Computervirussen zijn een logistieke nachtmerrie. Ze kunnen uw harde schijf wissen. Ze kunnen het netwerkverkeer urenlang verstoppen. Ze kunnen uw onschuldige machine in een zombie veranderen, zichzelf repliceren en kopieën naar elk contact in uw adresboek sturen.
Als je nog nooit een machine het slachtoffer hebt zien worden, vraag je je misschien af waar die ophef over gaat. De zorg is terecht. Consumer Reports schatte dat computervirussen alleen al in 2008 hebben bijgedragen aan 8,5 miljard dollar aan consumentenverliezen. Ze vormen slechts een deel van de online bedreigingentaart, maar ze zijn misschien wel de bekendste.
De theorie vóór de malware
Computervirussen bestaan al tientallen jaren. Het concept dateert eigenlijk van vóór het moderne internet. In 1949 theoretiseerde wetenschapper John von Neumann dat zelfreplicerende programma’s mogelijk waren. De computerindustrie was amper tien jaar oud. Iemand had al bedacht hoe je een sleutel in de versnellingen moest gooien.
Het duurde nog een paar decennia voordat programmeurs, bekend als hackers, ze daadwerkelijk bouwden.
Vroege virusachtige programma’s waren gericht op grote mainframes. Maar de personal computer veranderde alles. Het bracht de dreiging onder de aandacht van het publiek. Fred Cohen, een promovendus, was de eerste die zichzelf replicerende programma’s die bedoeld waren om computers te wijzigen, omschreef als ‘virussen’. De naam bleef hangen.
Van diskettes tot e-mailketens
Begin jaren tachtig waren virussen voor hun verspreiding afhankelijk van menselijke arbeid. Een hacker zou de code op een diskette opslaan. Ze zouden de schijf distribueren. Je zou hem aansluiten. De infectie hield stand.
Virusoverdracht werd pas een echt probleem toen modems gemeengoed werden. Tegenwoordig stellen we ons voor dat computervirussen zich via internet verspreiden. Ze infecteren computers via e-mailberichten of beschadigde weblinks. Deze digitale soorten ontwikkelen zich veel sneller dan de eerste fysieke versies.
We gaan kijken naar de 10 ergste computervirussen die een systeem kunnen verlammen. Laten we beginnen met het Melissa-virus.
10: Melissa
David L. Smith schreef niet alleen code; hij schreef een culturele marker voor het aanbreken van het internettijdperk. In het voorjaar van 1999 ontwierp hij een Microsoft Word-macrovirus dat een van de eerste digitale bedreigingen zou worden die echt tot de verbeelding van het publiek zou spreken. Smith noemde het Melissa, en ontleent de naam aan een exotische danseres die hij kende in Florida. De keuze was ironisch, gezien het gedrag van het virus, dat veel minder om de aantrekkingskracht ging en meer om agressieve, geautomatiseerde replicatie.
De mechanismen van de infectie waren eenvoudig maar verwoestend effectief. Het virus vermomde zichzelf in een e-mailbericht met de onderwerpregel: “Hier is het document waar u om vroeg, laat het aan niemand anders zien.” Het speelde in op nieuwsgierigheid en geheimhouding, twee dingen waar mensen in een professionele omgeving notoir slecht in zijn. Wanneer een ontvanger het bijgevoegde document opende, werd de macro geactiveerd. Het heeft daar niet alleen gezeten. Het schrapte het Outlook-adresboek van het slachtoffer en stuurde kopieën van zichzelf naar de vijftig beste contacten.
Het Melissa-virus en de reactie van de overheid
De spreiding was exponentieel. Binnen enkele dagen verdronken netwerkbeheerders in het verkeer. De federale regering van de Verenigde Staten heeft hiervan kennis genomen. Volgens verklaringen van FBI-functionarissen aan het Congres heeft het Melissa-virus grote schade aangericht aan netwerken van de overheid en de particuliere sector. De enorme hoeveelheid geïnfecteerde e-mails zorgde ervoor dat mailservers vastliepen. Sommige bedrijven werden gedwongen hun e-mailprogramma’s volledig stop te zetten totdat de verspreiding kon worden ingeperkt.
Smith werd uiteindelijk gepakt. De juridische gevolgen waren snel en ernstig. Na een langdurig proces verloor Smith zijn zaak en kreeg hij een gevangenisstraf van 20 maanden. De rechtbank legde Smith ook een boete van $ 5.000 op en verbood hem toegang te krijgen tot computernetwerken zonder toestemming van de rechtbank. Hoewel Melissa het wereldwijde internet niet permanent lamlegde, zorgde het wel voor een wake-up call. Het bewees dat code die is geschreven voor kantoorproductiviteit als wapen kon worden ingezet om de bedrijfsinfrastructuur op de knieën te krijgen.
Smaken van virussen
Om te begrijpen waarom Melissa zo gevaarlijk was, moet je kijken naar hoe malware wordt gecategoriseerd. De meeste mensen gebruiken de term ‘virus’ als verzamelnaam, maar de technische verschillen zijn van belang voor de verdediging en het begrip.
