Wat is remote code execution (RCE)?

Remote code execution (RCE) houdt in dat een aanvaller schadelijke code uitvoert op uw IT-infrastructuur. Het doel van RCE loopt uiteen van dieper doordringen in uw netwerk tot het stelen van informatie of het op andere wijze beschadigen, afpersen of bestelen van u of uw bedrijf. Daarom is het van groot belang om uw computers en netwerk te beschermen tegen RCE-aanvallen.

Dit artikel legt uit wat remote code execution is en welke gevolgen RCE heeft voor uw bedrijf. Daarnaast komen de mechanismen aan bod waarmee uw infrastructuur wordt misbruikt, de mogelijke risico’s en de preventiestrategieën tegen RCE die u zou moeten invoeren.

Bekijk ‘Wat is remote code execution (RCE)?’ in de praktijk. Bekijk deze korte videogids.

Wat is remote code execution (RCE)?

RCE verwijst naar aanvallen die op afstand worden uitgevoerd met schadelijke code die uw IT-infrastructuur binnendringt. Het kernidee achter RCE is dat er vooraf geen enkel toegangsniveau nodig is voor een geslaagde exploit, in tegenstelling tot local code execution (LCE), waarbij de aanvaller al over bepaalde gebruikersrechten op het systeem beschikt.

Let op: zowel RCE als LCE staan bekend als arbitrary code execution (ACE).

Zo werken RCE-aanvallen

RCE-aanvallen maken gebruik van kwetsbaarheden in uw netwerkinfrastructuur, computersystemen of webapplicaties om schadelijke code uit te voeren op machines die met het netwerk zijn verbonden. Zodra een kwetsbaarheid is gevonden die remote code execution mogelijk maakt, kan die worden misbruikt voor kwaadaardige handelingen en om uw netwerk verder bloot te stellen aan cyberaanvallen.

Kwetsbaarheden die RCE kan misbruiken

RCE-aanvallers richten zich doorgaans op de volgende kwetsbaarheden en exploitatietechnieken om een RCE-aanval op uw infrastructuur te laten slagen:

• Injectieaanvallen: ook bekend als command- en code-injectie. Deze aanval kan leiden tot remote code execution wanneer invoer niet goed wordt gevalideerd (bijvoorbeeld invoer uit webformulieren die wordt gebruikt om shell-commando’s of SQL-statements uit te voeren).
• Buffer overflow of out-of-bounds write: een buffer overflow treedt op wanneer er meer data naar een buffer wordt geschreven (een plek in het computergeheugen voor tijdelijke data) dan die kan bevatten, waardoor bestaande data van de draaiende applicatie wordt overschreven. Als die nieuwe data schadelijke code bevat, kan het systeem op afstand die code uitvoeren.
• Deserialisatie: serialisatie en deserialisatie is het proces waarbij data wordt omgezet in tekenreeksen voor verzending. Als de data die naar het deserialiserende programma wordt gestuurd schadelijke code bevat, kan het programma die uitvoeren wanneer er geen goede validatie of sanitatie plaatsvindt.
• Bestandsbeheer: sommige webapplicaties laten gebruikers bestanden uploaden naar een server. Aanvallers kunnen toegang krijgen tot die server en schadelijke bestanden uploaden die de applicatie vervolgens uitvoert.

Alle software die met een netwerk is verbonden, is kwetsbaar voor RCE. U moet dus stevige IT-beveiligingsmaatregelen treffen om uzelf en uw organisatie te beschermen tegen cyberincidenten.

Hoe aanvallers RCE inzetten

Met RCE kunnen hackers veelvoorkomende cyberdreigingen verder uitbuiten. Een paar manieren waarop aanvallers RCE gebruiken om cyberaanvallen gevaarlijker te maken:

