Benzona-ransomware: analyse en verdediging

In november 2025 dook er een geavanceerde nieuwe ransomware-stam op, bekend als Benzona, die snel naam maakte door organisaties in Europa, Azië en West-Afrika te viseren. Benzona opereert volgens een Ransomware-as-a-Service (RaaS) model en hanteert agressieve dubbele afpersingstactieken, waarbij wordt gedreigd gevoelige gegevens te lekken als niet aan de eisen wordt voldaan.

Deze analyse splitst de Benzona-aanvalsketen, Indicators of Compromise (IOC's) en verdedigingsstrategieën op, maar gaat verder dan het malware-onderzoek: u leest wat de extensie .benzona praktisch betekent, welke sporen u vastlegt vóórdat u een machine wist, en hoe een gecoördineerde reactie eruitziet voor een organisatie zonder eigen security Operations Center. Waarom het Nederlandse MKB een aantrekkelijk doelwit is voor dit soort afpersingsgroepen, behandelen we breed in Ransomware-as-a-Service (RaaS); dit artikel richt zich op de technische en operationele kant.

Benzona Ransomware Analyse

De Benzona Aanvalsketen

Benzona volgt een gestructureerde aanvalslevenscyclus die is ontworpen om de impact te maximaliseren en herstel te belemmeren.

1. Initiële Toegang & Uitvoering

Aanvallers krijgen doorgaans toegang via phishing-campagnes, gecompromitteerde inloggegevens of door misbruik te maken van ongepatchte kwetsbaarheden in openbare applicaties. Eenmaal binnen maakt de ransomware gebruik van:

Procesinjectie (T1055): Kwaadaardige code injecteren in legitieme processen om detectie te omzeilen.
Scripting Interpreters (T1059): Gebruikmaken van PowerShell om commando's uit te voeren en beveiligingscontroles uit te schakelen.

2. Ontwijking & Persistentie

Om toegang te behouden en antivirusdetectie te vermijden, doet Benzona het volgende:

Schakelt Herstel Uit: Het voert commando's uit om Volume Shadow Copies te verwijderen (vssadmin.exe Delete Shadows /All /Quiet) en Windows-herstelpunten te verwijderen.
Beëindigt Processen: Het doodt beveiligingssoftware en virtualisatieprocessen om analyse te voorkomen en ervoor te zorgen dat bestanden niet worden vergrendeld tijdens versleuteling.
Wijzigt Register: Het wijzigt registersleutels om persistentie na herstart te garanderen.

3. Versleuteling & Exfiltratie (Dubbele Afpersing)

Benzona gebruikt sterke cryptografische algoritmen om bestanden van slachtoffers te vergrendelen.

Bestandsextensie: Versleutelde bestanden krijgen de toevoeging .benzona (bijv. financieel_rapport.pdf.benzona).
Gegevensdiefstal: Vóór versleuteling exfiltreert de malware gevoelige gegevens naar een command-and-control (C2) server. Deze gestolen gegevens vormen het drukmiddel voor de tweede fase van afpersing.

4. De Losgeldbrief

Nadat de versleuteling is voltooid, wordt een losgeldbrief met de titel RECOVERY_INFO.txt achtergelaten in de getroffen mappen. De brief bevat doorgaans:

Een waarschuwing dat bestanden zijn versleuteld en gegevens zijn gestolen.
Een dreigement om de gegevens te publiceren als het losgeld niet binnen 72 uur wordt betaald.
Instructies om de Tor Browser te downloaden en een specifiek .onion chatportaal te bezoeken voor onderhandeling.

Indicators of Compromise (IOC's)

Beveiligingsteams moeten scannen op de volgende indicatoren om Benzona-activiteit te detecteren.