- Computervirus : dit is de algemene term voor programma’s die de werking van een computer wijzigen en vaak bestanden of systemen beschadigen. Een echt virus heeft een host -programma nodig om correct te kunnen werken. Melissa gebruikte een Word-document als host. Het zou niet zelfstandig kunnen bestaan.
- Worm : In tegenstelling tot een virus heeft een worm geen hostprogramma nodig. Het is een zelfstandige applicatie die zichzelf kan repliceren en zichzelf rechtstreeks via computernetwerken kan sturen. Het is sneller, zelfvoorzienend en vaak moeilijker te stoppen omdat er geen gebruiker nodig is om een bestand te openen.
- Trojaans paard : deze programma’s beweren het ene te doen, maar doen in werkelijkheid iets anders. Ze kunnen eruitzien als legitieme software of games. Eenmaal geïnstalleerd, kunnen ze de harde schijf van een slachtoffer beschadigen of een achterdeur creëren, waardoor een externe gebruiker toegang kan krijgen tot het computersysteem van het slachtoffer.
Het begrijpen van deze verschillen is niet alleen academisch. Het verandert de manier waarop u uw gegevens beschermt. Als u weet dat een bedreiging een worm is, concentreert u zich op netwerkpoorten en firewalls. Als het een Trojaans paard is, richt u zich op gebruikerseducatie en bronverificatie.
Ouderwetse virussen
Vóór Melissa waren er andere vroege infecties. Enkele van de eerste virussen die personal computers infecteerden, waren de Apple-virussen, die in de jaren tachtig Apple II-computers aanvielen. Deze gingen minder over massavernietiging en meer over experimenten, maar ze legden de basis voor alles wat volgde. De evolutie van eenvoudige grappen naar netwerkvernietigende code zoals Melissa markeerde een verschuiving in de intentie. De kwaadwillende acteurs waren niet alleen maar aan het pronken; ze waren de grenzen van connectiviteit aan het testen.
9: IK HOU VAN JE
Het door Melissa vastgestelde patroon verdween niet. Het evolueerde. Een paar jaar later zou er een nieuwe bedreiging via e-mail opduiken, een bedreiging die Melissa in de schaduw zou stellen in termen van mondiale impact. Het
Het was precies een jaar geleden dat het Melissa-virus het digitale landschap overspoelde. De volgende grote dreiging kwam niet van de gebruikelijke verdachten. Het kwam uit de Filipijnen.
Dit was geen macrovirus zoals Melissa. Het was een worm. Op zichzelf staand. Zelfreplicerend. Het droeg een naam die berucht zou worden: ILOVEYOU.
Het leveringsmechanisme was bedrieglijk eenvoudig. Net als zijn voorganger reisde hij via e-mail. De onderwerpregel was een haakje: ‘Liefdesbrief van een geheime aanbidder.’ De bijlage? LIEFDE-BRIEF-VOOR-JOU.TXT.vbs.
Die .vbs -extensie was het veelbetekenende teken. Het verwees naar Visual Basic Scripting, de taal die de maker gebruikte om de vernietigingsmachine te bouwen.
McAfee bracht later de volledige omvang van de schade in kaart. De worm kopieerde niet alleen zichzelf. Het begroef kopieën in verschillende mappen op de harde schijf. Het injecteerde nieuwe vermeldingen in het Windows-register. Het overschreef specifieke bestandstypen met zijn eigen code. Het verspreidde zich via Internet Relay Chat (IRC)-clients, niet alleen via e-mail.
En dan was er nog de lading.
De worm heeft een bestand gedownload met de naam WIN-BUGSFIX.EXE. Het voerde het programma uit. De naam impliceerde een systeemreparatietool. In werkelijkheid was het een identiteitsdief. Het bemachtigde wachtwoorden en andere gevoelige gegevens en e-mailde de buit vervolgens rechtstreeks naar de hacker.
De maker en de kosten
Wie heeft dit gebouwd? De meeste ogen wezen op Onel de Guzman, een Filippijnse student.
Filippijnse autoriteiten onderzochten hem wegens diefstal. Het rechtssysteem vertoonde echter een leemte. Destijds kenden de Filipijnen geen wetten die specifiek computerspionage of -sabotage aanpakken. Zonder de juiste statuten waaraan hem kon worden vastgepind, werden de aanklachten ingetrokken.
De Guzman heeft zijn rol nooit bevestigd. Hij heeft het ook nooit ontkend.
De financiële tol was enorm. Schattingen schatten de schade wereldwijd op $10 miljard. Het blijft een van de duurste cyberaanvallen uit de geschiedenis.
Het nepdreiging: virushoaxes
Nu het liefdesfeest voorbij was, kreeg de digitale wereld te maken met een ander soort lawaai. Geen malware. Geen wormen.
Virus-hoaxes.
Dit zijn geen echte bedreigingen. Ze repliceren niet. Ze corrumperen de gegevens niet. Het zijn verzonnen waarschuwingen die bedoeld zijn om gebruikers en mediakanalen in paniek te brengen. Het doel is aandacht. Het effect is vermoeidheid.
