag worden behandeld.

Bekende IOC's en artefacten

Maze-IOC’s zijn grotendeels historisch. Gebruik oude hashes en notes voor retro-hunting, maar vertrouw niet op deze indicatoren voor moderne detectie.

De belangrijkste artefacten zijn datastaging, leak-sitepublicatie, ransom notes en bewijsbestanden die aan slachtoffers worden getoond.

Gedragsmatig is Maze herkenbaar aan de combinatie van datadiefstal en encryptie.

Praktische detectielogica

Detecteer ongebruikelijke toegang tot kroonjuweeldata. Maze laat zien dat gevoelige data zelf het drukmiddel is.

Zoek naar compressie en staging op file servers. Grote archieven vlak voor encryptie zijn een klassieke dubbele-afpersingsindicator.

Koppel leak-siteclaims aan interne telemetry. Een claim is OSINT, geen technisch bewijs, maar moet direct leiden tot logonderzoek.

Concrete hardeningprioriteiten

Zet identity en remote access centraal. De meeste historische ransomwareketens begonnen niet met een magische payload, maar met geldige toegang, phishing, kwetsbare externe diensten of hergebruikte credentials. MFA, devicebinding, account hygiene en logging zijn de eerste verdedigingslaag.

Bescherm data voordat encryptie begint. Monitor massale file access, compressie, staging, cloudtransfer, Rclone-achtig gedrag en ongebruikelijke outbound volumes. Dubbele afpersing maakt datadiefstal net zo belangrijk als versleuteling.

Scheid back-up-, hypervisor- en beheeraccounts van gewone domeinroutes. Historische groepen verdwenen soms, maar hun les blijft: herstelbaarheid faalt wanneer dezelfde gecompromitteerde identiteit productie én herstel kan beheren.

Maak een datalekresponsplan onderdeel van ransomwarevoorbereiding. Juridische, contractuele en communicatiestappen moeten klaar zijn voordat een leak-siteclaim verschijnt.

Beperk brede datatoegang. Least privilege op file shares is een directe ransomwarecontrole.

Identiteit, naamgeving en attributie

Voor Maze begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: Maze ransomware. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor Maze is 2019-10-21. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij Maze toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• CISA Ransomware Guide
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — Maze

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.