Bestandsindicatoren

Extensie: .benzona
Losgeldbrief: RECOVERY_INFO.txt

Netwerkindicatoren

Tor Chatportaal: http://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd.onion/
Leksite: http://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd.onion

Bestands Hashes (SHA-256)

09f7432834ce15e701aa7fcc84a9c2441c1c7e0a9cb66a6211845be73d2597cc
1c895eeb1d6ab9e5268759558c765b93f4c183557cb2c457857b91532ac61982

Wat de .benzona-extensie voor uw helpdesk betekent

In de praktijk meldt zich een medewerker met de vraag waarom documenten niet meer openen. De diagnose is snel gesteld: waar gisteren rapport.docx stond, staat nu rapport.docx.benzona, en in dezelfde map ligt een bestand RECOVERY_INFO.txt. Dat patroon impliceert drie dingen — en geen daarvan is een "gebruikersprobleem":

De versleuteling is op dat systeem doorgaans al afgerond. De extensie verwijderen of het losgeldbestand weggooien herstelt niets; de originele inhoud is cryptografisch opgesloten.
De verspreiding reikt waarschijnlijk verder dan één werkplek. Netwerkschijven en gedeelde mappen zijn aantrekkelijke doelen. Controleer direct alle bestandsservers en shares, niet alleen de pc waar de melding vandaan kwam.
Er is nog geen zekerheid over exfiltratie. De brief beweert dat gegevens zijn gestolen, maar of dat klopt, moet het onderzoek uitwijzen. Behandel de melding vanaf het eerste moment als mogelijk datalek.

Instrueer de helpdesk om dit type melding direct als beveiligingsincident te classificeren, de betrokken gebruiker niet meerdere keren opnieuw te laten opstarten en de zaak te escaleren naar één vaste incidentcoördinator. In onze Ransomware Ransom Note Database staan meer losgeldbrieven beschreven, zodat uw team het patroon herkent zonder eerst te hoeven zoeken.

Eerst sporen vastleggen, dan pas wissen

De reflex na een calamiteit is: opnieuw installeren en verder. Begrijpelijk, maar wis een getroffen machine nog niet voordat u minimaal het navolgende heeft vastgelegd — anders vernietigt u precies het bewijsmateriaal dat uw verzekeraar, uw jurist en een eventuele aangifte later nodig hebben:

Bewaar de losgeldbrief. Kopieer RECOVERY_INFO.txt naar een veilige, niet-geïnfecteerde locatie en maak screenshots van het scherm en van een aantal versleutelde bestandsnamen, inclusief de tijdstempels.
Leg de tijdlijn vast. Noteer wanneer het losgeldbestand werd aangemaakt, welke mappen als eerste geraakt lijken en op welk moment gebruikers voor het laatst normaal werkten. Dat venster bepaalt achteraf welke back-upversie nog bruikbaar is.
Verzamel lokale logbestanden. Logbestanden in %TEMP%, de Windows-gebeurtenislogboeken en recente mail- of VPN-sessies helpen bij het reconstrueren hoe de aanvallers zijn binnengekomen. Zet die bestanden op aparte media vóórdat er wordt gewist.
Laat een forensische kopie maken. Een bit-voor-bit image van de schijf, inclusief checksums ter verificatie, houdt de bewijslast vast voor uw cyberverzekeraar, uw jurist en een eventuele aangifte.
Verbreek netwerk, knip stroom later. Koppel de machine los van het netwerk, maar schakel hem niet meteen volledig uit: het werkgeheugen kan informatie bevatten over het proces en de versleutelingssleutels.

Waarom die zorgvuldigheid? Omdat zonder bewijs de invoerroute onbekend blijft. Herbouwt u de omgeving terwijl dezelfde lekkende inloggegevens of dezelfde ongepatchte service overeind staat, dan volgt het tweede incident binnen dagen.

Incidentrespons: de tijdlijn van een Benzona-incident

Een ransomware-aanval voelt chaotisch, maar de reactie kent een vaste volgorde. Onderstaande indeling is bedoeld voor MKB-organisaties zonder eigen beveiligingsteam.

