--- id: CP-089 slug: evil-maid-laptop-hotel-aanval lang: nl title: "Evil Maid: de laptop die in het hotel achterblijft" description: Hoe iemand die enkele minuten alleen is met een laptop in een hotelkamer het toestel kan compromitteren, en wat u eraan doet. canonical_url: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, “Evil Maid: de laptop die in het hotel achterblijft”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ it: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid: de laptop die in het hotel achterblijft De naam "Evil Maid" (de kwaadwillende kamermeid) verwijst naar een eenvoudige situatie: een laptop blijft alleen achter in een hotelkamer en iemand heeft er enkele minuten toegang toe. Het toestel is uitgeschakeld of vergrendeld, en niets lijkt verplaatst. Toch ontsnapt een wijziging die vóór het opstarten van Windows is aangebracht aan de beveiligingen die het systeem pas toepast zodra het draait [1]. Opstartmalware, de zogeheten "bootkits", kan namelijk starten vóór Windows, de beveiliging van het systeem omzeilen en verborgen blijven [1]. Dit artikel legt het principe uit, wat u op het scherm ziet en welke reflexen het risico verkleinen. De hier aangehaalde bronnen beschrijven geen concreet hotelgeval: de gedateerde gevallen verderop zijn echte aanvallen van hetzelfde type (wijziging van het opstartproces of van de firmware, aangesloten hardware), geen hotelscènes. ## In 30 seconden - Waar het gebeurt: een laptop die zonder toezicht blijft (hotelkamer, vergaderruimte, auto), ook als hij uit staat of vergrendeld is. - Wat de aanvaller wil: code plaatsen die vóór het systeem wordt uitgevoerd, om gegevens, wachtwoorden of de coderingssleutel van de schijf te stelen [1][2]. - De reflex: laat het toestel niet alleen, zet het volledig uit voordat u weggaat en gebruik een pincode bij het opstarten als de IT-afdeling die aanbiedt [2]. - Als het al is gebeurd: als het toestel zonder bekende reden om een herstelsleutel vraagt, waarschuw dan de IT-afdeling voordat u het opnieuw gebruikt. ## Directe vragen ### Kan een uitgeschakeld toestel echt worden aangevallen? Ja, als het opstartproces niet beveiligd is. Een aanvaller met ruwe toegang tot de opstartschijf kan het gebied overschrijven waar de bootloader staat en de uitvoering omleiden naar zijn eigen code [3]. Op een UEFI-toestel kan hij bestanden op de EFI-systeempartitie aanmaken of wijzigen om kwaadaardige code op kernelniveau uit te voeren [3]. ### Wat probeert de aanvaller te bereiken? Rootkits, waartoe ook bootkits behoren, komen vaak samen met andere malware die lokale aanmeldingen kan omzeilen, wachtwoorden en toetsaanslagen kan registreren, privébestanden kan overdragen en cryptografische gegevens kan vastleggen [1]. ### Is schijfversleuteling voldoende? Het beschermt de gegevens van een verloren of gestolen toestel, ook tegen een softwarematig aanvalsprogramma of tegen het verplaatsen van de schijf naar een andere machine [4]. Microsoft stelt dat BitLocker standaard beschermt tegen de installatie van een bootkit door iemand die fysiek aanwezig is: de TPM ziet de wijziging en de sleutel wordt niet vrijgegeven [2]. Hetzelfde document merkt op dat de modus "alleen TPM" handiger maar minder veilig is dan de opties waarvoor een tweede factor nodig is [2]. ### Wat is een TPM? Het is een chip die basale beveiligingsfuncties biedt, vooral rond coderingssleutels. BitLocker koppelt zijn sleutels eraan om te controleren dat het toestel niet is gewijzigd terwijl het systeem uit stond [2]. ## In de huid van de aanvaller De aanvaller heeft weinig tijd en fysieke toegang. Microsoft onderscheidt twee profielen. Het eerste is de gelegenheidsaanvaller: hij gebruikt geen destructieve methode en geen geavanceerd analysehulpmiddel, en de vorm van het toestel (geen externe poort met directe geheugentoegang, geen zichtbare schroef, vastgesoldeerd geheugen) beperkt zijn mogelijkheden [2]. Het tweede heeft vaardigheden en langdurige toegang: hij opent de behuizing, soldeert en gebruikt gespecialiseerde hardware of software [2]. Op sommige systemen kan het omzeilen van de modus "alleen TPM" vereisen dat de behuizing wordt geopend en er wordt gesoldeerd, tegen redelijke kosten; het omzeilen van een TPM die met een pincode is beveiligd kost meer en dwingt de aanvaller de pincode te raden [2]. Er zijn meerdere routes. De eerste wijzigt de opstartsector of de EFI-partitie zodat vijandige code vóór het systeem wordt uitgevoerd [3]. De tweede richt zich op de firmware (BIOS of UEFI): er bestaan middelen om die te overschrijven, waardoor geavanceerde aanvallers een moeilijk te ontdekken aanwezigheid kunnen behouden [5]. De derde voegt hardware toe. MITRE merkt op dat veel pentestteams accessoires gebruiken die toetsaanslagen kunnen injecteren of kernelgeheugen kunnen uitlezen via directe geheugentoegang (DMA), en dat openbare verwijzingen naar gebruik door echte aanvallers zeldzaam zijn [6]. ## Wat u op het scherm ziet Er wordt niets specifieks beschreven. De hier aangehaalde bronnen beschrijven geen bepaald nepscherm. Ze zeggen wel dat een rootkit die vóór het systeem start zich volledig kan verbergen [1]. Het scherm voor het invoeren van de BitLocker-pincode is zelf een stap die aan Windows voorafgaat [4], dus op dezelfde plaats waar kwaadaardige opstartcode zou draaien. Toch