Je weet niet wat je hebt totdat het weg is. Dat is de les die computervirussen ons al tientallen jaren leren. Sommigen vegen harde schijven schoon. Anderen leggen netwerken urenlang lam. Sommigen veranderen uw pc in een zombie en gebruiken de kracht ervan om anderen te spammen of aan te vallen. Als uw machine er nog nooit een heeft gevangen, denkt u misschien dat het overdreven is. Maar de kosten zijn reëel. Consumer Reports schatte dat computervirussen alleen al in 2008 8,5 miljard aan verliezen voor consumenten veroorzaakten.
Ze zijn de bekendste online bedreiging. Niet de enige. Maar de bekendste.
Het idee is niet nieuw. In 1949 theoretiseerde John von Neumann dat een zichzelf replicerend programma mogelijk was. De computerindustrie was amper tien jaar oud. Iemand wist al hoe hij de versnellingen moest blokkeren. Het duurde echter tientallen jaren voordat programmeurs, bekend als hackers, deze dingen daadwerkelijk bouwden.
Vroege versies waren meestal grappen op grote systemen. De personal computer veranderde alles. Het bracht de dreiging naar het publiek. Fred Cohen, een promovendus, was de eerste die deze zichzelf replicerende programma’s omschreef als ‘virussen’. De naam bleef hangen.
Begin jaren tachtig deden mensen het zware werk. Een hacker zou het virus naar een schijf kopiëren. Vervolgens zouden ze de schijf distribueren. De verspreiding verliep langzaam. Het was fysiek. Modems hebben het spel veranderd. Plotseling was de uitzending geen lokale gebeurtenis. Het was mondiaal. Tegenwoordig denken we aan virussen die zich via internet verspreiden. E-mailbijlagen. Beschadigde weblinks. Ze bewegen sneller dan ooit.
Laten we eens kijken naar de ergste overtreders. Degenen die systemen verlamden. Degenen die een tijdperk definieerden.
Зміст
10: Melissa
We beginnen aan het einde van de lijst met een naam die bij veel IT-professionals nog steeds herinneringen oproept.
David L. Smith schreef in 1999 niet alleen code. Hij schreef een wapen. Het was lente en Smith had een Microsoft Word-macrovirus gebouwd. Hij noemde het ‘Melissa’, naar een exotische danseres uit Florida. De bedoeling was simpel. Verspreid het. Kijk hoe het opstijgt.
De social engineering was grof maar effectief. De e-mail leek niet op spam. Er stond: “Hier is het document waar u om vroeg, laat het aan niemand anders zien.” Mensen hebben het opengemaakt. Dat deden ze altijd. Zodra de macro was uitgevoerd, repliceerde het virus. Het pakte de top 50 contacten uit het adresboek van het slachtoffer. Het stuurde kopieën van zichzelf naar iedereen. Vervolgens deden die ontvangers hetzelfde. De kettingreactie was onmiddellijk.
Hoe het Melissa-virus zich verspreidde
Dit was geen langzame kruip. Dit was een vuurstorm. De federale regering van de Verenigde Staten heeft hiervan kennis genomen. FBI-functionarissen vertelden het Congres later dat het virus ‘grote schade aanrichtte op netwerken van de overheid en de particuliere sector’. E-mailservers stikten. Sommige bedrijven hadden geen andere keuze dan hun e-mailprogramma’s volledig stop te zetten, alleen maar om de verkeerspiek te overleven.
Smith stond terecht. Hij verloor. De straf bedroeg twintig maanden gevangenisstraf. De boete bedroeg $ 5.000. De rechtbank verbood hem ook zonder toestemming toegang te krijgen tot computernetwerken. Het internet is niet kapot gegaan. Niet echt. Maar Melissa was het eerste virus dat de aandacht van het grote publiek trok. Het toonde aan dat code echte chaos kan veroorzaken.
Verschillende soorten computervirussen
Om Melissa te begrijpen, is inzicht nodig in het landschap van malware. De term ‘computervirus’ wordt vaak breed gebruikt, maar heeft een specifieke technische betekenis.
- Computervirussen : deze programma’s wijzigen de manier waarop een computer werkt. Ze repliceren zichzelf. Cruciaal is dat ze een host -programma nodig hebben om te kunnen draaien. Melissa had een Word-document nodig als host. Zonder dat bestand bleef het virus inactief.
- Wormen : In tegenstelling tot virussen hebben wormen geen gastheer nodig. Het zijn zelfstandige applicaties. Ze repliceren zichzelf en bewegen zich onafhankelijk door computernetwerken.
