NoEscape

Managementsamenvatting

NoEscape is relevant omdat de groep laat zien hoe RaaS-platformen affiliates kant-en-klare Windows/Linux payloads, leaksite en onderhandelingstooling bieden. Voor bezoekers is dit profiel bedoeld om de eigen omgeving te toetsen voordat een claim of encryptie zichtbaar wordt.

De kernvraag is welke stap in de keten u vroeg kunt stoppen: social engineering, kwetsbare externe toegang, geldige accounts, laterale beweging, datastaging, serviceverstoring of misbruik van beheerplatformen.

Dit dossier beschrijft daarom geen interne rapportage-eisen, maar operationele informatie: hoe de groep werkt, welke artefacten publiek bekend zijn, welke slachtofferpatronen terugkomen en welke maatregelen direct helpen.

Groepering en ontwikkeling

SentinelOne beschrijft NoEscape als RaaS dat in mei 2023 verscheen en claimt vanaf nul te zijn gebouwd. Het platform ondersteunt affiliates met managementpanel, victim chat, TOR-blog en payloadbeheer.

Actorgroepen veranderen snel van merk, affiliate of leak-site. Daarom is het profiel geschreven rond gedrag en betrouwbare bronwaarnemingen, niet alleen rond een naam in de feed.

Wanneer een groep vooral via leak-siteclaims bekend is, moet elke claim worden gekoppeld aan technische telemetry voordat er conclusies worden getrokken.

Aanvalspatroon uit publieke cases

NoEscape-payloads ondersteunen Windows en Linux en meerdere encryptiemodi. SentinelOne noemt RSA en ChaCha20 voor file encryption.

De aanval verloopt meestal in fases: initiële toegang, interne verkenning, privilegegebruik, datatoegang, exfiltratie en daarna encryptie of publicatiedruk. Het grootste verdedigingsvoordeel zit vóór de impactfase.

Let vooral op de koppeling tussen identity en tooling. Een enkele tool kan legitiem zijn; de combinatie met verdachte login, nieuwe rechten en databeweging maakt het incident.

Bekende IOC's en artefacten

Windows/Linuxpayloads, TOR leak blog, victim chat, affiliatepanel, ransom notes en encrypted files zijn kernartefacten.

Gebruik IOC’s voor retro-hunting, scopebepaling en bevestiging. Voor structurele detectie zijn gedragspatronen belangrijker: remote access, data staging, service stops, RMM-misbruik en afwijkende outbound transfers.

Leg per incident bron, datum, confidence, host, account en command-line vast. Oude indicatoren zonder context kunnen ruis veroorzaken.

Slachtofferpatroon en lessen

Targets verschillen per affiliate. De les is dat een professionele RaaS-infrastructuur snel verschillende sectoren kan raken.

Slachtofferpatronen moeten worden gebruikt als scenario’s: welke sector, welke afhankelijkheid, welke data, welke externe toegang en welke herstelmiddelen waren aantrekkelijk?

Een claim in dezelfde sector is vooral nuttig als checklist voor de eigen omgeving, niet als bewijs dat dezelfde actor technisch binnen is.

Praktische detectielogica

Detecteer payloadgeneratie/uitvoering op Linux en Windows, snelle file writes, onbekende binaries, TOR-contact en datastaging.

Correlatie is belangrijker dan losse alerts. Combineer VPN/SSO, endpoint, serverlogs, file access, cloudopslag, firewall en back-upplatformen in één tijdlijn.

Detecteer voorbereidende fases: discovery, archivering, Rclone- of cloudsyncgebruik, remote execution, service stops en toegang tot back-up- of hypervisorbeheer.

Concrete hardeningprioriteiten

Bescherm Linux en Windows gelijkwaardig, beperk privilege op servers en monitor TOR/proxygedrag waar dat niet bij normaal gebruik past.

Dwing MFA af op remote access, sluit directe RDP waar mogelijk, beperk beheer tot jump hosts en monitor leveranciersaccounts. Maak datatoegang zichtbaar op file shares en cloudomgevingen.

Bescherm back-ups en virtualisatie met aparte accounts, logging en netwerkrestricties. Herstelbaarheid moet buiten bereik van een gecompromitteerd domein blijven.

Identiteit, naamgeving en attributie

Voor NoEscape begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: NoEscape ransomware. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor NoEscape is 2023-06-12. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij NoEscape toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• SentinelOne: NoEscape ransomware analysis
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — NoEscape

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.