--- id: CP-179 slug: autopsie-xz-utils-backdoor-nl lang: nl title: De XZ Utils-backdoor description: In maart 2024 wordt kwaadaardige code ontdekt in XZ Utils 5.6.0 en 5.6.1. Wat de CISA-waarschuwing zegt en wat een medewerker kan doen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “De XZ Utils-backdoor”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # De XZ Utils-backdoor Eind maart 2024 meldt de CISA dat zij reageert op meldingen van kwaadaardige code in XZ Utils, een programma voor gegevenscompressie. De versies 5.6.0 en 5.6.1 zijn getroffen, en de zaak krijgt de identificatiecode CVE-2024-3094 [1]. Voor een medewerker heeft dit soort incident een bijzonderheid: het komt niet via een verdacht bericht of een nepwebsite. Het loopt via legitieme software, die zoals gewoonlijk wordt geïnstalleerd of bijgewerkt. Deze pagina beschrijft wat de CISA heeft gepubliceerd en wat de naslagpagina's van MITRE ATT&CK zeggen over deze groep aanvallen. Ze gaat niet in op de voorbereiding van de aanval of op de ontdekking ervan: de hier aangehaalde bronnen bevatten die informatie niet. ## In 30 seconden - Waar het gebeurt: in XZ Utils, een programma voor gegevenscompressie dat aanwezig kan zijn in Linux-distributies [1]. - Wat de kwaadaardige code kan mogelijk maken: ongeautoriseerde toegang tot de getroffen systemen, volgens de CISA [1]. - De reflex: meld abnormaal gedrag van een systeem snel aan het it- of beveiligingsteam en laat de technische teams de officiële richtlijnen toepassen. - Als het al is gebeurd: de CISA raadt aan terug te keren naar een niet-gecompromitteerde versie, zoals XZ Utils 5.4.6 Stable, te zoeken naar kwaadaardige activiteit en bevindingen te melden [1]. ## Directe vragen ### Wat is XZ Utils? Het is een programma voor gegevenscompressie. Het kan aanwezig zijn in Linux-distributies [1]. ### Welke versies zijn getroffen? De versies 5.6.0 en 5.6.1, waarin kwaadaardige code is gemeld [1]. Deze activiteit draagt de code CVE-2024-3094 [1]. ### Wat kan de kwaadaardige code mogelijk maken? Volgens de CISA kan ze ongeautoriseerde toegang tot de getroffen systemen mogelijk maken [1]. ### Wat is een compromittering van de toeleveringsketen? MITRE ATT&CK definieert het als het manipuleren van producten of van de manieren waarop ze worden geleverd, voordat ze de eindgebruiker bereiken, met als doel gegevens of systemen te compromitteren [2]. ### Wat moet een medewerker doen? Gedraagt een computer zich ongebruikelijk, dan meldt u dat snel. De CISA vraagt ontwikkelaars en gebruikers op haar beurt terug te keren naar een niet-gecompromitteerde versie en te melden wat ze vinden [1]. Op een werkplek die het bedrijf beheert, is dat terugdraaien een taak van de technische teams. ## In de huid van de aanvaller De hier aangehaalde bronnen beschrijven de voorbereiding van deze aanval niet. Wel beschrijven ze de algemene logica van de groep aanvallen waartoe ze behoort. MITRE ATT&CK rekent de compromittering van de toeleveringsketen tot de technieken voor initiële toegang. Ze kan in elke fase plaatsvinden: ontwikkelhulpmiddelen, opslagplaatsen met broncode, code van opensourceafhankelijkheden, updatemechanismen, of de vervanging van legitieme software door een aangepaste versie [2]. Opensourceprojecten die veel toepassingen als afhankelijkheid gebruiken, kunnen worden aangevallen om kwaadaardige code te verspreiden onder iedereen die ze gebruikt [2][3]. De aanvaller kan een bepaalde groep slachtoffers uitkiezen, of de software onder een breed publiek verspreiden en maar bij enkele slachtoffers verder gaan [2][4]. MITRE beschrijft ook de vertrouwensrelatie: partijen die al legitieme toegang hebben, zoals dienstverleners, kunnen als toegangspoort worden gebruikt, omdat die toegang soms minder aandacht krijgt dan de gewone toegangswegen [6]. ## Wat u op het scherm ziet De CISA beschrijft geen enkel teken dat voor de gebruiker zichtbaar is [1]. De geraadpleegde tekst zegt dus niet hoe de update er voor een medewerker uitziet, en deze pagina beweert daar niets over. Wat de bron wel toelaat, is beperkter: XZ Utils kan aanwezig zijn in Linux-distributies [1]. ## Onder de motorkap Wat de CISA over het mechanisme zegt, past in een paar woorden: er is kwaadaardige code opgenomen in de versies 5.6.0 en 5.6.1, en die kan ongeautoriseerde toegang mogelijk maken [1]. MITRE ATT&CK plaatst dit soort handelingen in twee groepen technieken: - De compromittering van de softwaretoeleveringsketen: het manipuleren van de broncode van de toepassing, van het update- of distributiemechanisme, of het vervangen van gecompileerde versies door een aangepaste versie [4]. - Het wijzigen van het authenticatieproces: een aanvaller kan de mechanismen wijzigen die inloggegevens verzamelen, opslaan en controleren, bijvoorbeeld de pluggable authentication modules (PAM) op Unix-achtige systemen. Hij kan dan bij een dienst inloggen zonder een geldig account te gebruiken [5]. Deze twee pagina's zijn algemene naslagwerken. Ze noemen XZ Utils niet, en niets in de hier aangehaalde bronnen koppelt dit incident aan een bepaalde techniek. De vergelijking wordt hier gegeven als leeswijzer, niet als vaststelling. ## Incidentanalyses ### 29 maart 2024: de CISA-waarschuwing over XZ Utils Op 29 maart 2024 publiceert de CISA een waarschuwing met de titel „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”. Daarin staat dat de CISA en de opensourcegemeenschap reageren op meldingen van kwaadaardige code in XZ Utils, versies 5.6.0 en 5.6.1 [1]. De tekst herinnert eraan dat XZ Utils een programma voor gegevenscompressie is, dat het in Linux-distributies kan voorkomen en dat de kwaadaardige code ongeautoriseerde toegang tot de getroffen systemen mogelijk kan maken [1]. De CISA raadt ontwikkelaars en gebruikers aan XZ Utils terug te zetten naar een niet-gecompromitteerde versie, zoals XZ Utils 5.4.6 Stable, te zoeken naar kwaadaardige activiteit en elke positieve bevinding aan de CISA te melden [1]. De waarschuwing verwijst ook naar een bericht van Red Hat over Fedora 41 en Rawhide [1]. De hier aangehaalde bronnen bevatten noch het tijdsverloop van de voorbereiding van de aanval, noch de namen van de betrokken personen, noch de omstandigheden van de ontdekking. Die gegevens staan dus niet in deze pagina. ## Bronnen 1. CISA, “Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”, 29 maart 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Supply Chain Compromise”. https://attack.mitre.org/techniques/T1195/ (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Supply Chain Compromise: Compromise Software Dependencies and Development Tools”. https://attack.mitre.org/techniques/T1195/001/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Supply Chain Compromise: Compromise Software Supply Chain”. https://attack.mitre.org/techniques/T1195/002/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Modify Authentication Process”. https://attack.mitre.org/techniques/T1556/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Trusted Relationship”. https://attack.mitre.org/techniques/T1199/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.