- Trojaanse paarden : deze vermommen zichzelf. Een Trojaans paard beweert het ene te doen, maar voert het andere uit. Sommige beschadigen harde schijven. Anderen creëren achterdeurtjes, waardoor externe gebruikers toegang krijgen tot het systeem van het slachtoffer.
We hebben zojuist de basis besproken. In het volgende gedeelte worden oudere bedreigingen behandeld. Maar eerst een blik op een virus met een zoete naam en een brute impact.
9: IK HOU VAN JE
Het was nog maar een jaar geleden dat het Melissa-virus de mailboxen van bedrijven verstopte, maar het internet had al een nieuwe slechterik nodig. Deze keer kwam de dreiging niet van een document met macro’s. Het kwam uit de Filippijnen tevoorschijn in de vorm van een echte worm. Een op zichzelf staand programma. Een zichzelf replicerend beest dat geen hostbestand nodig had om op de golven te surfen. Het heette ILOVEYOU.
De vector was echter bekend. E-mail. De onderwerpregel was verleidelijk: een liefdesbrief van een geheime aanbidder. Het hulpstuk was het wapen. De bestandsnaam was LOVE-LETTER-FOR-YOU.TXT.vbs. Die .vbs extensie was de tell. Het verwees rechtstreeks naar Visual Basic Scripting, de taal die de hacker gebruikte om de valstrik te bouwen. Eenmaal erop geklikt, opende het script niet alleen een tekstbestand. Het werd uitgevoerd.
McAfee beschreef later de enorme omvang van de aanval. De worm was agressief. Het kopieerde zichzelf herhaaldelijk en begroef duplicaten in mappen op de harde schijf van het slachtoffer. Het injecteerde nieuwe sleutels in het Windows-register, waardoor het verborgen maar actief bleef. Het verving specifieke bestandstypen door zijn eigen kopieën, waardoor gegevens beschadigd raakten.
Het bleef niet bij e-mail. De worm verspreidde zich via Internet Relay Chat (IRC)-clients en sprong van gebruiker naar gebruiker in openbare chatrooms. Maar de echte schade kwam van wat het neerhaalde.
De worm heeft een bestand gedownload met de naam WIN-BUGSFIX.EXE. De naam beloofde systeemstabilisatie. De realiteit was diefstal. Dit verborgen programma was een wachtwoorddief. Het doorzocht de geïnfecteerde machine op zoek naar geheime informatie en e-mailde de gegevens terug naar de inbox van de hacker.
Dus wie haalde de trekker over? De meeste ogen wezen op Onel de Guzman, een jonge programmeur in de Filipijnen. De autoriteiten hebben hem onderzocht op beschuldiging van diefstal. Maar er was een juridisch obstakel. De Filipijnen kenden destijds geen specifieke wetten tegen computerspionage of digitale sabotage. Bij gebrek aan juridische dekking en onvoldoende bewijsmateriaal lieten de onderzoekers de zaak vallen. De Guzman heeft zijn schuld nooit bevestigd. Hij heeft het ook nooit ontkend.
De kosten van deze dubbelzinnigheid waren enorm. Schattingen schatten de schade als gevolg van de ILOVEYOU-worm wereldwijd op 10 miljard dollar. Dat is niet alleen verloren productiviteit. Dat betekent opnieuw opstarten van het systeem, gegevensherstel en de erosie van het vertrouwen in digitale communicatie.
De nasleep en de volgende bedreiging
Het liefdesfeest is voorbij. De worm is in de technische geschiedenis verdwenen, maar zijn erfenis blijft bestaan. Het liet zien hoe social engineering technische firewalls kon omzeilen. Het toonde aan dat menselijke nieuwsgierigheid de zwakste schakel in de veiligheidsketen was.
Maar virussen zijn niet de enige bedreiging. Er zijn ook virus-hoaxes. Dit zijn geen kwaadaardige code. Ze repliceren niet. Ze stelen geen gegevens. Het zijn valse waarschuwingen die bedoeld zijn om ontvangers in paniek te brengen. De makers hopen dat mediakanalen en gebruikers de hoax als feit zullen behandelen.
Het gevaar is hier indirect maar reëel. Het is de jongen die wolf riep. Wanneer een hoax zich verspreidt, raken mensen vermoeid. Ze beginnen waarschuwingen te negeren. Dan komt er een reële dreiging. En deze keer luistert niemand.
8: Het Klez-virus
Het patroon zet zich voort. Toen de beveiliging werd aangescherpt, ontstonden er nieuwe varianten. Het Klez-virus was een van de meest verspreide virussen die in de daaropvolgende jaren op internet terechtkwamen. Het combineerde de replicatie van de worm met de vermomming van het Trojaanse paard. Net als zijn voorgangers vertrouwde het erop dat de gebruiker de eerste stap zette. Klik op de bijlage. Vertrouw de afzender. Open het bestand.