is er een aanknopingspunt: met de modus "alleen TPM" schakelt BitLocker over op herstelmodus en vraagt het om het herstelwachtwoord als het een wijziging detecteert in de BIOS- of UEFI-configuratie, in kritieke opstartbestanden of in de opstartconfiguratie [2]. Een onverwacht herstelscherm verdient dus een melding. Een onbekend accessoire dat op het toestel is aangesloten ook, want zo'n accessoire kan toetsaanslagen injecteren [6]. ## Onder de motorkap Bij het opstarten zoekt de firmware eerst de bootloader van het systeem. Zonder Secure Boot voert de pc de loader uit die op de schijf staat en kan hij niet weten of het om een vertrouwd systeem of om een rootkit gaat [1]. Met Secure Boot controleert de firmware de handtekening van de loader voordat die wordt gestart [1]. Bootkits vervangen of wijzigen deze loader. Op een klassieke BIOS raken ze de Master Boot Record (MBR) of de Volume Boot Record (VBR); op een UEFI maken ze bestanden op de EFI-partitie aan of wijzigen ze die [3]. Firmware-rootkits overschrijven de BIOS of een andere hardwarefirmware om vóór Windows te starten [1]. NIST rekent ongeoorloofde wijziging van de BIOS tot de belangrijke bedreigingen, vanwege de bevoorrechte positie van de BIOS in de pc-architectuur [7]. De verdediging vormt een keten. Secure Boot start alleen vertrouwde loaders, Trusted Boot controleert daarna elk onderdeel van het opstartproces, en Measured Boot legt het opstarten vast zodat een vertrouwde server de toestand van de pc kan beoordelen [1]. BitLocker steunt op de meting van de TPM: een niet-geautoriseerde EFI-firmware, opstarttoepassing of loader kan niet worden uitgevoerd en krijgt de sleutel niet [2]. Als de aanvaller de opstartconfiguratiedatabase wijzigt om naar een nepsysteem te verwijzen, controleert BitLocker cryptografisch dat de ontvanger van de sleutel het juiste systeem is [2]. De pincode bij het opstarten voegt een tweede factor toe. BitLocker laadt de sleutels pas in het geheugen nadat de authenticatie vóór het opstarten is voltooid, en de TPM beperkt herhaalde pogingen om brute kracht tegen te gaan [2]. De pincode helpt ook tegen aanvallen via DMA-poorten en via resten in het geheugen [2]. ## Incidentanalyses De hier aangehaalde bronnen geven geen gedateerd hotelgeval. Ze noemen echte aanvallen van dezelfde aard, met de datum van de verwijzing zoals die op de pagina staat. ### Hacking Team, 2015: een rootkit in de BIOS MITRE noemt een UEFI-BIOS-rootkit die het bedrijf Hacking Team ontwikkelde om software voor toegang op afstand op bepaalde doelsystemen te behouden [5]. De bijbehorende verwijzing is een artikel van 13 juli 2015 [5]. ### LoJax: een UEFI-rootkit in het wild waargenomen (verwijzing van september 2018) LoJax is een UEFI-BIOS-rootkit die is ingezet om software voor toegang op afstand op bepaalde doelsystemen te behouden [5]. De verwijzing van MITRE is een artikel van ESET uit september 2018 met de titel "LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group" [5]. ### DarkVishnya: hardware ter plaatse aangesloten (verwijzing van december 2018) DarkVishnya sloot fysiek een Bash Bunny, een Raspberry Pi, netbooks en goedkope laptops aan in de omgeving van een organisatie om toegang te krijgen tot het lokale netwerk [6]. De verwijzing is een analyse van 6 december 2018 over banken die werden aangevallen via een directe verbinding met het lokale netwerk [6]. ### WhisperGate, januari 2022: een gekaapte bootloader WhisperGate overschrijft de MBR met een loadercomponent die harde schijven wist en bij het opstarten een valse losgeldeis toont [3]. De meeste verwijzingen van MITRE over dit geval dateren van januari 2022, één van februari 2022 [3]. ## De juiste reflexen - Laat het toestel niet alleen. - Zet het volledig uit of laat het in sluimerstand (hibernate) gaan voordat u weggaat. Bij gewone slaapstand blijven programma's en documenten in het geheugen en wordt de pincode bij het ontwaken niet opnieuw gevraagd; bij sluimerstand is de schijf vergrendeld [2]. - Gebruik, als uw organisatie dat toelaat, versleuteling met een pincode bij het opstarten. De modus "alleen TPM" is de standaard en is gericht op de gelegenheidsaanvaller; tegen een aanvaller met vaardigheden en tijd raadt Microsoft een TPM met pincode aan, met slaapstand uitgeschakeld en met uitschakelen of sluimerstand voordat u het toestel achterlaat [2]. - Houd Secure Boot ingeschakeld: uitschakelen beschermt niet tegen bootkits [1]. Microsoft raadt ook aan een wachtwoord te eisen om BIOS-instellingen te wijzigen [2]. - Als het toestel bij terugkomst anders reageert (herstelvraag, onbekend accessoire), meld dat dan aan de IT-afdeling voordat u het weer aansluit. Een bootkit zit onder het systeem en kan een volledig herstel moeilijk maken [3]. ## Bronnen 1. Microsoft, “Secure the Windows boot process”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (geraadpleegd op 3 november 2026) 2. Microsoft, “BitLocker countermeasures”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/003/ (geraadpleegd op 3 november 2026) 4. Microsoft, “BitLocker Overview”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/001/ (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026) 7. NIST, “SP 800-147B, BIOS Protection Guidelines for Servers”, 28 augustus 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.