Fase 1 — Detectie (de eerste minuten)

Wijs één incidentcoördinator aan die beslissingen mag nemen, en houd één gesprekslijn aan om tegenstrijdige instructies te voorkomen. Leg vanaf dat moment alle beslissingen, tijdstippen en waarnemingen vast. Controleer of uw cyberverzekering van toepassing is en of de polis voorschrijft dat u via hun incidentresponsepartner werkt — veel verzekeraars hanteren een goedgekeurde leverancierslijst en vergoeden werk dat erbuiten valt niet.

Fase 2 — Insluiting (de eerste uren)

Koppel getroffen werkstations en servers los van het netwerk. Schakel netwerkschijven en gedeelde mappen tijdelijk uit.
Blokkeer accounts die gecompromitteerd kunnen zijn en beperk VPN- en externe toegang tot het absolute minimum.
Stop geautomatiseerde back-upjobs, zodat een versleutelde toestand uw gezonde laatste kopie niet overschrijft, en maak de offline reservekopie fysiek onbereikbaar.

Fase 3 — Opruimen en herbouwen (dagen)

Herbouw getroffen systemen vanaf betrouwbare, schone media in plaats van de besmette schijf te "reinigen". Patch één keer volledig voordat systemen het netwerk weer op gaan: het lek waarmee de aanvallers binnenkwam wacht anders opnieuw. Vervang vervolgens alle wachtwoorden, inclusief service-accounts, lokale beheerders en VPN-credentials, want u weet niet welke inloggegevens zijn geroofd.

Fase 4 — Herstellen en verifiëren (dagen tot weken)

Herstel vanuit de onveranderlijke, offline back-up in volgorde van bedrijfsprioriteit: eerst wat de omzet direct raakt, pas daarna de gemaksapplicaties.
Controleer na elke herstelronde of bestanden daadwerkelijk openen — en scan herstelde mappen op restanten van versleutelde bestanden of actieve scripts.
Beoordeel of persoonsgegevens zijn gelekt en of er een meldplicht geldt; voor Nederlandse organisaties is de Autoriteit Persoonsgegevens het aangewezen aanspreekpunt.
Communiceer richting personeel en klanten op basis van vastgestelde feiten in plaats van aannames, en actualiseer wat u deelt zodra het onderzoek vordert.

Back-ups die ransomware niet wegpoetst: 3-2-1 met een offline kopie

Zoals hierboven zichtbaar werd, verwijdert Benzona online back-ups en schaduwkopieën actief. Uw back-upstrategie beslist daarom over het eindresultaat:

3-2-1, aangevuld met een offline kopie. Houd drie exemplaren van uw gegevens bij, op minimaal twee soorten media, waarvan er één offsite staat — het liefst fysiek losgekoppeld (een tape of schijf die u na de back-up opbergt) of als onveranderlijke cloud-snapshot met retention-lock. Een netwerkschijf in dezelfde ruimte telt daar niet voor.
Onveranderlijk waar het kan. Kopieën die tijdelijk niet gewist of gewijzigd kunnen worden, maken de tactiek van "eerst de back-ups verwijderen" zinloos.
Test met echte restore-oefeningen. Kies één keer per kwartaal willekeurig een dataset, herstel die naar een testomgeving en valideer de inhoud. Een back-up die u nooit hebt hersteld, is in de praktijk geen back-up maar een gok.

Ter indicatie van de inspanning: voor een MKB-organisatie met 10 tot 50 werkplekken valt deze configuratie — geplande back-ups per uur of per dag plus een kwartaal-oefening — doorgaans binnen een paar werkdagen per jaar te realiseren. Dat is een schatting; de exacte kosten hangen af van uw datavolume, de tariefstelling van uw leverancier en de bewaartermijnen die voor uw sector gelden.