Het Klez-virus zorgde in 2001 niet alleen voor meer lawaai. Het veranderde ook het draaiboek.
Het kwam laat dat jaar aan en bleef maandenlang hangen. De variaties ervan plaagden het internet. Het kernmechanisme was eenvoudig maar brutaal. De worm kwam binnen via e-mail. Het repliceerde. Vervolgens werd het adresboek van het slachtoffer gescand. Het stuurde kopieën naar iedereen die daar vermeld stond. Sommige varianten hadden een slechtere lading. Ze kunnen een computer onbruikbaar maken.
Afhankelijk van de versie gedroeg Klez zich anders. Soms gedroeg het zich als een traditioneel virus. Andere keren functioneerde het als een worm of een Trojaans paard. In één beruchte wending kan het uw antivirussoftware uitschakelen. Het zou zich zelfs kunnen voordoen als een hulpmiddel voor het verwijderen van virussen. Het bedrog was onderdeel van de aanval.
Hackers verfijnden deze aanpak snel. Ze hebben de code aangepast om de effectiviteit te vergroten. De e-mailspoofing-functie was de belangrijkste upgrade.
Net als eerdere wormen verzamelde het contacten uit uw adresboek. Maar het gebruikte niet alleen zijn eigen afzenderadres. Er werd een willekeurige naam uit de lijst gekozen. Het plaatste die naam in het veld ‘Van’ van de e-mailclient. Dit heet spoofen. De e-mail lijkt afkomstig te zijn van een vertrouwde bron. Het komt eigenlijk van de worm.
Deze techniek dient twee verschillende doelen. Ten eerste compliceert het de verdedigingsmechanismen. Het blokkeren van de afzender in het veld “Van” heeft geen zin. De e-mail komt niet van die persoon. Het komt van de geïnfecteerde machine. Als de worm een inbox met meerdere berichten spamt, kunnen de ontvangers de echte bron niet identificeren. Ze kunnen de echte dreiging niet blokkeren.
Ten tweede exploiteert het de psychologie. Mensen herkennen namen. Als in het veld ‘Van’ een vriend of collega staat, is de kans groter dat deze de bijlage opent. Vertrouwen is de kwetsbaarheid.
Bescherming tegen moderne bedreigingen
Het hebben van antivirussoftware is niet onderhandelbaar. Het actueel houden ervan is net zo belangrijk. Maar er is een vuistregel: gebruik slechts één suite. Het uitvoeren van meerdere antivirusprogramma’s zorgt voor conflicten. Ze interfereren met elkaar. Dit vertraagt uw systeem en kan gaten in de bescherming achterlaten.
Enkele gevestigde opties zijn onder meer:
- Avast-antivirus
- AVG AntiVirus
- Kaspersky AntiVirus
- McAfee VirusScan
- Norton AntiVirus
Het landschap van 2001 was druk. Dat jaar debuteerden verschillende grote virussen. De tactiek evolueerde snel. De volgende stap in deze tijdlijn omvat een ander soort dreiging.
7: Code Rood en Code Rood II
De zomer van 2001 was niet alleen maar warm. Het was gecompromitteerd.
Code Red en het vervolg, Code Red II, kwamen als een schokgolf op het internet terecht. Het maakte ze niet uit of je een gewone gebruiker of een bedrijfsserverbeheerder was. Als u Windows 2000 of Windows NT gebruikte, zat u in het vizier.
De exploit was lelijk maar eenvoudig. Een bufferoverloopprobleem. De systemen konden niet omgaan met het ontvangen van te veel gegevens. Toen de buffer vol raakte, stroomde deze over naar het aangrenzende geheugen. Er ontstond chaos.
De originele Code Red-worm had een specifiek, bijna theatraal doel. Het probeerde een gedistribueerde Denial of Service (DDoS)-aanval op het Witte Huis te initiëren. Stel je voor dat duizenden geïnfecteerde machines tegelijkertijd op dezelfde webservers hameren. De machines overbelasten totdat ze knikten. Het was lawaai. Het was chaos. Het was openbaar.
Code Rood II was anders. Het crashte niet alleen dingen. Het nam het over.
Het achterdeurprobleem
Zodra een Windows 2000-machine Code Red II oppikte, was deze niet langer uw eigendom. De worm creëerde een achterdeur in het besturingssysteem. Toegang op afstand was niet alleen mogelijk; het was gegarandeerd.