Denk eens aan de dynamiek van de ‘jongen die wolf riep’. Wanneer elke e-mail beweert een dodelijk, niet te stoppen virus te zijn, beginnen mensen de waarschuwingen te negeren. Uiteindelijk, wanneer er een reële dreiging arriveert, worden de waarschuwingssignalen afgedaan als gewoon een hoax.
Het creëert een laag van scepticisme waar hackers misbruik van kunnen maken. Als je niet kunt zien wat echt is, ben je kwetsbaar voor alles.
Het Klez-virus
Het volgende hoofdstuk in dit tijdperk van wijdverbreide digitale paniek betrof een virus met een naam die bleef hangen: Klez.
Het Klez-virus arriveerde eind 2001 en betekende een verandering in de manier waarop bedreigingen werkten. Het infecteerde niet alleen; het verspreidde zich met een verfijning die eerdere malware ontbeerde. Variaties plaagden netwerken maandenlang en zetten een nieuwe standaard voor snelheid en stealth.
Het kernmechanisme was eenvoudig maar verwoestend. De worm kwam binnen via e-mail. Eenmaal binnen werd het adresboek van het slachtoffer gekopieerd en gebruikt om kopieën naar contacten te sturen. Maar het was niet alleen maar hinder. Sommige versies bundelden destructieve ladingen die systemen konden verlammen. Het vermengde gedrag. In sommige gevallen gedroeg het zich als een traditioneel virus. In andere gevallen gedroeg het zich als een worm of een Trojaans paard.
Het gevaarlijkste aspect? Klez kon antivirussoftware uitschakelen. Het imiteerde zelfs verwijderingstools om gebruikers te misleiden om hun eigen verdediging uit te schakelen.
De kunst van het spoofen
Hackers verfijnden de code snel. Ze beseften dat alleen het versturen van e-mails niet genoeg was. Ze moesten het menselijk scepticisme omzeilen.
Voer spoofing in.
Het virus heeft het veld ‘Van’ gewijzigd. Het is niet alleen vanuit zichzelf verzonden. Het haalde een willekeurige naam uit de contactenlijst van het slachtoffer en gebruikte dat adres. De e-mail leek afkomstig te zijn van een vriend, een collega of een bekende entiteit.
Deze tactiek diende meerdere doelen. Het blokkeren van de afzender had geen zin. De echte bron was verborgen. Een slachtoffer kon het adres niet zomaar in zijn client blokkeren omdat het adres vals was. De spam kan een inbox snel verstoppen. Ontvangers konden de ware oorsprong niet achterhalen.
Erkenning speelde een psychologische rol. Mensen openen eerder e-mails van bekende contacten. Als in het veld ‘Van’ een vertrouwde naam stond, viel de waakzaamheid van de ontvanger weg. Ze klikten. De worm verspreidde zich.
Verdedigen tegen de verspreiding
Bescherming vereist strategie. U hebt antivirussoftware nodig. Je moet het actueel houden. Regels zijn streng. Installeer niet meerdere suites. Overlappende programma’s interfereren. Ze conflicteren. Ze vertragen uw systeem. Ze creëren kwetsbaarheden.
In 2001 doken een aantal grote bedreigingen op. Het landschap veranderde.
Gemeenschappelijke hulpmiddelen voor verdediging waren onder meer:
- Avast-antivirus
- AVG AntiVirus
- Kaspersky AntiVirus
- McAfee VirusScan
- Norton AntiVirus
Het actief en actueel houden van een van deze is de basislijn. Niets meer. Niets minder.
Voorbij Klez
Het web is geëvolueerd. De bedreigingen evolueerden sneller.
7: Code Rood en Code Rood II
De volgende golf richtte zich op servers. De focus verschoof van individuele gebruikers naar infrastructuur. De implicaties waren breder. De schade zat dieper.
De zomer van 2001 bracht twee duidelijke bedreigingen met zich mee: de originele Code Red en het vervolg, Code Red II. Beiden richtten zich op dezelfde fout. Ze maakten met name misbruik van een bufferoverloopkwetsbaarheid in Windows 2000- en Windows NT-systemen. Wanneer deze machines meer gegevens ontvingen dan hun buffers aankonden, werd het aangrenzende geheugen overschreven. Het resultaat was een crash of, erger nog, een overname.
De aanval op het Witte Huis en het systeemcompromis
De eerste worm had een duidelijke agenda. Het lanceerde een gedistribueerde Denial of Service (DDoS)-aanval op de webservers van het Witte Huis. Geïnfecteerde computers over de hele wereld pingen tegelijkertijd hetzelfde doel. Het doel was simpel: de machines overbelasten totdat ze niet meer reageerden.
Code Rood II was anders. Het crashte niet alleen systemen. Het creëerde een achterdeur in het besturingssysteem. Hierdoor konden externe gebruikers toegang krijgen tot de besmette machine en deze controleren. In technische termen is dit een compromis op systeemniveau. De eigenaar verliest alle zeggenschap over zijn eigen hardware.
De gevolgen zijn ernstig. Een aanvaller kan toegang krijgen tot persoonlijke informatie of de geïnfecteerde computer gebruiken om misdaden te plegen. Het slachtoffer wordt niet alleen geconfronteerd met een kapotte pc. Ze lopen ook het risico onder verdenking van de politie te vallen wegens misdaden die ze niet hebben begaan.
