Cyberpediadoor Brain
NLDEENESFRIT

De XZ Utils-backdoor

In maart 2024 wordt kwaadaardige code ontdekt in XZ Utils 5.6.0 en 5.6.1. Wat de CISA-waarschuwing zegt en wat een medewerker kan doen.

In 30 seconden

Waar het gebeurt
In XZ Utils, een programma voor gegevenscompressie dat aanwezig kan zijn in Linux-distributies1.
Wat de kwaadaardige code kan mogelijk maken
Ongeautoriseerde toegang tot de getroffen systemen, volgens de CISA1.
De reflex
Meld abnormaal gedrag van een systeem snel aan het it- of beveiligingsteam en laat de technische teams de officiële richtlijnen toepassen.
Als het al is gebeurd
De CISA raadt aan terug te keren naar een niet-gecompromitteerde versie, zoals XZ Utils 5.4.6 Stable, te zoeken naar kwaadaardige activiteit en bevindingen te melden1.

Waar gaat het over

Eind maart 2024 meldt de CISA dat zij reageert op meldingen van kwaadaardige code in XZ Utils, een programma voor gegevenscompressie. De versies 5.6.0 en 5.6.1 zijn getroffen, en de zaak krijgt de identificatiecode CVE-2024-30941.

Voor een medewerker heeft dit soort incident een bijzonderheid: het komt niet via een verdacht bericht of een nepwebsite. Het loopt via legitieme software, die zoals gewoonlijk wordt geïnstalleerd of bijgewerkt. Deze pagina beschrijft wat de CISA heeft gepubliceerd en wat de naslagpagina's van MITRE ATT&CK zeggen over deze groep aanvallen. Ze gaat niet in op de voorbereiding van de aanval of op de ontdekking ervan: de hier aangehaalde bronnen bevatten die informatie niet.

Directe vragen

Wat is XZ Utils?

Het is een programma voor gegevenscompressie. Het kan aanwezig zijn in Linux-distributies1.

Welke versies zijn getroffen?

De versies 5.6.0 en 5.6.1, waarin kwaadaardige code is gemeld1. Deze activiteit draagt de code CVE-2024-30941.

Wat kan de kwaadaardige code mogelijk maken?

Volgens de CISA kan ze ongeautoriseerde toegang tot de getroffen systemen mogelijk maken1.

Wat is een compromittering van de toeleveringsketen?

MITRE ATT&CK definieert het als het manipuleren van producten of van de manieren waarop ze worden geleverd, voordat ze de eindgebruiker bereiken, met als doel gegevens of systemen te compromitteren2.

Wat moet een medewerker doen?

Gedraagt een computer zich ongebruikelijk, dan meldt u dat snel. De CISA vraagt ontwikkelaars en gebruikers op haar beurt terug te keren naar een niet-gecompromitteerde versie en te melden wat ze vinden1. Op een werkplek die het bedrijf beheert, is dat terugdraaien een taak van de technische teams.

1In de huid van de aanvaller1 min

De hier aangehaalde bronnen beschrijven de voorbereiding van deze aanval niet. Wel beschrijven ze de algemene logica van de groep aanvallen waartoe ze behoort.

MITRE ATT&CK rekent de compromittering van de toeleveringsketen tot de technieken voor initiële toegang. Ze kan in elke fase plaatsvinden: ontwikkelhulpmiddelen, opslagplaatsen met broncode, code van opensourceafhankelijkheden, updatemechanismen, of de vervanging van legitieme software door een aangepaste versie2.

Opensourceprojecten die veel toepassingen als afhankelijkheid gebruiken, kunnen worden aangevallen om kwaadaardige code te verspreiden onder iedereen die ze gebruikt23. De aanvaller kan een bepaalde groep slachtoffers uitkiezen, of de software onder een breed publiek verspreiden en maar bij enkele slachtoffers verder gaan24.