Dit is een compromis op systeemniveau. De persoon achter het virus heeft mogelijk toegang tot uw bestanden. Ze kunnen uw bandbreedte gebruiken. Ze kunnen uw machine zelfs gebruiken om misdaden te plegen.
Denk daar even over na. Je hebt niet alleen te maken met een trage computer. Mogelijk wordt u verdacht van misdaden die u niet heeft begaan. De aansprakelijkheid alleen al is genoeg om iemand ‘s nachts wakker te houden.
Windows NT-machines deden het iets beter, maar slechts per ongeluk. De virussen zorgden ervoor dat ze vaker crashten dan normaal. Dat was de omvang ervan. Geen achterdeurtjes. Geen afstandsbediening. Gewoon veel downtime. Vergeleken met het totale controleverlies op Windows 2000 was het crashen niet zo erg.
De patchval
Microsoft heeft snel gehandeld. Ze brachten softwarepatches uit die het beveiligingsprobleem in Windows 2000 en Windows NT aanpakten. Eenmaal gepatcht, konden de oorspronkelijke wormen een nieuwe machine niet langer infecteren.
Maar hier zit het addertje onder het gras. De patch verwijderde geen virussen van reeds geïnfecteerde computers. Als je al geraakt was, deed de patch niets voor je. Je moest het zelf opruimen.
Dan zit je met een lastige vraag. Wat doet u eigenlijk als u zich realiseert dat uw machine is gecompromitteerd?
Het hangt van het virus af. Veel antivirusprogramma’s kunnen een systeem schoonschrobben. Als het virus zich nog in een vroeg stadium bevindt, heb je misschien geluk. Maar als het virus bestanden of gegevens heeft beschadigd, moet u deze herstellen vanaf back-ups.
Dit is de reden waarom het maken van een back-up van uw informatie vaak niet alleen maar advies is. Het is een vereiste.
Met wormen als Code Red is het riskant om te vertrouwen op een eenvoudige antivirusscan. Sommige wormen zorgen ervoor dat andere schadelijke software op uw computer kan worden geladen. Ze verbergen dingen. Ze laten sporen na. Een standaardscan kan de secundaire infecties over het hoofd zien.
De veiligste zet is vaak de meest drastische. Formatteer de harde schijf volledig opnieuw. Begin opnieuw.
Het is pijnlijk. Je raakt je instellingen kwijt. Je raakt je apps kwijt. Je moet alles opnieuw installeren. Maar het is de enige manier om er zeker van te zijn dat de achterdeur verdwenen is.
6: Nimda
Begin 2001 was het internet al een chaotische plek, maar Nimda gooide een sleutel in de versnelling waarvan iedereen dacht dat die veilig was. De naam zelf was een brutale knipoog naar ‘admin’, achterstevoren gespeld, wat duidde op de ravage die het aanrichtte op de systeemrechten. Dit was niet zomaar een bug in het systeem. Het was een worm die sneller bewoog dan iemand ooit had gezien.
Volgens Peter Tippett, de toenmalige CTO van TruSecure, ging Nimda in slechts 22 minuten van nul naar volledig gerapporteerd in de aanvalslogboeken. Dat is geen typefout. Tweeëntwintig minuten. Het werd het snelst verspreidende computervirus van zijn tijd en zette een maatstaf voor snelheid waar beveiligingsingenieurs vandaag de dag nog steeds van zweten.
Gericht op de infrastructuur
Hoewel Nimda technisch gezien een pc thuis kon infecteren, waren zijn ogen gericht op internetservers. Het doel was niet alleen om met uw persoonlijke bestanden te knoeien. Het was de bedoeling om van de internetinfrastructuur een file te maken. Dit werd bereikt door gebruik te maken van meerdere vectoren voor de verspreiding, waaronder e-mailbijlagen en netwerkshares. Dankzij deze veelzijdige aanpak kon het in recordtempo over servers springen, waardoor de bandbreedte verstopt raakte en legitiem verkeer tot stilstand kwam.
De escalatieval van privileges
Hier werd Nimda slim en werd het echt gevaarlijk. De worm plaatste een achterdeur in het besturingssysteem van het slachtoffer. Maar het toegangsniveau dat werd verleend, was volledig afhankelijk van wie was ingelogd op het moment dat de infectie toesloeg.
Als een gemiddelde gebruiker met beperkte rechten de worm uitvoerde, kreeg de aanvaller beperkte toegang. Niet geweldig, maar beheersbaar. Als een beheerder de infectie heeft geactiveerd? De aanvaller kreeg de volledige controle. Volledige root-toegang. Deze dynamiek zorgde ervoor dat Nimda zich niet zomaar verspreidde; het schaalde zijn eigen macht op basis van de hiërarchie van het netwerk dat het binnenviel.