Windows NT versus Windows 2000
Niet alle machines leden in gelijke mate. Windows NT-systemen waren inderdaad kwetsbaar. De impact was echter minder extreem. Webservers met Windows NT kunnen vaker crashen dan normaal. Maar dat was grotendeels de omvang van de schade. Vergeleken met het totale controleverlies dat Windows 2000-gebruikers ervaren, kwamen NT-gebruikers er relatief gemakkelijk vanaf.
Het patch-dilemma
Microsoft heeft patches uitgebracht om het onderliggende beveiligingslek in beide besturingssystemen te verhelpen. Eenmaal gepatcht konden de oorspronkelijke wormen geen nieuwe Windows 2000-machines meer infecteren. Maar er zat een addertje onder het gras. De patch verwijderde bestaande virussen niet. Slachtoffers moesten hun systemen zelf schoonmaken.
Wat te doen bij infectie
Als u erachter komt dat uw computer is geïnfecteerd, is dit stressvol. De juiste reactie is afhankelijk van de specifieke malware. Veel antivirusprogramma’s kunnen virussen van een geïnfecteerd systeem verwijderen. Maar als het virus bestanden of gegevens heeft beschadigd, moet u deze herstellen vanaf back-ups.
Dit is de reden waarom regelmatige back-ups niet onderhandelbaar zijn. Voor wormen als Code Red is een simpele opruimactie niet voldoende. Het is raadzaam om de harde schijf volledig opnieuw te formatteren en opnieuw te beginnen. Sommige wormen zorgen ervoor dat andere schadelijke software op uw computer kan worden geladen. Een standaard antivirusonderzoek kan deze secundaire bedreigingen over het hoofd zien.
6: Nimda
De Nimda-worm: snelheid en ernst
Als je in 2001 de serverlogboeken bekeek, had Nimda je waarschijnlijk overrompeld. De naam was niet willekeurig. Het is ‘admin’ achterstevoren gespeld, een subtiele graaf naar de systeemrechten die de worm probeerde te misbruiken. Volgens Peter Tippett, de toenmalige CTO van TruSecure, ging Nimda het internet op en wist zich in slechts 22 minuten een weg te banen naar de top van de gerapporteerde aanvallen. Dat is geen typfout. Tweeëntwintig minuten om het snelst verspreidende computervirus van zijn tijd te worden.
De meeste malware wil uw persoonlijke gegevens. Nimda wilde bandbreedte.
De voornaamste doelwitten waren internetservers. Hoewel een pc thuis geïnfecteerd kon raken, was het echte doel van de worm het verkeer te verstikken. Het veranderde geïnfecteerde machines in zombieknooppunten, waardoor effectief een DDoS-aanval (Distributed Denial-of-Service) werd uitgevoerd. De worm was een hydra met meerdere koppen. Het verspreidde zich via e-mailbijlagen, kwetsbare webservers en gedeelde netwerkschijven. Deze multivectorbenadering zorgde ervoor dat er niet slechts op één deur werd geklopt; het sloeg elk raam in het gebouw kapot.
Eenmaal binnen heeft Nimda een achterdeur in het besturingssysteem uitgehouwen. Het toegangsniveau dat het verleende, was volledig afhankelijk van de gebruiker die het activeerde. Als een standaardgebruiker met beperkte rechten op het verkeerde bestand klikte, kreeg de aanvaller beperkte toegang. Als er een beheerder was ingelogd, nam de aanvaller het stuur over. Volledige controle. Uitvoering op afstand. De worm at systeembronnen op totdat netwerksystemen onder het gewicht crashten.
Voorbij de pc: draagbare bedreigingen
Niet alle malware bevindt zich op uw bureaublad. Sommige richten zich op de apparaten die u in uw zak of tas draagt.
Halverwege de jaren 2000 verschoof het dreigingslandschap naar draagbaarheid. CommWarrior richtte zich op smartphones met het Symbian-besturingssysteem en verspreidde zich via Bluetooth en MMS. Het kopieerde zichzelf niet alleen; het registreerde gebruikersgegevens en verwijderde bestanden. Een andere Symbian-dreiging, het Skulls Virus, was meer visueel dan destructief. Het verving het startscherm van de telefoon door een afbeelding van schedels, waardoor een communicatieapparaat in een digitaal reclamebord voor horror veranderde.
Opslagapparaten werden ook vectoren. Met RavMonE.exe geïnfecteerde iPod MP3-spelers geproduceerd tussen 12 september 2006 en 18 oktober 2006. Het virus verstopte zich in de muziekbestanden en wachtte om naar een computer te springen wanneer het werd gesynchroniseerd. Dit was niet theoretisch. Fox News meldde in maart 2008 dat sommige elektronische gadgets de fabriek verlieten met vooraf geïnstalleerde virussen. Je hoefde niets te downloaden. U hoeft het apparaat alleen maar op uw machine aan te sluiten en te synchroniseren.
De grens tussen hardware- en softwarekwetsbaarheid vervaagde. Een goedkoop gadget zou een Trojaans paard kunnen zijn.
