RMM-misbruik in 45% van Huntress-incidenten op endpoints

Aanvallers maakten in 45% van de endpoint-gerelateerde incidenten die Huntress in het eerste kwartaal van 2026 registreerde gebruik van legitieme software voor remote monitoring and management (RMM). Dat blijkt uit een nieuw rapport van het beveiligingsbedrijf.

Huntress zette ook 11 aanvalstactieken in een grafiek die laat zien hoe vaak het bedrijf elke tactiek tegenkomt en hoeveel schade die kan aanrichten. RMM-misbruik staat het verst naar rechts, de plek voor de tactieken die het vaakst worden waargenomen.

IT-afdelingen gebruiken RMM-tools om computers op afstand te beheren. Installeert een aanvaller zo'n tool, dan krijgt hij blijvende toegang en kan hij opdrachten uitvoeren, terwijl die activiteit eruitziet als gewoon beheerderswerk. De malafide installatie en de goedgekeurde kunnen zich precies hetzelfde gedragen. Volgens Huntress ligt deze categorie op een steenworp afstand van ransomware of datadiefstal. Het bedrijf zegt dat het misbruik in 2025 op jaarbasis met 277% groeide.

Een klik op een phishingmail, vier tools voor toegang op afstand

In een zaak die Huntress onderzocht, installeerde een nep-serviceovereenkomst een RMM-tool genaamd Tiflux. De indringer zette daarna ook UltraVNC, Splashtop en ScreenConnect op dezelfde machine. Een enkele klik leverde de aanvaller zo meerdere aparte routes op om terug te komen.

Volgens de onderzoekers gebruiken aanvallers al AI om de nepdocumenten en valse serviceovereenkomsten te schrijven waarmee deze inbraken beginnen.

"Waarom zou je tijd en moeite steken in iets zelf ontwikkelen of vanaf nul bouwen, als je een legitieme tool gewoon uit het schap kunt pakken?", zegt Jamie Levy, senior director of adversary tactics bij Huntress.

Huntress stelt een eenvoudige controle voor. Vraag het securityteam welke RMM-tools zijn goedgekeurd, en wat hen waarschuwt als er een niet-goedgekeurde tool opduikt.

Inboxregels en gestolen sessietokens

Mailboxmanipulatie en accountovername delen dezelfde hoek rechtsboven in de grafiek.

Bij mailboxmanipulatie maakt een aanvaller met toegang tot een inbox een regel aan die antwoorden van een leverancier verplaatst naar een map als Archief, waar ze makkelijk over het hoofd worden gezien. Vervolgens schuift de aanvaller een factuur naar voren die de betaling ergens anders naartoe stuurt.

Bij adversary-in-the-middle-overnames (AiTM) zit de aanvaller tussen het slachtoffer en de echte inlogpagina van Microsoft 365 in en kopieert hij het sessietoken. Dat token is de inloggegevens die een gebruiker ingelogd houden. Zolang de sessie geldig blijft, heeft de aanvaller geen wachtwoord nodig en verschijnt er geen MFA-verzoek.

Mailboxmanipulatie was in 2025 goed voor 19% van de identiteitsgerelateerde dreigingen en tot nu toe in 2026 voor 24,6% van de signalen van identiteitsdreigingen. AiTM was in 2025 goed voor 18,9% van de identiteitsgerelateerde dreigingen. Deze cijfers meten iets anders dan het RMM-cijfer van 45%, dat endpoint-gerelateerde incidenten telt, en zijn dus niet direct te vergelijken.

Huntress raadt aan IT te vragen hoe lang sessies actief blijven en of een nieuw apparaat of een nieuwe locatie opnieuw inloggen afdwingt.

Apparaatcodes, ClickFix en een nepdownload van Claude

Device code phishing komt terecht in wat Huntress de hoek "stilletjes dodelijk" noemt, voor tactieken die het bedrijf minder vaak ziet maar die zware schade aanrichten. Een nepmelding in een werkproces stuurt het slachtoffer naar de echte inlogpagina voor apparaatcodes van Microsoft. Zodra de code is ingevoerd, heeft de aanvaller een toegangstoken in handen dat zelfs een wachtwoordreset kan overleven.

De onderzoekers melden voor deze tactiek een stijging van 1.380% op jaarbasis. De vergelijking zet echter juli tot en met december 2025 af tegen januari tot en met april 2026, en een beginaantal wordt niet genoemd. Het cijfer geeft dus een richting aan, maar zegt niets over de omvang. Daarnaast trof de phishingkit EvilTokens in 16 dagen 344 organisaties in vijf landen.

ClickFix-lokkertjes waren in 2025 goed voor 53,2% van de activiteit van malware-loaders.

Huntress schaart misbruik van AI-platformen en deepfakes onder "voorlopig overschat". Een van de zaken rond AI-platformen betrof FakeAgent, dat een kwaadaardig Claude Artifact gebruikte dat op het echte domein claude.ai werd gehost. Mensen die naar Claude Desktop zochten, werden zo naar SectopRAT gestuurd, en in twee dagen werden 29 organisaties getroffen. Zes van de 11 tactieken krijgen van Huntress het label voor versnelling door AI, waaronder deze twee.

Onze analyse

De rode draad in het rapport is dat de meest voorkomende tactieken niet draaien om exploits of op maat gemaakte malware. Ze misbruiken zaken die organisaties al vertrouwen, zoals beheertools, inboxregels, echte inlogpagina's van Microsoft en het domein van een echte AI-leverancier. Dat wijst erop dat detectie op basis van de vraag "is deze software kwaadaardig?" een groot deel van de inbraken blijft missen. De nuttiger vraag is of deze tool, deze regel of deze sessie er uberhaupt zou moeten zijn.

Daarmee wordt ook de basisinventarisatie belangrijker. De controles die Huntress voorstelt zijn bescheiden: weet welke RMM-tools zijn goedgekeurd, weet hoe lang sessies duren. Daarbij is het goed om te bedenken dat software voor toegang op afstand ook op zichzelf een patchprobleem is, zoals bleek toen TeamViewer gebruikers opriep vijf ernstige lekken te dichten. Organisaties die hun tools voor toegang op afstand niet kunnen opsommen, kunnen met beide problemen worstelen.

Lezers doen er goed aan de opvallende percentages met de nodige voorzichtigheid te benaderen. Huntress geeft zelf aan dat de cijfers voor RMM, identiteit en apparaatcodes iets anders meten, en de sprong van 1.380% komt zonder nulmeting.

De AI-invalshoek is het volgen waard. Huntress noemt misbruik van AI-platformen "voorlopig overschat", maar markeert wel zes tactieken als versneld door AI. Dat past in een breder beeld waarin aanvallers op dit moment voorlopen op verdedigers bij het inzetten van AI. Het valt nog te bezien of zaken als FakeAgent zeldzaam blijven, of dat dat "voorlopig" uiteindelijk het belangrijkste deel van het label blijkt te zijn.