Cyberpediadoor Brain
NLDEENESFRIT

Evil Maid: de laptop die in het hotel achterblijft

Hoe iemand die enkele minuten alleen is met een laptop in een hotelkamer het toestel kan compromitteren, en wat u eraan doet.

In 30 seconden

Waar het gebeurt
Een laptop die zonder toezicht blijft (hotelkamer, vergaderruimte, auto), ook als hij uit staat of vergrendeld is.
Wat de aanvaller wil
Code plaatsen die vóór het systeem wordt uitgevoerd, om gegevens, wachtwoorden of de coderingssleutel van de schijf te stelen12.
De reflex
Laat het toestel niet alleen, zet het volledig uit voordat u weggaat en gebruik een pincode bij het opstarten als de IT-afdeling die aanbiedt2.
Als het al is gebeurd
Als het toestel zonder bekende reden om een herstelsleutel vraagt, waarschuw dan de IT-afdeling voordat u het opnieuw gebruikt.

Waar gaat het over

De naam "Evil Maid" (de kwaadwillende kamermeid) verwijst naar een eenvoudige situatie: een laptop blijft alleen achter in een hotelkamer en iemand heeft er enkele minuten toegang toe. Het toestel is uitgeschakeld of vergrendeld, en niets lijkt verplaatst. Toch ontsnapt een wijziging die vóór het opstarten van Windows is aangebracht aan de beveiligingen die het systeem pas toepast zodra het draait1.

Opstartmalware, de zogeheten "bootkits", kan namelijk starten vóór Windows, de beveiliging van het systeem omzeilen en verborgen blijven1. Dit artikel legt het principe uit, wat u op het scherm ziet en welke reflexen het risico verkleinen. De hier aangehaalde bronnen beschrijven geen concreet hotelgeval: de gedateerde gevallen verderop zijn echte aanvallen van hetzelfde type (wijziging van het opstartproces of van de firmware, aangesloten hardware), geen hotelscènes.

Directe vragen

Kan een uitgeschakeld toestel echt worden aangevallen?

Ja, als het opstartproces niet beveiligd is. Een aanvaller met ruwe toegang tot de opstartschijf kan het gebied overschrijven waar de bootloader staat en de uitvoering omleiden naar zijn eigen code3. Op een UEFI-toestel kan hij bestanden op de EFI-systeempartitie aanmaken of wijzigen om kwaadaardige code op kernelniveau uit te voeren3.

Wat probeert de aanvaller te bereiken?

Rootkits, waartoe ook bootkits behoren, komen vaak samen met andere malware die lokale aanmeldingen kan omzeilen, wachtwoorden en toetsaanslagen kan registreren, privébestanden kan overdragen en cryptografische gegevens kan vastleggen1.

Is schijfversleuteling voldoende?

Het beschermt de gegevens van een verloren of gestolen toestel, ook tegen een softwarematig aanvalsprogramma of tegen het verplaatsen van de schijf naar een andere machine4. Microsoft stelt dat BitLocker standaard beschermt tegen de installatie van een bootkit door iemand die fysiek aanwezig is: de TPM ziet de wijziging en de sleutel wordt niet vrijgegeven2. Hetzelfde document merkt op dat de modus "alleen TPM" handiger maar minder veilig is dan de opties waarvoor een tweede factor nodig is2.

Wat is een TPM?

Het is een chip die basale beveiligingsfuncties biedt, vooral rond coderingssleutels. BitLocker koppelt zijn sleutels eraan om te controleren dat het toestel niet is gewijzigd terwijl het systeem uit stond2.