SQL Slammer en de Sapphire Wave
De volgende grote vernietigingsgolf richtte zich op de ruggengraat van de data-infrastructuur. SQL Slammer, ook bekend als Sapphire, vertrouwde niet op gebruikersinteractie. Je hoefde niet op een e-mail te klikken of een gecompromitteerde iPod te plaatsen.
Er werd misbruik gemaakt van een bufferoverloopkwetsbaarheid in Microsoft SQL Server. Het richtte zich specifiek op versies 7.0 en 2000 waarop niet de nieuwste beveiligingspatches waren toegepast. De worm was klein. Slechts 370 bytes. Dankzij dit kleine formaat paste het in een enkel UDP-pakket, waardoor het ongelooflijk efficiënt werd verspreid.
Zodra het een kwetsbare server had gevonden, scande het willekeurige IP-adressen in bursts. De snelheid was angstaanjagend. De worm verspreidde zich zo snel dat hij de netwerkinfrastructuur overweldigde voordat veel beheerders de dreiging zelfs maar konden identificeren. Grote netwerken vielen uiteen. Computers van luchtvaartmaatschappijen werden donker. Bankautomaten stopten met het verwerken van transacties. Het internet zelf vertraagde tot een kruip.
SQL Slammer gedemonstreerd
Het was eind januari 2003. Het internet voelde kwetsbaar. Een nieuw webservervirus scheurde door het netwerk en maakte gebruik van een fundamenteel gebrek aan voorbereiding. De resultaten waren onmiddellijk en chaotisch. Het geldautomatennetwerk van Bank of America werd donker. De 911-hulpdienst van Seattle ondervond aanzienlijke storingen. Continental Airlines heeft vluchten aan de grond gehouden omdat hun elektronische ticketing- en inchecksystemen faalden.
De oorzaak? SQL Slammer, ook bekend als Sapphire.
De geschatte schade bedroeg meer dan $ 1 miljard. Dat aantal is onthutsend voor 2003. De snelheid van de aanval was de echte verschrikking. Binnen enkele minuten nadat het virus de eerste server had bereikt, verdubbelde het aantal geïnfecteerde hosts elke paar seconden. Binnen vijftien minuten had het bijna de helft van de kritieke serverinfrastructuur van het internet in gevaar gebracht. Het was een race tegen de klok die het internet ternauwernood overleefde.
Waarom SQL Slammer de beveiligingsparadigma’s veranderde
De les van Slammer ging niet alleen over kwetsbaarheid. Het ging om responstijd. U kunt er niet alleen op vertrouwen dat u over de nieuwste patches of antivirushandtekeningen beschikt. Hackers jagen op onbekende zwakheden: zero-days die nog niet zijn onthuld. Hoewel patchen essentieel blijft, heeft de Slammer-aanval bewezen dat je een noodherstelplan nodig hebt. Je moet het moment overleven voordat de oplossing arriveert.
Deze mentaliteitsverandering benadrukte het belang van veerkracht boven pure preventie. De kwetsbaarheid zelf was minder belangrijk dan hoe snel deze zich verspreidde.
Een kwestie van timing: de opkomst van door de tijd veroorzaakte malware
Niet alle virussen slaan onmiddellijk toe. Sommige zijn geprogrammeerd om te slapen. Ze wachten. Ze blijven sluimerend op de machine van een slachtoffer totdat een specifieke datum hun lading activeert. Deze tactiek voegde een laag psychologische oorlogsvoering toe aan cyberaanvallen. Je wist nooit wanneer de klok zou opraken.
De geschiedenis biedt een grimmige catalogus van deze op tijd gebaseerde bedreigingen:
- Het Jerusalem-virus: Wordt elke vrijdag de 13e geactiveerd en beschadigt gegevens op de harde schijf.
- Het Michelangelo-virus: Geactiveerd op 6 maart 1992, ter gelegenheid van de verjaardag van de Italiaanse kunstenaar (geboren op 6 maart 1475).
- Het Tsjernobyl-virus: gelanceerd op 26 april 1999, de 13e verjaardag van de kernramp.
- Het Nyxem-virus: Verwijderde bestanden van geïnfecteerde computers op de derde van elke maand.
Deze voorbeelden laten zien dat malware geduldig kan zijn. Het kan wachten tot u minder op uw hoede bent. Het gevoel van hulpeloosheid dat hierdoor ontstaat is krachtig. Je bent kwetsbaar. Je bent moedeloos.
Dit emotionele landschap vormt het toneel voor de volgende grote bedreiging. Een virus met een naam die die gevoelens perfect verwoordde.
4: Mijn ondergang
MyDoom, ook bekend als Novarg, infecteerde niet alleen machines. Er werd een achterdeur geïnstalleerd. Hierdoor kregen aanvallers lang na de eerste infectie voortdurend toegang tot het besturingssysteem. De oorspronkelijke soort had een wreed schema. Twee specifieke triggers dicteerden zijn gedrag.
De eerste trigger lanceerde op 1 februari 2004 een Denial-of-Service (DoS)-aanval op servers van de SCO Group. Het tweede commando zorgde ervoor dat de worm zich niet verder verspreidde op 12 februari 2004. Hoewel de distributie stopte, bleven de achterdeurtjes open. Slachtoffers bleven kwetsbaar voor afstandsbediening.
