Gerelateerde artikelen
Microsoft heeft in november 2025 tevens en stilletjes een ernstig beveiligingslek in Windows 11 gedicht dat jarenlang door spionagegroepen is misbruikt.
Het gaat om een kwetsbaarheid in LNK-bestanden, voor snelkoppelingen, die tevens gebruikers misleidde door malafide commando’s te verbergen.
Achtergrond van de kwetsbaarheid
- De kwetsbaarheid, geregistreerd als CVE-2025-9491, zat in de manier waarop Windows .LNK-bestanden verwerkt.
- Aanvallers konden speciaal geprepareerde snelkoppelingen maken waarbij gevaarlijke commando’s verborgen bleven achter 260 witruimtes.
- Voor gebruikers leek het bestand onschuldig, omdat de eigenschappen slechts een deel van het commando toonden.
- Dit maakte het mogelijk om malware te starten zonder dat de gebruiker dit kon zien.
Wat is de LNK kwetsbaarheid
De LNK‑kwetsbaarheid is tevens een beveiligingslek in Windows waarbij malafide commando’s in snelkoppelingen (.LNK‑bestanden) waren verborgen, zodat gebruikers ze niet zagen.
Wat is een LNK‑bestand?
- Een .LNK‑bestand is een Windows‑snelkoppeling die verwijst naar een programma, map of bestand.
- In de eigenschappen van zo’n bestand staat het Target‑commando dat wordt uitgevoerd wanneer u erop klikt.
Hoe werkte de kwetsbaarheid?
- Door 260 witruimtes in het Target‑commando te plaatsen, was het zichtbare deel afgekapt.
- Het venster toonde alleen de eerste 260 karakters, terwijl het gevaarlijke commando daarna verborgen bleef.
- Voor de gebruiker leek de snelkoppeling dus veilig, echter in werkelijkheid kon het malware uitvoeren.
Waarom was dit gevaarlijk?
- Hackers konden vervolgens malware verspreiden via ogenschijnlijk normale snelkoppelingen.
- Onderzoek heeft uitgewezen dat de kwetsbaarheid al sinds 2017 actief werd misbruikt door spionagegroepen uit o.a. China, Iran, Noord‑Korea en Rusland.
- Bekende malware zoals PlugX maakte gebruik van deze techniek.
De Update
- Microsoft heeft het lek op 11 november 2025 stilletjes verholpen, Patch Dinsdag.
- Sindsdien toont Windows het volledige Target‑commando, waardoor verborgen instructies niet meer mogelijk zijn.
De LNK‑kwetsbaarheid maakte het dus mogelijk om schadelijke commando’s te verbergen in Windows‑snelkoppelingen, waardoor gebruikers ongemerkt malware konden starten.
Actief misbruik door spionagegroepen
- Sinds 2017 werd de kwetsbaarheid ingezet door diverse staat gesponsorde hackers uit onder meer China, Iran, Noord-Korea en Rusland.
- Onderzoeksbedrijven zoals Trend Micro en Arctic Wolf rapporteerden dat diplomaten en overheidsinstellingen in Europa doelwit waren.
- Bekende malware zoals PlugX en XDigo werd via deze methode verspreid.
Microsofts aanvankelijke weigering
- Het beveiligingslek werd in september 2024 gemeld door het Zero Day Initiative (ZDI).
- Microsoft stelde destijds dat het probleem “niet ernstig genoeg” was voor een patch.
- Pas nadat ZDI en andere onderzoekers de details openbaar maakten in maart 2025, kwam er bredere aandacht.
De stille Update
- In november 2025 ontdekte Acros Security dat Microsoft het lek tóch had verholpen, zonder dit te melden in de officiële Patch Dinsdag documentatie.
- Sindsdien toont Windows de volledige inhoud van het Target-commando in een LNK-bestand, waardoor verborgen instructies niet langer mogelijk zijn.
- Het feit dat Microsoft dit zonder aankondiging deed, roept vragen op over transparantie en communicatie richting gebruikers en securitygemeenschap.
Analyse: waarom is dit belangrijk
- Transparantie: Het stilletjes updaten van een actief misbruikt lek kan het vertrouwen in Microsoft ondermijnen.
- Risico’s: Gebruikers en bedrijven die niet weten dat een lek is verholpen, kunnen verkeerde aannames maken over hun beveiligingsstatus.
- Patroon: Microsoft heeft vaker kritiek gekregen op het laat of onvolledig communiceren van patches, wat de samenwerking met securityonderzoekers bemoeilijkt.
Conclusie
De stille Update van Microsoft voor de LNK-kwetsbaarheid laat zien hoe complex de balans is tussen openheid en risicobeheersing. Hoewel het lek nu gedicht is, blijft de vraag waarom een kwetsbaarheid die jarenlang door spionagegroepen werd misbruikt niet eerder en transparanter werd aangepakt. Voor gebruikers en organisaties is dit een herinnering dat update management en externe securitymeldingen cruciaal zijn om digitale veiligheid te waarborgen.