• Ongeautoriseerde toegang op afstand: met RCE krijgen aanvallers een eerste voet aan de grond binnen een bedrijfsnetwerk. Eenmaal binnen kunnen ze hun bereik op afstand uitbreiden. Zo kunnen ze inloggegevens verzamelen om via een VPN of andere toegangspunten interne systemen binnen te dringen.
• Verspreiding van malware: RCE-exploits maken het uitvoeren van code mogelijk, maar wat er precies kan draaien is vaak beperkt. Om die beperkingen te omzeilen, gebruiken cybercriminelen RCE vaak als bezorgmechanisme voor geavanceerdere en destructievere payloads (zoals ransomware die rechtstreeks op een gecompromitteerd systeem wordt geplaatst).
• Datadiefstal: door commando’s uit te voeren binnen een kwetsbare applicatie krijgen aanvallers ongeautoriseerde toegang tot bestandssystemen, databases en andere opslagplaatsen met gevoelige bedrijfs- en klantgegevens.
• Vernietiging van data: RCE kan aanvallers hetzelfde toegangsniveau geven als een legitieme gebruiker, waardoor ze bestanden kunnen wissen, destructieve terminalcommando’s kunnen uitvoeren of database-instructies kunnen geven die kritieke records definitief verwijderen.
• Denial-of-service-aanvallen (DoS): out-of-bounds write-kwetsbaarheden kunnen worden misbruikt om essentiële code te overschrijven, waardoor applicaties crashen. Breder gezien kan RCE worden gebruikt om processen geforceerd te beëindigen of bedrijfskritische data te verwijderen, waarmee de bedrijfsvoering wordt verstoord of stilgelegd.

Strategieën om RCE-kwetsbaarheden te detecteren en voorkomen

Om uw IT-infrastructuur en data goed te beschermen en de bedrijfscontinuïteit te waarborgen, moet u actief maatregelen nemen tegen RCE-aanvallen. Denk aan het inzetten van endpoint detection and response (EDR) en van beveiliging op netwerkniveau zoals firewalls, zodat een aanvaller na een geslaagde RCE-exploit niet verder kan doordringen.

Breng regelmatig uw mogelijke cyberkwetsbaarheden in kaart en zorg dat uw software altijd up-to-date is, zodat u beschermd bent tegen bekende RCE-exploits in de software waarop u vertrouwt. Gebruikt u verouderde of ongepatchte software, beperk dan de netwerktoegang daarvan zodat die niet kan worden gebruikt om een voet aan de grond te krijgen in uw systemen. Zet daarnaast een oplossing voor netwerk-Monitoring in die uw IT-team notificaties stuurt bij verdachte activiteit, als bescherming tegen zero-day-aanvallen.

Ontwikkelt u zelf software in huis, beoordeel dan regelmatig uw code en de bijbehorende dependencies op RCE-kwetsbaarheden. Tools voor statische codeanalyse helpen problemen in uw software op te sporen door potentieel onveilige code te signaleren (bijvoorbeeld functies waarmee ongevalideerde code aan de shell wordt doorgegeven). Met dynamische analysetools kunt u bovendien uw gecompileerde en draaiende applicaties onderzoeken om kwetsbaarheden te vinden die statische analyse mist.

Voer regelmatig penetratietests uit om aanvallen te simuleren en mogelijk misbruikbare remote code execution-kwetsbaarheden en andere zwakke plekken in uw beveiliging bloot te leggen. Zo controleert u ook of uw oplossingen voor Monitoring en logging een aanval in uitvoering daadwerkelijk kunnen detecteren.

Mogelijke risico’s en gevolgen van RCE

Voor remote code execution is geen fysieke toegang nodig en zonder goede Monitoring en beveiligingsmaatregelen blijft het vaak onopgemerkt. Een geslaagde RCE-aanval op de IT-infrastructuur van uw bedrijf brengt onder meer de volgende risico’s met zich mee:

• Verdere infiltratie van uw systemen: zodra kwaadwillenden een voet aan de grond hebben, kunnen ze aanvullende toegang verkrijgen. Een gecompromitteerde, openbaar toegankelijke webserver kan bijvoorbeeld worden gebruikt om interne IT-middelen te bereiken waarmee die server verbinding heeft, ook als die middelen achter firewalls zitten en niet publiek benaderbaar zijn.
• Toegang tot gevoelige of beschermde gegevens: vertrouwelijke bedrijfsinformatie en de gegevens die u over uw gebruikers verwerkt en opslaat, waaronder persoonlijk identificeerbare informatie (PII), zijn bijzonder waardevol voor aanvallers en kunnen worden gebruikt om uw bedrijf of uw klanten af te persen. Lekken van PII schaden de reputatie van uw bedrijf en kunnen daarnaast juridische gevolgen hebben onder privacywetgeving zoals de GDPR en de
• Verspreiding van malware (inclusief rootkits): zodra code met succes kan worden uitgevoerd op een systeem op afstand, kan die worden gebruikt om malware te installeren: rootkits voor permanente toegang en backdoors, trojans om data te exfiltreren en ransomware die u de toegang tot uw bestanden ontzegt (en de inhoud ervan zelfs openbaar kan maken) tenzij u de aanvaller betaalt.