Een gedistribueerde Denial of Service (DDoS) per ongeluk
De enorme hoeveelheid verkeer die door de replicatie van Nimda en de achterdeuractiviteiten werd gegenereerd, fungeerde als een gedistribueerde denial-of-service-aanval. Hiervoor was geen botnet-opdrachtstructuur nodig. De worm zelf verbruikte systeembronnen, waardoor netwerksystemen crashten onder het gewicht van zijn eigen verspreiding. Het was een zelf toegebrachte DDoS die grote netwerken op de knieën bracht zonder enige externe coördinatie.
Bellen: virussen buiten de pc
Niet elke digitale dreiging leeft op een desktop of server. Het landschap van malware breidde zich uit naar draagbare apparaten en draagbare media, wat bewijst dat als het een chip en een verbinding heeft, het kan worden aangetast. Dit tijdperk zag de opkomst van virussen die zich richtten op de nieuwe golf van mobiele technologie.
- CommWarrior: Een worm die zich specifiek richtte op smartphones met het Symbian-besturingssysteem. Het maakte gebruik van Bluetooth en SMS om zich te verspreiden, waarbij gebruik werd gemaakt van de vroege afhankelijkheid van draadloze koppeling.
- Skulls Virus: Ook op Symbian-telefoons, deze was meer psychologisch dan functioneel. Het kaapte het startscherm en verving het door een afbeelding van een schedel in plaats van de voorkeursinterface van de gebruiker.
- RavMonE.exe: Een eigenaardige bedreiging die tussen 12 september 2006 en 18 oktober 2006 geproduceerde iPod MP3-spelers infecteerde. Het veranderde een muziekspeler in een vector voor kwaadaardige code.
- Vooraf geïnstalleerde bedreigingen: Fox News meldde in maart 2008 dat sommige elektronische gadgets de fabriek verlieten met reeds ingebouwde virussen. Deze hoefden zich aanvankelijk niet te verspreiden; ze wachtten tot je je apparaat met je computer synchroniseerde om over het hek te springen.
Deze draagbare virussen lieten zien dat veiligheid niet langer draait om het beschermen van de firewall. Het was
De vroege uren van eind januari 2003 veranderden de manier waarop internet naar zijn eigen kwetsbaarheid keek. Een nieuwe worm raasde met angstaanjagende snelheid door webservers. De meeste netwerken hadden er geen enkele verdediging tegen. Het resultaat was chaos. De geldautomaten van de Bank of America gingen uit. De 911-meldsystemen van Seattle faalden. Continental Airlines heeft vluchten aan de grond gehouden omdat hun elektronische incheckinfrastructuur instortte.
De aanvaller stond bekend als SQL Slammer of Sapphire.
Financiële schattingen schatten de schade op ruim 1 miljard dollar, voordat patches en antivirusdefinities hun achterstand konden inhalen. De verspreiding was bijna onbegrijpelijk. Binnen enkele minuten nadat hij zijn eerste doelwit had geïnfecteerd, verdubbelde Slammer het aantal slachtoffers elke paar seconden. Binnen een kwartier was bijna de helft van de kern-DNS-servers van het internet geïnfecteerd.
De les van snelheid
Slammer heeft een harde les geleerd. Alleen het hebben van de nieuwste patches en antivirussoftware is niet voldoende. Hackers jagen op niet-gepatchte kwetsbaarheden, vooral op kwetsbaarheden die niet algemeen bekend zijn. Virussen kun je niet zomaar uitschakelen. Je hebt een worstcasescenarioplan nodig. Wanneer een ramp toeslaat, is overtolligheid belangrijker dan preventie.
Een kwestie van timing
Sommige malware is ontworpen om te slapen. Het blijft inactief op de machine van een slachtoffer totdat een specifieke datum zijn lading activeert. De geschiedenis biedt een paar huiveringwekkende voorbeelden van tijdbommen:
- Het Jeruzalem-virus verwijderde gegevens op vrijdag de 13e.
- Het Michelangelo-virus werd geactiveerd op 6 maart 1992, ter gelegenheid van de verjaardag van de kunstenaar.
- Het Tsjernobyl-virus sloeg toe op 26 april 1999, de dertiende verjaardag van de reactorramp.
- Het Nyxem-virus wiste bestanden op de derde van elke maand.
Deze virussen maken misbruik van angst. Ze zorgen ervoor dat gebruikers zich hulpeloos en kwetsbaar voelen. Maar bij Slammer ging het niet alleen om timing. Het ging om snelheid. En het volgende hoofdstuk in dit verhaal van digitale paniek zou een nieuw niveau van persoonlijke overtreding met zich meebrengen.