Verdediging in lagen: patchbeheer, EDR en RDP-hardening

Preventie blijft goedkoper dan herstel. Deze maatregelen sluiten de deuren die Benzona-type aanvallen het vaakst gebruiken:

Geen openbare externe desktop. RDP of vergelijkbare remote-toegang hoort nooit rechtstreeks bereikbaar op het internet te staan. Werk op afstand loopt via een VPN met meervoudige verificatie (MFA), en accounts blokkeren na een beperkt aantal mislukte aanmeldpogingen.
Minst-bevoegde rechten. Werkstations krijgen geen lokale beheerrechten, en netwerkshares zijn alleen daar schrijfbaar waar een rol dat daadwerkelijk vereist. Hoe minder een geïnfecteerde pc kan overschrijven, hoe kleiner de schade.
Patch internetgerichte systemen het eerst. Richtwaarde uit de praktijk: kritieke beveiligingsupdates op systemen die rechtstreeks van het internet bereikbaar zijn, installeren binnen ongeveer 48 tot 72 uur. Ook dit is een indicatie — de haalbaarheid hangt af van uw onderhoudsvensters en leveranciersafspraken.
Stel EDR in op het antireparatiepatroon. De uitvoering van vssadmin.exe Delete Shadows /All /Quiet, massale bestandshernoemingen en procesinjectie zijn detectiesignalen op zichzelf. Laat uw endpoint-oplossing daarop alarmeren vóórdat de eerste .benzona-extensie verschijnt, in plaats van pas te reageren zodra de schade zichtbaar is.
Houd medewerkers scherp. Periodieke phishing-simulaties plus een korte, vaste procedure voor het melden van verdachte e-mail leveren in de praktijk meer op dan een eenmalige e-learning.

Betalen of herstellen: de afweging bij dubbele afpersing

Elke getroffen organisatie staat uiteindelijk voor dezelfde vraag. Drie overwegingen kleuren die afweging:

Betalen garandeert niet dat het probleem verdwijnt. Er zijn gedocumenteerde gevallen waarin sleutels defect bleken of nooit werden geleverd, en waarin gestolen gegevens alsnog op een leaksite verschenen. Er bestaat evenmin een garantie dat afpersers gestolen kopieën daadwerkelijk verwijderen.
Herstel is de route die u zelf in handen heeft. Met geteste, offline back-ups kiest u voor wat in de sector hold-to-recover heet: weigeren en terugkeren op uw eigen tempo en voorwaarden. Zonder bruikbare back-up verdwijnt die optie — daarom begint dit artikel rond de back-upstrategie.
De beslissing kent juridische randen. Betalen raakt aan sanctieregels en de omgang met gelekte persoonsgegevens; betrek uw jurist er vóóraf bij. Politie en justitie adviseren doorgaans tegen betalen; dit artikel sluit zich daar in grote lijnen bij aan en overlaat de beslissing uitdrukkelijk aan u. Staat u midden in een incident, doe dan in elk geval aangifte bij de politie en leg vast wat u besluit.

Er is momenteel geen gratis decryptor beschikbaar voor Benzona-ransomware en daarmee ontbreekt de makkelijke uitweg; de kosten van forensisch onderzoek, herbouw en verloren productiviteit verschillen sterk per organisatie en zijn slechts ruwweg in te schatten.

Wat u deze week kunt doen

Inventariseer waar RDP of andere remote-toegang nu rechtstreeks op het internet staat, en trek elke open poort direct achter de VPN.
Controleer of uw laatste back-up echt offline en leesbaar is — door een klein deel eruit te herstellen, niet door de groene statuspagina te bekijken.
Wijs een incidentcoördinator aan en noteer de contactgegevens van uw verzekeraar en een vertrouwd incidentresponsebureau op papier, buiten de netwerkomgeving zelf.
Plan voor het einde van de maand een korte restore-oefening in en documenteer de uitkomst: dat is de maatregel met de kleinste inspanning en de grootste schadebeperking.

Benzona Ransomware Analyse: IOC's, Decryptiemogelijkheden en Verdedigingsstrategieën