De aanval op zoekmachines
Later in 2004 sloeg MyDoom opnieuw toe. Deze keer richtte het zich op zoekmachinebedrijven. De worm scande lokale harde schijven op e-mailadressen. Vervolgens werden deze adressen gebruikt om zoekopdrachten in te vullen. Het stuurde deze verzoeken naar zoekmachines zoals Google.
Het resultaat was chaos. Beschadigde computers overspoelden Google met miljoenen geautomatiseerde zoekopdrachten. Het enorme verkeersvolume vertraagde de dienstverlening. In sommige gevallen veroorzaakte dit crashes. Dit was geen typisch virusgedrag. Het veranderde gebruikersapparaten in wapens tegen de infrastructuur.
Stealth en schaal
MyDoom verplaatste zich via e-mail en peer-to-peer-netwerken. Beveiligingsbedrijf MessageLabs meldde dat één op de twaalf e-mails de worm op zijn hoogtepunt bevatte. De worm vervalste afzenderadressen. Dit maakte het traceren van de oorsprong vrijwel onmogelijk. Het weerspiegelde de tactiek van het Klez-virus. Spoofing zorgde voor verwarring en vertraagde de reactietijden.
Vreemde virussen en onschadelijke trucs
Niet elke bedreiging vernietigt gegevens. Sommige virussen zorgen ervoor dat computers zich vreemd gedragen. Het Ping-Pong-virus creëerde een stuiterende balafbeelding. Het richtte geen echte schade aan. Het was een visuele hinder, geen vernietigende kracht.
Veel “virussen” zijn eigenlijk grapprogramma’s. Ze bootsen infectiesymptomen na, maar reproduceren zichzelf niet. Ze kunnen het scherm bevriezen of vreemde pop-ups weergeven. Dit zijn onschadelijke toepassingen. Als u een infectie vermoedt, laat antivirussoftware dit dan afhandelen. Ga er niet van uit dat al het vreemde gedrag een virus is.
De Sasser- en Netsky-verbinding
Het volgende hoofdstuk gaat over twee specifieke bedreigingen. Ze delen een gemeenschappelijke schepper. De Sasser-worm en het Netsky-virus zijn voortgekomen uit dezelfde hacker. Hun impact was duidelijk maar even belangrijk in de evolutie van malware.
Virusschrijvers blijven meestal in de schaduw. Ze maken hun code, geven deze vrij en verdwijnen in de digitale ether. Maar af en toe wordt het spoor alleen voor de autoriteiten koud. De wormen Sasser en Netsky zijn het bewijs dat je je niet altijd in het volle zicht kunt verbergen. Beveiligingsexperts hebben beide teruggevoerd op één enkele bron: een 17-jarige Duitser genaamd Sven Jaschan.
De code vertelde het verhaal. De wormen gedroegen zich natuurlijk anders. Maar de vingerafdrukken in de broncode waren identiek. Dezelfde logica. Dezelfde eigenaardigheden. Dezelfde handen.
De brute eenvoud van de Sasser Worm
Sasser hield zich niet bezig met social engineering. Je hoefde niet op een link te klikken of een rare bijlage te openen. Het vond zijn slachtoffers met geweld.
De worm maakte misbruik van een kwetsbaarheid in Microsoft Windows. Het richtte zich specifiek op de LSASS-service. Eenmaal binnen ging het aan het werk. Het scande willekeurige IP-adressen, op zoek naar andere kwetsbare machines. Toen het er een vond, stuurde het geen e-mail. Het maakte rechtstreeks verbinding en instrueerde de nieuwe host om de worm te downloaden.
Toen kwam de wending. Sasser heeft het besturingssysteem van het slachtoffer gewijzigd. Het schakelde de mogelijkheid uit om de computer via de normale kanalen af te sluiten of opnieuw op te starten. De enige manier om de chaos te stoppen was door de machine een harde reset uit te voeren. Trek de stekker eruit. Het was een denial-of-service-aanval die in de structuur van het geïnfecteerde besturingssysteem was ingebouwd.
Netsky’s e-mailspamengine
Netsky speelde een ander spel. Het bewoog zich via e-mail en Windows-netwerken. Het vervalste e-mailadressen om berichten er legitiem uit te laten zien. De lading? Een bestandsbijlage van precies 22.016 bytes groot.
Terwijl Netsky zich verspreidde, verstopte het netwerken. Systemen bezweken onder het gewicht van het verkeer. Het lanceerde effectief een gedistribueerde denial-of-service (DoS)-aanval terwijl machines moeite hadden om de zondvloed te verwerken.
Op zijn hoogtepunt schatten beveiligingsonderzoekers van Sophos dat Netsky en zijn varianten 25 procent van alle computervirussen op internet uitmaakten. Dat is niet alleen maar lawaai. Dat is een overstroming.
Het vonnis
Jaschan werd geconfronteerd met ernstige aanklachten. Maar zijn leeftijd veranderde alles. Omdat hij jonger was dan 18 toen hij werd gearresteerd, berechtten de Duitse rechtbanken hem niet als volwassene. Hij vermeed gevangenisstraf. In plaats daarvan kreeg hij een proeftijd van een jaar en negen maanden.
