Nokoyawa

Managementsamenvatting

Nokoyawa is relevant omdat de groep een herkenbare ransomware- of afpersingsketen laat zien: Hive-achtige ransomwareactiviteit en exploitgedreven toegang, met nadruk op snelle post-exploitation. Voor bezoekers is dit geen naam om los te onthouden, maar een scenario om de eigen omgeving tegen te toetsen.

De belangrijkste vraag is waar de organisatie kwetsbaar is voordat encryptie zichtbaar wordt. Bij Nokoyawa ligt de verdedigbare fase vooral bij initiële toegang, laterale beweging, data discovery, staging, exfiltratie en misbruik van beheerrechten.

Het profiel is geschreven als praktisch CTI-dossier: wat doet de groep, welke artefacten zijn bekend, welke slachtoffers of sectoren komen terug en welke maatregelen verkleinen de kans dat dezelfde werkwijze succesvol is.

Groepering en ontwikkeling

Nokoyawa moet als levend profiel worden beheerd. Actoren wisselen tooling, affiliates, leak-sites en onderhandelaars, maar de operationele patronen blijven vaak herkenbaar.

Nokoyawa-slachtoffers passen in het bredere big-game ransomwaremodel waarbij toegang en snelheid belangrijker zijn dan sectorfocus.

Wanneer een groep ouder of minder actief wordt, blijft het dossier nuttig als caseprofiel zolang de aanvalstechnieken terugkomen bij nieuwe groepen. Daarom verwijderen we alleen echte ruisprofielen, niet historisch bruikbare groepen.

Aanvalspatroon uit publieke cases

Onderzoekers zagen Nokoyawa in 2022 en vergeleken de malware met Hive. Later werd Nokoyawa in CTI-context genoemd bij misbruik van CVE-2023-28252.

De aanvalsketen vraagt aandacht voor kwetsbaarheidsbeheer, privilege-escalatie, credentialgebruik en snelle laterale beweging.

De schade ontstaat meestal in fases. Eerst wordt toegang bruikbaar gemaakt, daarna wordt de omgeving begrepen, vervolgens wordt data verzameld of beheerbreedte opgebouwd, en pas daarna volgt encryptie, publicatie of verdere afpersing.

Bekende IOC's en artefacten

Gebruik harde IOC’s vooral voor retro-hunting en bevestiging. De structurele detectiewaarde zit in gedrag: remote access, toolgebruik, datastaging, privilegewijzigingen, service stops en ongebruikelijke bestandsactiviteit.

De aanvalsketen vraagt aandacht voor kwetsbaarheidsbeheer, privilege-escalatie, credentialgebruik en snelle laterale beweging.

Leg per incident vast welke bestanden, notes, extensies, command-lines, externe bestemmingen en accounts werkelijk zijn waargenomen. Dat voorkomt dat oude indicators als actuele waarheid worden behandeld.

Praktische detectielogica

Koppel identity aan endpointgedrag. Een verdachte login wordt pas echt relevant wanneer daarna discovery, remote execution, toolinstallatie, file-share access of data staging volgt.

Monitor gevoelige data op massale toegang, archivering en outbound transfer. Bij dubbele afpersing is dit vaak belangrijker dan de eerste encryptiemelding.

Controleer beheerplatformen, RDP, PowerShell, PsExec-achtig gedrag, RMM-tools en hypervisor- of back-upconsoles op afwijkend gebruik. Ransomware gebruikt vaak gewone beheerwegen.

Concrete hardeningprioriteiten

Patch privilege-escalatie- en edgekwetsbaarheden snel, monitor exploitfollow-up, LSASS/credentialaccess, RDP en deploymentgedrag.

Dwing MFA af op externe toegang, beperk RDP en VPN, segmenteer servers en bescherm back-ups buiten de normale domeinbeheerlaag.

Zorg dat logging centraal staat voor identity, VPN, EDR, firewall, Windows Event Logs, cloudopslag en back-upplatformen. Lokale logs alleen zijn onvoldoende bij ransomware.

Identiteit, naamgeving en attributie

Voor Nokoyawa begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: Nokoyawa ransomware. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor Nokoyawa is 2022-12-09. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij Nokoyawa toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Onderbouwing en betrouwbaarheid

Beoordeel het bronmateriaal over Nokoyawa per waarneming. Een technisch rapport kan een specifiek bestand of incident onderbouwen, zonder aan te tonen dat iedere uitvoerder dezelfde methode gebruikt. Een leksitebeschrijving legt een publieke bewering vast, niet de achterliggende toegang. Scheid citaten, interpretaties van onderzoekers en eigen loggegevens in de onderzoeksnotities. Leg vast welke conclusie zou veranderen wanneer een bron wordt ingetrokken of gecorrigeerd. Betrouwbaarheid volgt uit de kwaliteit en onafhankelijkheid van bewijs, niet uit de bekendheid van de groepsnaam. Ontbrekende technische rapportage is een informatieleemte, geen bewijs van uitzonderlijke geavanceerdheid en evenmin bewijs dat de actor onschadelijk is.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• WatchGuard Ransomware Tracker: Nokoyawa
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — Nokoyawa

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.