4: Mijn ondergang
MyDoom, ook bekend als Novarg, was niet alleen hinderlijk. Het was een worm die een hardnekkige achterdeur in uw besturingssysteem installeerde. De oorspronkelijke soort – en haar vele varianten – was afhankelijk van twee specifieke triggers om haar gedrag te controleren. Het ene commando lanceerde op 1 februari 2004 een denial-of-service (DoS)-aanval. Het andere commando vertelde de worm op 12 februari te stoppen met verspreiden. Zelfs nadat de distributie was gestopt, bleven die achterdeurtjes open. De schade was al aangericht.
Later dat jaar trof een tweede golf verschillende zoekmachinebedrijven hard. MyDoom werkte net als veel van zijn collega’s: het doorzocht de computers van slachtoffers op zoek naar e-mailadressen om de replicatie ervan te stimuleren. Maar het ging nog een stap verder. Het stuurde ook zoekopdrachten naar zoekmachines en verzamelde de adressen die in de resultaten werden gevonden. Het resultaat was een stortvloed van miljoenen verzoeken van geïnfecteerde machines. Google en anderen zagen hun diensten traag worden of crashen, volledig onder het gewicht van dit verkeer.
De worm verspreidde zich via e-mail en peer-to-peer-netwerken. Op het hoogtepunt meldde MessageLabs dat één op de twaalf e-mails het virus bevatte. Net als het Klez-virus vervalste MyDoom afzenderadressen, waardoor het vrijwel onmogelijk werd om de bron van de infectie te achterhalen.
Oddball-virussen
Niet elk virus is ontworpen om uw hardware te verlammen of een netwerk te vernietigen. Sommige zorgen er gewoon voor dat computers zich vreemd gedragen. Neem Ping-Pong, een vroeg voorbeeld waarbij een stuiterende bal op het scherm werd weergegeven. Het veroorzaakte geen ernstige schade. Dan zijn er de ‘grappenprogramma’s’. Deze kunnen u ervan overtuigen dat uw pc is geïnfecteerd, maar het zijn onschadelijke toepassingen. Ze repliceren zichzelf niet. Als u niet zeker weet wat er op uw systeem draait, kunt u de verwijdering door antivirussoftware laten uitvoeren.
Vervolgens kijken we naar een paar virussen die door één enkele hacker zijn gemaakt: Sasser en Netsky.
De meeste malware-auteurs glippen door het net. Ze laten digitale voetafdrukken achter die vervagen voordat iemand het merkt. Maar af en toe houdt het spoor stand. Dit is wat er gebeurde met de Sasser- en Netsky-wormen. Beiden waren terug te voeren op één bron: Sven Jaschan, een 17-jarige uit Duitsland.
Twee verschillende wormen. Eén schepper.
Beveiligingsanalisten ontdekten de overeenkomsten in de codestructuren. Het was een vingerafdruk in de syntaxis. Het resultaat? Een zeldzaam moment waarop autoriteiten de oorsprong van een digitale plaag ontdekten.
Hoe Sasser Windows aanviel
De Sasser-worm gebruikte niet de gebruikelijke verdachten. Geen e-mailbijlagen. Geen social engineering-trucs. Er werd misbruik gemaakt van een specifieke kwetsbaarheid in Microsoft Windows.
Eenmaal binnen was de logica wreed in zijn eenvoud. De worm scande willekeurige IP-adressen. Er werden andere kwetsbare systemen gevonden. Er werd hen opgedragen de viruskopie te downloaden.
De echte schade was niet alleen de verspreiding. Het was de ontkenning van de dienst. De worm veranderde het besturingssysteem om normale afsluitingen te voorkomen. De enige manier om de chaos te stoppen was door de stroom uit te schakelen. Computers werden stenen totdat de batterij leeg was of de stekker eruit werd getrokken.
De Netsky-e-mailvloed
Netsky speelde een ander deuntje. Het bewoog zich via e-mail en Windows-netwerken. Het vervalste adressen om er legitiem uit te zien. Het zat verborgen in een bestandsbijlage van 22.016 bytes.
De impact was onmiddellijk en luidruchtig. Toen systemen bezweken onder het gewicht van het verkeer, kreeg het netwerk te maken met een denial-of-service-aanval. Het volume was duizelingwekkend.
Onderzoekers van Sophos schatten een tijdlang dat Netsky en zijn varianten 25 procent van alle computervirussen op internet uitmaakten. Dat is een enorme brok mondiale digitale ruis.
