Sabbath

Managementsamenvatting

Sabbath wordt in publieke dreigingsanalyse gekoppeld aan een actorcluster dat eerder onder andere namen werd gevolgd, waaronder UNC2190 en Arcane. Voor bezoekers is vooral relevant dat zulke clusters niet altijd netjes onder één merk blijven opereren.

De kern van het risico is hands-on-keyboard ransomware: een actor die toegang gebruikt om intern te verkennen, privileges uit te breiden, data te verzamelen, security te verstoren en daarna encryptie of publicatiedruk inzet.

Voor besluitvorming betekent dit dat een Sabbath-achtige dreiging niet kan worden opgelost met alleen antivirus of back-ups. Identity, remote access, logging, datavisibiliteit en herstelarchitectuur moeten samen worden beoordeeld.

Groepering en ontwikkeling

Mandiant beschreef Sabbath als een rebrand of voortzetting van eerder gevolgde activiteit rond UNC2190/Arcane. De groep illustreert hoe ransomwaremerken kunnen wisselen terwijl operators, toegangsmethoden of werkwijzen gedeeltelijk herkenbaar blijven.

De publieke rapportage wijst op afpersing met leak-sitecomponent en gerichte intrusies. Hierdoor is slachtofferduiding belangrijk: claims kunnen technische impact, datadiefstal of beide betekenen.

Werkwijze en aanvalsketen

Onderzoek begint bij initial access en persistence. Controleer VPN, RDP, webshells, remote management, geldige accounts, MFA-hiaten en externe leveranciers. Sabbath-achtige intrusies vragen om een tijdlijn die dagen of weken vóór encryptie begint.

In de middenfase moet worden gezocht naar discovery, credential access, lateral movement, privilege escalation en security impairment. Denk aan PowerShell, WMI, remote services, PsExec-achtig gedrag, LSASS-toegang, group membership changes en uitschakelen van EDR of logging.

Datadiefstal en publicatiedruk zijn cruciaal. Zoek naar archieven, stagingdirectories, file share traversal, Rclone-achtig gedrag, cloud uploads en outbound verkeer dat niet past bij de normale bedrijfsprocessen.

Bekende IOC's en artefacten

Gebruik Sabbath-IOC’s alleen met bron en datum. Bij rebrands is gedrag stabieler dan infrastructuur: remote access, discovery, credential access, staging, exfiltratie en impactvoorbereiding.

Artefacten kunnen bestaan uit ransom notes, leak-siteclaims, malwarebinaries, webshells, command-lines, security tool impairment en datastagingmappen.

Slachtofferpatroon en lessen

Sabbath is vooral een les in actorcontinuïteit. Een nieuwe naam kan voortkomen uit bestaande operators. Organisaties moeten daarom op gedrag detecteren en niet wachten tot een merknaam bekend is.

Claims bij sectorgenoten zijn nuttig om eigen toegangsroutes en datarisico te controleren. Vooral organisaties met brede Windows-domeinen, veel remote beheer en zwakke logging zijn kwetsbaar.

Hoe u zich wapent

Dwing MFA af, beperk remote access, gebruik privileged access workstations of jump hosts en monitor alle wijzigingen in privileged groups.

Maak datadiefstal zichtbaar met file access logging, cloud audit logs, proxy/firewalltelemetry en EDR. Publicatiedruk is alleen goed te duiden als databeweging zichtbaar is.

Bescherm herstel: immutable/offline back-ups, gescheiden back-upaccounts, logging van back-upconsoleacties en hersteltesten zonder vertrouwen in het primaire domein.

Identiteit, naamgeving en attributie

Voor Sabbath begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: Sabbath ransomware, UNC2190, Arcane. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor Sabbath is 2021-11-22. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij Sabbath toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Onderbouwing en betrouwbaarheid

Beoordeel het bronmateriaal over Sabbath per waarneming. Een technisch rapport kan een specifiek bestand of incident onderbouwen, zonder aan te tonen dat iedere uitvoerder dezelfde methode gebruikt. Een leksitebeschrijving legt een publieke bewering vast, niet de achterliggende toegang. Scheid citaten, interpretaties van onderzoekers en eigen loggegevens in de onderzoeksnotities. Leg vast welke conclusie zou veranderen wanneer een bron wordt ingetrokken of gecorrigeerd. Betrouwbaarheid volgt uit de kwaliteit en onafhankelijkheid van bewijs, niet uit de bekendheid van de groepsnaam. Ontbrekende technische rapportage is een informatieleemte, geen bewijs van uitzonderlijke geavanceerdheid en evenmin bewijs dat de actor onschadelijk is.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• Mandiant: Sabbath ransomware / UNC2190 context
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — Sabbath

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.