1In de huid van de aanvaller1 min

De aanvaller heeft weinig tijd en fysieke toegang. Microsoft onderscheidt twee profielen. Het eerste is de gelegenheidsaanvaller: hij gebruikt geen destructieve methode en geen geavanceerd analysehulpmiddel, en de vorm van het toestel (geen externe poort met directe geheugentoegang, geen zichtbare schroef, vastgesoldeerd geheugen) beperkt zijn mogelijkheden2. Het tweede heeft vaardigheden en langdurige toegang: hij opent de behuizing, soldeert en gebruikt gespecialiseerde hardware of software2. Op sommige systemen kan het omzeilen van de modus "alleen TPM" vereisen dat de behuizing wordt geopend en er wordt gesoldeerd, tegen redelijke kosten; het omzeilen van een TPM die met een pincode is beveiligd kost meer en dwingt de aanvaller de pincode te raden2.

Er zijn meerdere routes. De eerste wijzigt de opstartsector of de EFI-partitie zodat vijandige code vóór het systeem wordt uitgevoerd3. De tweede richt zich op de firmware (BIOS of UEFI): er bestaan middelen om die te overschrijven, waardoor geavanceerde aanvallers een moeilijk te ontdekken aanwezigheid kunnen behouden5. De derde voegt hardware toe. MITRE merkt op dat veel pentestteams accessoires gebruiken die toetsaanslagen kunnen injecteren of kernelgeheugen kunnen uitlezen via directe geheugentoegang (DMA), en dat openbare verwijzingen naar gebruik door echte aanvallers zeldzaam zijn6.

2Wat u op het scherm ziet1 min

Er wordt niets specifieks beschreven. De hier aangehaalde bronnen beschrijven geen bepaald nepscherm. Ze zeggen wel dat een rootkit die vóór het systeem start zich volledig kan verbergen1. Het scherm voor het invoeren van de BitLocker-pincode is zelf een stap die aan Windows voorafgaat4, dus op dezelfde plaats waar kwaadaardige opstartcode zou draaien.

Toch is er een aanknopingspunt: met de modus "alleen TPM" schakelt BitLocker over op herstelmodus en vraagt het om het herstelwachtwoord als het een wijziging detecteert in de BIOS- of UEFI-configuratie, in kritieke opstartbestanden of in de opstartconfiguratie2. Een onverwacht herstelscherm verdient dus een melding. Een onbekend accessoire dat op het toestel is aangesloten ook, want zo'n accessoire kan toetsaanslagen injecteren6.

3Onder de motorkapIT-teams2 min

Bij het opstarten zoekt de firmware eerst de bootloader van het systeem. Zonder Secure Boot voert de pc de loader uit die op de schijf staat en kan hij niet weten of het om een vertrouwd systeem of om een rootkit gaat1. Met Secure Boot controleert de firmware de handtekening van de loader voordat die wordt gestart1.

Bootkits vervangen of wijzigen deze loader. Op een klassieke BIOS raken ze de Master Boot Record (MBR) of de Volume Boot Record (VBR); op een UEFI maken ze bestanden op de EFI-partitie aan of wijzigen ze die3. Firmware-rootkits overschrijven de BIOS of een andere hardwarefirmware om vóór Windows te starten1. NIST rekent ongeoorloofde wijziging van de BIOS tot de belangrijke bedreigingen, vanwege de bevoorrechte positie van de BIOS in de pc-architectuur7.

De verdediging vormt een keten. Secure Boot start alleen vertrouwde loaders, Trusted Boot controleert daarna elk onderdeel van het opstartproces, en Measured Boot legt het opstarten vast zodat een vertrouwde server de toestand van de pc kan beoordelen1. BitLocker steunt op de meting van de TPM: een niet-geautoriseerde EFI-firmware, opstarttoepassing of loader kan niet worden uitgevoerd en krijgt de sleutel niet2. Als de aanvaller de opstartconfiguratiedatabase wijzigt om naar een nepsysteem te verwijzen, controleert BitLocker cryptografisch dat de ontvanger van de sleutel het juiste systeem is2.