Gerechtigheid voor een minderjarige
Jaschan vermeed gevangenisstraf. Het resultaat was geen gevangeniscel. Hij kreeg een proeftijd van een jaar en negen maanden.
Het rechtssysteem behandelde hem anders vanwege zijn leeftijd. Omdat hij op het moment van zijn arrestatie nog geen 18 jaar oud was, kon hij niet als volwassene voor de Duitse rechtbanken worden berecht. De straf was lichter. De les was echter duidelijk.
Niet alleen Windows
We hebben ons sterk gericht op pc-malware. Windows domineert de bureaubladruimte, dus het is logisch. Maar Macintosh-computers zijn niet immuun. Ze zijn niet standaard veilig.
In het volgende gedeelte wordt het eerste virus onthuld dat zich specifiek op Mac OS richt. Het landschap verandert.
Wie zijn de zwarte hoeden?
Er bestaan goede heksen en slechte heksen in verhalen. Er bestaan in werkelijkheid goede hackers en slechte hackers.
De term voor de kwaadwillende acteur is zwarte hoed. Dit zijn de hackers die virussen maken. Zij zijn degenen die de veiligheid in gevaar brengen. Ze exploiteren kwetsbaarheden voor misdaad, niet voor ontdekking.
Ze verzamelen zich op conventies als Black Hat of Defcon. Tijdens deze evenementen bespreekt de industrie de impact van deze bedreigingen. Hier leggen ze uit hoe ze beveiligingsfouten gebruiken om misdaden te plegen.
Leap-A en Oompa-A
Misschien herinner je je die oude Apple-advertentie nog. Justin Long speelt het cool naast de zwetende, door virussen getroffen pc van John Hodgman. De pitch was simpel: Windows kent meer dan 100.000 bedreigingen. Mac’s? Niet zo veel.
Het is grotendeels waar. Beveiliging door onduidelijkheid zorgde ervoor dat Apple-gebruikers gemakkelijk konden ademen. Apple beheert zowel het silicium als de software. Die gesloten tuin betekende dat hackers minder prikkels hadden om code voor een nichemarkt te schrijven. Als u een virus schrijft, waarom zou u zich dan op het merk op de tweede plaats richten als u de meerderheid kunt bereiken?
Maar de ‘veilige’ reputatie barstte in 2006. Het Leap-A-virus, ook bekend als Oompa-A, bewees het punt. Het kwam via iChat de Macs binnen. Het schrapte je contactenlijst. Er werd een nep-JPEG verzonden. Het veroorzaakte niet veel schade, net genoeg om te laten zien dat de deur niet op slot zat.
Toen Macs de thuismarkt overnamen, volgden de hackers. Aangepaste malware begon zich te richten op de groeiende gebruikersbasis van Apple. Het karakter van Hodgman zou toch wraak kunnen nemen.
Maar we zijn hier niet om over de runner-ups te praten. We staan aan het einde van de lijst. De bovenste plek. Degene die om de juiste redenen de krantenkoppen haalde.
Inbreken in een lied
Laten we één ding duidelijk stellen: mediahysterie overtreft vaak de schade in de echte wereld. Neem het Michelangelo-virus. Het kreeg massale aandacht in de pers. De werkelijke schade? Minimaal. Het was meer een grap dan een catastrofe.
Die absurditeit inspireerde zelfs Virus Alert van “Weird Al” Yankovic. In het nummer waarschuwt hij voor ‘Stinky Cheese’, een fictieve malware die je harde schijf leegmaakt, je dwingt naar Jethro Tull te luisteren en je naam legaal verandert in Reggie.
Het is grappig omdat het absurd is. Echte virussen zijn niet zo theatraal. Ze zijn stil. Ze zijn volhardend. En de nummer één plek op onze lijst behoort tot een plek die bewees hoe gemakkelijk er van ons kan worden geprofiteerd.
1: Stormworm
De Stormworm brak niet zomaar binnen. Hij bestormde de poorten.
Waarom is het jaren later nog steeds relevant? Omdat het een pionier was in het social engineering-draaiboek dat we vandaag de dag nog steeds zien. Het was niet afhankelijk van een complexe zero-day-exploit om binnen te komen. Het was afhankelijk van het openen van een e-mail.
De worm verspreidde zich via e-mailbijlagen, vermomd als nieuwsberichten. Krantenkoppen over oorlog, natuurrampen of bedrijfsschandalen. Je ziet de onderwerpregel. Je voelt de urgentie. Jij klikt.