Het is een milde straf voor de veroorzaakte schade. Maar het wijst op een leemte in de manier waarop we omgaan met cybercriminaliteit onder jongeren. De code was volwassen. De crimineel was een kind.
Macs zijn niet veilig
We hebben de afgelopen paar secties over Windows gesproken. Het is het grote doelwit. Het meest voorkomende besturingssysteem. Maar ervan uitgaan dat Macintosh-computers immuun zijn, is een gevaarlijke vergissing.
Dat zijn ze niet.
In het volgende gedeelte wordt het eerste virus onthuld dat zich specifiek op Mac-systemen richt. Het was niet zomaar een haven. Het was een unieke aanval.
2: Leap-A/Oompa-A
Zwarte hoeden en witte hoeden
Hacken gaat niet alleen over code. Het gaat om intentie.
In de technische wereld lenen we van fantasie. Goede heksen en slechte heksen in Oz. Goede hackers en slechte hackers in werkelijkheid. De term voor de kwaadwillende acteur is een zwarte hoed.
Dit zijn de mensen die virussen maken. Ze vinden kwetsbaarheden niet om ze te repareren, maar om ze te exploiteren. Ze begaan misdaden. Ze compromitteren systemen voor winst, chaos of aandacht.
Sommigen van hen wonen conferenties bij. De Black Hat-conferentie. Defcon. Ze komen samen om hun vak te bespreken. Ze vertellen hoe ze de beveiliging hebben omzeild. Hoe ze een zero-day-exploit gebruikten. Ze verbergen het niet volledig. Ze dragen hun identiteit als een badge.
Het staat in schril contrast met de witte hoeden. De
“Het Leap-A-virus veroorzaakt niet veel schade aan computers, maar laat wel zien dat zelfs een Mac-computer ten prooi kan vallen aan kwaadaardige software.”
Jarenlang was de heersende wijsheid in technische kringen dat de ommuurde tuin van Apple veilig was. Justin Long verkocht in die beroemde advertenties niet alleen coole esthetiek; hij verkocht het idee van veiligheid door onduidelijkheid. Omdat Macs een kleiner deel van de thuismarkt in handen hadden dan pc’s, hadden hackers minder reden om tijd te verspillen aan het bouwen van payloads voor hen. De logica was ijskoud efficiënt: waarom mikken op tienduizend slachtoffers als je ook op tien miljoen kunt mikken? De verticale integratie van Apple – waarbij zowel de hardware als het besturingssysteem werden gemaakt – zorgde ervoor dat het besturingssysteem relatief ondoorzichtig bleef voor de buitenwereld. Het was geen perfecte beveiliging, maar het was voldoende om de meeste malware op afstand te houden.
Toen kwam 2006.
Het Leap-A-virus (ook bekend als Oompa-A) gaf niets om marktaandeel. Het maakte gebruik van iChat, de instant messaging-app, om zich te verspreiden. Het was niet nodig om de kernel te hacken. Je hoefde alleen maar op een bestand te klikken dat eruitzag als een onschuldig JPEG-bestand, maar in werkelijkheid een beschadigd uitvoerbaar bestand was. Eenmaal binnen scant het uw contactenlijst en stuurt het zichzelf naar uw vrienden. Het was rommelig. Het was vervelend. Maar het bewees het punt: als genoeg mensen Macs gebruiken, zullen er hackers komen.
Nu is het gesprek verschoven. We kijken naar de eerste plaats op de lijst met belangrijke computerbedreigingen, en het is geen Trojaans paard dat zich verbergt in een illegale filmdownload. Het is de Stormworm, ook bekend als Niur of Vobfus.
Wat is de stormworm?
De Stormworm ontstond begin 2007 en veroorzaakte een golf van paniek over de Y2K-bug en andere spraakmakende technologische angsten. Het kwam via e-mail binnen met een onderwerpregel die bedoeld was om onmiddellijke angst op te wekken. De inhoud was vaag en verwees vaak naar veiligheidskwesties of politieke schandalen, maar de bijlage was het echte lokaas. De bestandsnaam zou ‘storm.exe’ kunnen zijn of iets vergelijkbaars, maar als je erop klikte, gingen de sluizen open.
Dit was niet alleen een virus in de traditionele zin. Het was een worm. Het verspreidde zich automatisch. Er werd niet gewacht op gebruikersinteractie na de eerste klik. Het gebruikte peer-to-peer (P2P)-netwerken om zich te verspreiden, wat betekent dat het niet alleen afhankelijk was van e-mailservers om van machine naar machine te gaan. Dit maakte het ongelooflijk moeilijk om te stoppen. Je kunt niet zomaar een IP-adres blokkeren of een server patchen. Je moest individuele geïnfecteerde knooppunten opsporen.
Hoe de stormworm werkte
De Storm Worm was geavanceerd voor zijn tijd. Het creëerde meerdere kopieën van zichzelf op verschillende locaties op uw harde schijf, waardoor verwijdering vrijwel onmogelijk werd zonder gespecialiseerde hulpmiddelen. Het opende poorten op uw computer en veranderde uw machine in een bot: een zombiesoldaat in een groter leger.