De pincode bij het opstarten voegt een tweede factor toe. BitLocker laadt de sleutels pas in het geheugen nadat de authenticatie vóór het opstarten is voltooid, en de TPM beperkt herhaalde pogingen om brute kracht tegen te gaan2. De pincode helpt ook tegen aanvallen via DMA-poorten en via resten in het geheugen2.

4IncidentanalysesEchte gevallen2 min

De hier aangehaalde bronnen geven geen gedateerd hotelgeval. Ze noemen echte aanvallen van dezelfde aard, met de datum van de verwijzing zoals die op de pagina staat.

Hacking Team, 2015: een rootkit in de BIOS

MITRE noemt een UEFI-BIOS-rootkit die het bedrijf Hacking Team ontwikkelde om software voor toegang op afstand op bepaalde doelsystemen te behouden5. De bijbehorende verwijzing is een artikel van 13 juli 20155.

LoJax: een UEFI-rootkit in het wild waargenomen (verwijzing van september 2018)

LoJax is een UEFI-BIOS-rootkit die is ingezet om software voor toegang op afstand op bepaalde doelsystemen te behouden5. De verwijzing van MITRE is een artikel van ESET uit september 2018 met de titel "LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group"5.

DarkVishnya: hardware ter plaatse aangesloten (verwijzing van december 2018)

DarkVishnya sloot fysiek een Bash Bunny, een Raspberry Pi, netbooks en goedkope laptops aan in de omgeving van een organisatie om toegang te krijgen tot het lokale netwerk6. De verwijzing is een analyse van 6 december 2018 over banken die werden aangevallen via een directe verbinding met het lokale netwerk6.

WhisperGate, januari 2022: een gekaapte bootloader

WhisperGate overschrijft de MBR met een loadercomponent die harde schijven wist en bij het opstarten een valse losgeldeis toont3. De meeste verwijzingen van MITRE over dit geval dateren van januari 2022, één van februari 20223.

5De juiste reflexen1 min
  • Laat het toestel niet alleen.
  • Zet het volledig uit of laat het in sluimerstand (hibernate) gaan voordat u weggaat. Bij gewone slaapstand blijven programma's en documenten in het geheugen en wordt de pincode bij het ontwaken niet opnieuw gevraagd; bij sluimerstand is de schijf vergrendeld2.
  • Gebruik, als uw organisatie dat toelaat, versleuteling met een pincode bij het opstarten. De modus "alleen TPM" is de standaard en is gericht op de gelegenheidsaanvaller; tegen een aanvaller met vaardigheden en tijd raadt Microsoft een TPM met pincode aan, met slaapstand uitgeschakeld en met uitschakelen of sluimerstand voordat u het toestel achterlaat2.
  • Houd Secure Boot ingeschakeld: uitschakelen beschermt niet tegen bootkits1. Microsoft raadt ook aan een wachtwoord te eisen om BIOS-instellingen te wijzigen2.
  • Als het toestel bij terugkomst anders reageert (herstelvraag, onbekend accessoire), meld dat dan aan de IT-afdeling voordat u het weer aansluit. Een bootkit zit onder het systeem en kan een volledig herstel moeilijk maken3.

Fiche

Identificatie
CP-089
Vleugel
1. Aanvallen en technieken
Brain-competentie
Apparaten beveiligen (secure_devices)
Brain-reflex
cr-056
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
  1. Microsoft, “Secure the Windows boot process”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (geraadpleegd op 3 november 2026)
  2. Microsoft, “BitLocker countermeasures”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/003/ (geraadpleegd op 3 november 2026)
  4. Microsoft, “BitLocker Overview”. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (geraadpleegd op 3 november 2026)
  5. MITRE ATT&CK, “Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1542/001/ (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
  7. NIST, “SP 800-147B, BIOS Protection Guidelines for Servers”, 28 augustus 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Evil Maid: de laptop die in het hotel achterblijft”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/

BibTeX 
@misc{brain_cp089_nl_2026,
  author = {Brain},
  title = {Evil Maid: de laptop die in het hotel achterblijft},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0