De ontwrichting door cyberaanvallen kan funest zijn voor het voortbestaan van een bedrijf. Het verlies van operationele data of aansprakelijkheid voor het misbruik van gereguleerde gegevens heeft al veel bedrijven de kop gekost.

RCE-aanvallen uit de praktijk

Er zijn verschillende bekende voorbeelden van wat er gebeurt als een bedrijf onvoldoende maatregelen treft tegen cyberdreigingen. Het datalek bij Equifax in 2017 ontstond door een RCE-exploit in het webframework Apache Struts, waarbij de persoonsgegevens van meer dan 143 miljoen mensen werden gecompromitteerd. Dat leidde tot een schikking van minstens 1,38 miljard dollar en tot een verlaging van de kredietwaardigheid van het bedrijf.

In 2021 maakten meerdere zero-day-exploits remote code execution mogelijk in Microsoft Exchange Server, waarmee hackers data konden stelen en backdoors in systemen konden installeren. Dit resulteerde wereldwijd in duizenden datalekken bij organisaties die het e-mailplatform gebruikten (de werkelijke impact zal misschien nooit bekend worden) en in aanzienlijke reputatieschade.

Een beruchte RCE-kwetsbaarheid die meerdere softwareproducten en platforms trof en op grote schaal werd misbruikt, is Log4Shell in Log4j. Deze software draait op miljoenen systemen en omdat ze zo eenvoudig te misbruiken was, leidde dit tot RCE-aanvallen op software van talloze leveranciers die de logging-utility Log4j in hun commerciële software en interne tools gebruikten.

Reageren op en beperken van een RCE-aanval

U moet beleid en mechanismen hebben om een geslaagde RCE-aanval op uw bedrijf aan te pakken. Daar horen training van medewerkers in het herkennen van en reageren op cyberincidenten bij, plus Monitoring en alarmering (waaronder intrusion detection systems) zodat een aanval direct kan worden aangepakt.

Zodra een aanval is ingedamd, moet de impact worden beoordeeld en moeten uw systemen worden onderzocht en resterende dreigingen worden verwijderd. Draai daarbij alle wijzigingen terug die de schadelijke code heeft aangebracht, inclusief het verwijderen van malware en het ongedaan maken van configuratiewijzigingen die een backdoor in uw systemen hebben gecreëerd.

Backup en disaster recovery zijn hier cruciaal: u kunt mogelijk terugvallen op een betrouwbare staat van vóór de aanval, wat de hersteltijd enorm verkort. Is dat niet mogelijk, dan kunt u configuraties en bestanden vergelijken om te achterhalen wat de aanvaller heeft gedaan. Bij een ransomware-aanval als gevolg van RCE is herstellen vanaf een back-up soms de enige manier om de bedrijfscontinuïteit te waarborgen.

Zodra een aanval is gestopt en hersteld, hoort daar een uitgebreide evaluatie achteraf bij. Breng de aanvalsvector in kaart en patch de kwetsbaarheid die bij de aanval is gebruikt. Beoordeel de reactietijd en de bedrijfsimpact van de aanval en pas waar nodig het beleid en de processen aan die zijn gebruikt om de aanval te beperken.

Bekijk ‘Wat is remote code execution (RCE)?‘ in de praktijk. Bekijk deze korte videogids.

Bescherming tegen remote code execution op enterpriseschaal

Een geslaagde RCE-aanval of andere cyberaanval op de IT-infrastructuur van uw organisatie kan catastrofaal zijn en onverwachte kosten en juridische gevolgen veroorzaken waarvan herstel lastig is. Naarmate IT-infrastructuur complexer wordt en zich uitstrekt over meerdere softwareplatforms in hybride on-premises- en cloudomgevingen, heeft uw organisatie volledig zicht op het aanvalsoppervlak nodig om RCE-kwetsbaarheden eerder te vinden dan aanvallers.

NinjaOne biedt een oplossing voor Monitoring en beheer op afstand (RMM) waarmee u al uw endpoints en uw volledige IT-infrastructuur beheert, waar die zich ook bevinden. Zo neemt u proactieve maatregelen tegen remote code execution-aanvallen en herkent u verdacht gedrag dat op een lopende aanval kan wijzen.