Eenmaal binnen zette het een botnet op. Een enorm netwerk van geïnfecteerde computers die samenwerken. Dit ging niet alleen over het verwijderen van bestanden. Het ging om controle. Dankzij de Storm Worm konden aanvallers spam verzenden, DDoS-aanvallen lanceren en tegelijkertijd gegevens van miljoenen machines stelen.
Daaruit bleek dat de zwakste schakel in de beveiliging niet de code is. Het is de mens. U kunt de beste firewall ter wereld hebben, maar als uw medewerker op een phishing-link klikt omdat hij of zij zich zorgen maakt over een belangrijk nieuwsbericht, is het spel afgelopen.
De Storm Worm heeft ons geleerd dat malware niet alleen een technisch probleem is. Het is een psychologische kwestie. En zolang mensen urgentie, nieuwsgierigheid of angst voelen, zal de inbox de frontlinie van de oorlog blijven.
Dus, wat is het volgende? Het landschap is veranderd. Mobiele apparaten, cloudinfrastructuur, IoT-gadgets. Het aanvalsoppervlak is groter dan ooit. Maar de werkwijze is vaak hetzelfde.
Je ziet een link. Je klikt erop. U vraagt zich af waarom uw computer een week later vreemd doet.
Het is geen magie. Het zijn gewoon slechte beslissingen, verpakt als nieuws.
De stormworm en de evolutie van malware
De Storm Worm arriveerde eind 2006 en overrompelde beveiligingsexperts. Het publiek gaf het zijn grimmige naam na het zien van e-mails met de onderwerpregel ‘230 doden terwijl de storm Europa teistert’. Antivirusbedrijven hadden er hun eigen labels voor. Symantec noemde het Peacomm. McAfee noemde het Nuwar. Deze naamgevingchaos was niet nieuw. Een virus uit 2001 droeg ook de naam W32.Storm.Worm. Haal ze niet door elkaar. Het zijn totaal verschillende programma’s.
De variant uit 2006 is een Trojaans paard. Het repliceert zichzelf niet alleen. Het levert een lading op. Die payload verandert afhankelijk van de versie. Soms verandert het de pc van een gebruiker in een zombie. Andere keren wordt er een bot gemaakt. Eenmaal geïnfecteerd, wordt de computer kwetsbaar voor afstandsbediening. Hackers achter de aanval kunnen nu de machine besturen. Ze gebruiken deze gecompromitteerde systemen om een botnet te bouwen. Dit netwerk van geïnfecteerde computers verzendt spammail over het internet.
Social engineering doet hier het zware werk. De worm verleidt slachtoffers om de kwaadaardige applicatie te downloaden. Het verschuilt zich achter valse links naar nieuwsverhalen of video’s. De aanvallers zijn slim. Ze werken de onderwerpregels van de e-mail bij zodat deze overeenkomen met de huidige gebeurtenissen. Vlak voor de Olympische Spelen van 2008 in Peking verschenen er nieuwe versies. Onderwerpen waren onder meer ‘een nieuwe dodelijke catastrofe in China’ of ‘China’s meest dodelijke aardbeving’. Als u op de link klikte, werd er geen nieuwsbericht weergegeven. Het activeerde een download van de worm.
De schaal was enorm. Verschillende persbureaus en blogs noemden dit een van de ergste virusaanvallen in jaren. In juli 2007 rapporteerde Postini meer dan 200 miljoen e-mails te hebben gedetecteerd met links naar de Storm Worm. Deze detectie duurde meerdere dagen. Goed nieuws? Niet elke e-mail leidde tot een infectie. Maar het volume alleen al was hoofdpijn.
Ondanks zijn wijdverbreide aanwezigheid is de Stormworm niet het moeilijkst te detecteren. Verwijdering is ook geen nachtmerrie. Houd uw antivirussoftware up-to-date. Dat is de basislijn. Wees voorzichtig met e-mails van onbekende afzenders. Negeer vreemde links. Doe dat, en u vermijdt grote hoofdpijn.
Voorbij de storm: inzicht in soorten malware
Computervirussen zijn slechts een subset van malware. Er zijn nog andere soorten die u moet kennen. Spyware en adware zijn veel voorkomende neven.
Spyware opereert in de schaduw. Het bespioneert wat een gebruiker met zijn computer doet. Een veel voorkomende tactiek is het registreren van toetsaanslagen. Het registreert elke ingedrukte toets. Het doel? Om inlogcodes en wachtwoorden te ontdekken. Adware is beter zichtbaar. Er worden advertenties weergegeven terwijl u grotere applicaties zoals een webbrowser gebruikt. Maar het is niet altijd onschadelijk. Sommige adware bevat code die adverteerders uitgebreide toegang geeft tot privégegevens.
De grens tussen ergernis en dreiging vervaagt hier.