Dit leidt tot de meest voorkomende vraag die gebruikers hebben over dit tijdperk van malware: waarom was de Storm Worm zo schadelijk als hij geen bestanden vernietigde?
Het antwoord ligt in het botnet. Een botnet is een netwerk van gecompromitteerde computers dat wordt beheerd door een hacker. De Storm Worm heeft van uw pc een knooppunt in dit netwerk gemaakt. Hackers kunnen uw machine vervolgens gebruiken om miljoenen spam-e-mails te verzenden, andere websites aan te vallen met Distributed Denial of Service (DDoS)-aanvallen, of cryptocurrency te minen (hoewel cryptomining toen nog niet zo gangbaar was als nu). De schade was niet aan uw gegevens. De schade was aan uw bandbreedte, uw reputatie en uw bijdrage aan de criminele onderneming van iemand anders.
De verschuiving in de tactieken van malware
De Stormworm markeerde een keerpunt. Voordien gingen virussen vaak over nieuwsgierigheid of vandalisme. Hierna ging malware over infrastructuur. Het ging over het bouwen van een machine die voor kwaadaardige doeleinden verhuurd kon worden. De **stormworm
Het arriveerde eind 2006. Beveiligingsonderzoekers ontdekten het toen, maar het publiek noemde het later. De bijnaam kwam uit de onderwerpregel van een e-mail: “230 doden terwijl de storm Europa teistert.” Mensen herinnerden zich de tragedie. Ze klikten op de link. Ze hebben de worm.
Antiviruslaboratoria hadden er hun eigen naam voor. Symantec noemde het Peacomm. McAfee noemde het Nuwar. De verwarring is begrijpelijk. Er was al een W32.Storm.Worm uit 2001. Dat is een heel ander beest. Meng ze niet.
De variant uit 2006 is een Trojaans paard. Zijn taak is het leveren van een lading. Die lading verandert. Soms is het een keylogger. Soms is het iets anders. Het doel is echter consistent. Het verandert je machine in een zombie.
Zombies zijn bots. Ze zitten daar. Ze wachten op commando’s. Een hacker in een donkere kamer zendt een signaal uit. De bot reageert. Duizenden van deze bots vormen een netwerk. Dat is een botnet.
Deze botnets zijn nuttig voor spam. Ze pompen miljoenen ongewenste e-mails het internet op. De Stormworm hielp bij het bouwen van die infrastructuur. Het liet het leger groeien.
Hoe is het binnengekomen? Nepnieuws. Dat was de truc. De wormmakers veranderden voortdurend hun tactiek. Ze gingen mee op de golf van actuele gebeurtenissen.
Kijk naar de Olympische Spelen van 2008 in Peking. Er ontstond een nieuwe versie. Het onderwerp van de e-mail luidde: “Een nieuwe dodelijke catastrofe in China” of “China’s meest dodelijke aardbeving.” Het voelde dringend. Het voelde echt. De link beloofde videobeelden. Nieuwsverhalen. In plaats daarvan downloadde het de worm.
De schaal was enorm. In juli 2007 rapporteerde Postini iets onthutsends. Ze zagen meer dan 200 miljoen e-mails met links naar de worm. Dat was gewoon hun detectiesysteem. Het duurde meerdere dagen. De aanval was mondiaal.
Is iedereen besmet geraakt? Nee. Niet elke klik leidde tot een download. Maar er is genoeg gebeurd. Grote nieuwsmedia en technische blogs noemden het een van de ergste aanvallen van het decennium. Het was overal.
Is het vandaag moeilijk om te verwijderen? Eigenlijk niet. De Storm Worm is niet de meest geavanceerde malware die er is. Als u uw antivirusprogramma up-to-date houdt, is het beheersbaar. De echte verdediging is voorzichtigheid. Wees sceptisch tegenover e-mails van onbekende afzenders. Beweeg over koppelingen. Controleer de URL.
Het gaat niet alleen om virussen. De term ‘malware’ bestrijkt meer terreinen. Spyware is één type. Het houdt je in de gaten. Het registreert toetsaanslagen. Het steelt wachtwoorden. Het bevindt zich op de achtergrond terwijl u uw bankaanmelding typt.
Adware is een andere categorie. Er worden advertenties weergegeven. Het werkt samen met grotere applicaties zoals webbrowsers. Sommige versies zijn onschadelijk. Anderen graven dieper. Ze geven adverteerders toegang tot privégegevens. Uw surfgedrag. Jouw interesses. Verkocht aan de hoogste bieder.
Meer over beveiliging
Het landschap van bedreigingen is voortdurend in beweging. Er verschijnen nieuwe varianten. Oude worden bijgewerkt. De Storm Worm was een les in social engineering. Het bewees dat angst en nieuwsgierigheid gemakkelijker te exploiteren zijn dan technische kwetsbaarheden.
Herinner je je de Stormworm uit 2001 nog? Het is weg. Maar de tactiek blijft. De krantenkoppen veranderen. Het gevaar is hetzelfde. Houd uw software actueel. Blijf sceptisch. Het internet is enorm groot, en niet alles wat op nieuws lijkt, is ook daadwerkelijk nieuws.