MITRE beschrijft ook de vertrouwensrelatie: partijen die al legitieme toegang hebben, zoals dienstverleners, kunnen als toegangspoort worden gebruikt, omdat die toegang soms minder aandacht krijgt dan de gewone toegangswegen6.

2Wat u op het scherm ziet1 min

De CISA beschrijft geen enkel teken dat voor de gebruiker zichtbaar is1. De geraadpleegde tekst zegt dus niet hoe de update er voor een medewerker uitziet, en deze pagina beweert daar niets over.

Wat de bron wel toelaat, is beperkter: XZ Utils kan aanwezig zijn in Linux-distributies1.

3Onder de motorkapIT-teams1 min

Wat de CISA over het mechanisme zegt, past in een paar woorden: er is kwaadaardige code opgenomen in de versies 5.6.0 en 5.6.1, en die kan ongeautoriseerde toegang mogelijk maken1.

MITRE ATT&CK plaatst dit soort handelingen in twee groepen technieken:

  • De compromittering van de softwaretoeleveringsketen: het manipuleren van de broncode van de toepassing, van het update- of distributiemechanisme, of het vervangen van gecompileerde versies door een aangepaste versie4.
  • Het wijzigen van het authenticatieproces: een aanvaller kan de mechanismen wijzigen die inloggegevens verzamelen, opslaan en controleren, bijvoorbeeld de pluggable authentication modules (PAM) op Unix-achtige systemen. Hij kan dan bij een dienst inloggen zonder een geldig account te gebruiken5.

Deze twee pagina's zijn algemene naslagwerken. Ze noemen XZ Utils niet, en niets in de hier aangehaalde bronnen koppelt dit incident aan een bepaalde techniek. De vergelijking wordt hier gegeven als leeswijzer, niet als vaststelling.

4IncidentanalysesEchte gevallen1 min

29 maart 2024: de CISA-waarschuwing over XZ Utils

Op 29 maart 2024 publiceert de CISA een waarschuwing met de titel „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”. Daarin staat dat de CISA en de opensourcegemeenschap reageren op meldingen van kwaadaardige code in XZ Utils, versies 5.6.0 en 5.6.11.

De tekst herinnert eraan dat XZ Utils een programma voor gegevenscompressie is, dat het in Linux-distributies kan voorkomen en dat de kwaadaardige code ongeautoriseerde toegang tot de getroffen systemen mogelijk kan maken1.

De CISA raadt ontwikkelaars en gebruikers aan XZ Utils terug te zetten naar een niet-gecompromitteerde versie, zoals XZ Utils 5.4.6 Stable, te zoeken naar kwaadaardige activiteit en elke positieve bevinding aan de CISA te melden1. De waarschuwing verwijst ook naar een bericht van Red Hat over Fedora 41 en Rawhide1.

De hier aangehaalde bronnen bevatten noch het tijdsverloop van de voorbereiding van de aanval, noch de namen van de betrokken personen, noch de omstandigheden van de ontdekking. Die gegevens staan dus niet in deze pagina.

Fiche

Identificatie
CP-179
Vleugel
2. Malware en incidentanalyses
Brain-competentie
Incidenten melden (report_incidents)
Brain-reflex
cr-016
Schema
G4 · Tijdlijn van het incident (analyse)
Talen
de, en, es, fr, it, nl
Bronnen
6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
  1. CISA, “Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”, 29 maart 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Supply Chain Compromise”. https://attack.mitre.org/techniques/T1195/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Supply Chain Compromise: Compromise Software Dependencies and Development Tools”. https://attack.mitre.org/techniques/T1195/001/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Supply Chain Compromise: Compromise Software Supply Chain”. https://attack.mitre.org/techniques/T1195/002/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Modify Authentication Process”. https://attack.mitre.org/techniques/T1556/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Trusted Relationship”. https://attack.mitre.org/techniques/T1199/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “De XZ Utils-backdoor”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/

BibTeX 
@misc{brain_cp179_nl_2026,
  author = {Brain},
  title = {De XZ Utils-backdoor},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0