Wat is Ransomware?

Er zijn verschillende soorten ransomware, waaronder encryptors, die zich voornamelijk richten op het versleutelen en vergrendelen van bestanden, en screen lockers, die de gebruikerstoegang blokkeren door een vergrendelingsscherm weer te geven. In beide gevallen worden de slachtoffers gevraagd om losgeld te betalen, vaak in digitale valuta's zoals Bitcoin, om de controle over hun bestanden of systemen terug te krijgen. 

Het is echter belangrijk om op te merken dat het betalen van losgeld geen garantie is dat de bestanden weer worden ontgrendeld. In sommige gevallen krijgen slachtoffers ook na betaling geen sleutel om de bestanden te ontsleutelen, of blijkt dat er nog meer malware op hun systemen is geïnstalleerd.

Het risico van ransomware is toegenomen met de opkomst van Ransomware as a Service (RaaS), een model waarmee veel meer mensen de mogelijkheid krijgen om dit soort aanvallen uit te voeren. Bovendien is moderne ransomware in staat om kwetsbaarheden in systemen te misbruiken om zich overal binnen een organisatie te verspreiden, waardoor een gelokaliseerd probleem escaleert tot een grootschalige crisis die onmiddellijke aandacht vereist. 

Ransomware as a Service (RaaS) heeft de toegang tot ransomware vergemakkelijkt, waardoor het ook voor personen met weinig technische expertise mogelijk wordt om aanvallen uit te voeren. Dit model werkt net als traditionele Software as a Service en biedt criminelen de benodigde tools om geavanceerde cyberaanvallen te lanceren.

In het RaaS-model werken twee groepen samen: de makers van de ransomware en de cybercriminelen, ook wel 'affiliates' genoemd. De makers bouwen de ransomware en de benodigde systemen om deze te verspreiden. De affiliates worden online aangeworven en zijn verantwoordelijk voor het inzetten van de ransomware. Sommige RaaS-groepen geven zelfs grote bedragen uit aan het werven van nieuwe affiliates. Zodra ze zijn aangesloten bij het RaaS-systeem, kunnen deze criminelen hun eigen ransomware-campagnes starten met behulp van de kant-en-klare infrastructuur.

RaaS kent verschillende manieren om geld te verdienen. Soms betalen de affiliates een regelmatige abonnementsvergoeding, een eenmalige betaling of een percentage van de behaalde winst aan de ransomware-makers. Dit proces is vaak transparant en wordt beheerd via online dashboards waar affiliates statistieken kunnen bijhouden, zoals het aantal geslaagde infecties en de gegenereerde inkomsten. Betalingen vinden meestal plaats via cryptovaluta's zoals Bitcoin, zodat ze anoniem kunnen plaatsvinden.

Wat RaaS nog lastiger te bestrijden maakt, is de aanwezigheid op het Dark Web, waar het werkt zoals elke andere concurrerende markt. Net als legitieme softwarediensten kunnen RaaS-platforms klantbeoordelingen, 24-uurs support en speciale pakketten aanbieden. Ze gebruiken zelfs marketingtechnieken die zijn afgekeken van reguliere bedrijven. 

De wereld van ransomware verandert snel en wordt ingewikkelder terwijl er steeds weer nieuwe soorten opduiken. Het begrijpen van deze verschillende vormen is van cruciaal belang voor het opzetten van een sterke en flexibele verdediging tegen cyberaanvallen. 

Er zijn verschillende ransomware-families, zoals WannaCryptor, Stop/DJVU en Phobos, die elk hun unieke eigenschappen hebben. Kennis van deze varianten helpt bij de strategische ontwikkeling van gespecialiseerde verdedigingsmechanismen die doelgerichter en effectiever zijn. 

Hieronder staat een overzicht van de meest voorkomende soorten ransomware, ingedeeld naar hun werkwijze.

· Crypto-ransomware / encryptors: Crypto-ransomware is een bekende tool in de gereedschapskit van cybercriminelen, gespecialiseerd in het versleutelen van bestanden en gegevens, vaak met behulp van geavanceerde encryptie-algoritmen. Deze tactiek maakt de gegevens ontoegankelijk totdat een ontsleutelingscode wordt toegepast, die meestal alleen verkrijgbaar is na betaling van losgeld in de vorm van cryptovaluta. Binnen deze categorie zijn ransomware-families zoals WannaCryptor berucht geworden vanwege hun verreikende en verwoestende gevolgen.

· Lockers: deze vergrendelingstools richten zich op systeeminteracties in plaats van gegevensintegriteit en schakelen belangrijke functies van een computer uit, waarbij vaak een losgeldbrief wordt weergegeven op een vergrendeld scherm. Hoewel ze misschien geen gegevens versleutelen, is de verstoring die ze veroorzaken voelbaar. Van de Phobos-ransomwarefamilie is bijvoorbeeld bekend dat ze naast versleutelingsmethoden ook locker-tactieken gebruiken.

· Scareware: deze vorm van ransomware werkt voornamelijk via psychologische manipulatie en doet zich voor als legitieme antivirussoftware. Scareware overspoelt gebruikers met onophoudelijke waarschuwingen over denkbeeldige malware-infecties en eist vaak betaling voor 'verwijderingsdiensten'. Sommige geavanceerde varianten kunnen ook de computer vergrendelen, waarbij locker-technieken worden ingezet. Vaak is scareware een toegangspoort voor de beruchte fraude waarbij cybercriminelen zich voordoen als technische supportmedewerkers.

· Doxware / leakware: deze vorm van ransomware presenteert een dreiging door gevoelige gegevens in handen te krijgen en te dreigen om deze informatie openbaar te maken. Hierbij speelt het reputatierisico een grote rol. Soms wordt ransomware met een politiethema aangetroffen: deze ransomware beweert dat het slachtoffer justitiële vervolging kan vermijden door een boete te betalen. 

· Mobiele ransomware: smartphones en tablets zijn alomtegenwoordig geworden in het dagelijks leven, op de voet gevolgd door mobiele ransomware. Deze aanvallen zijn gericht op de bruikbaarheid van het apparaat of de gegevens die erop zijn opgeslagen. De slachtoffers moeten betalen om hun apparaten weer te kunnen gebruiken.

· DDoS-afpersing: hoewel dit geen conventionele vorm van ransomware is, hanteert DDoS-afpersing een vergelijkbare werkwijze: slachtoffers worden afgeperst om geld te betalen om verstoringen door een DDoS-aanval te voorkomen. Hier ligt de dreiging in het overweldigen van een netwerk of website met een stortvloed van dataverkeer, waardoor de functionaliteit tijdelijk wordt onderbroken.

Om bestanden te ontsleutelen die door ransomware zijn gegijzeld, hebt u een geschikte ontsleutelingstool nodig. Identificeer de specifieke ransomware-variant die uw systeem heeft gegijzeld en informeer bij cybersecurity-experts naar de beschikbaarheid van tools. 

Veel van deze tools, zoals de hersteltools van Bitdefender Labs, worden gratis beschikbaar gesteld. Snelle en doortastende actie is cruciaal om verdere verspreiding van de ransomware te voorkomen, de impact ervan te beoordelen en de herstelprocedures te starten.

Gebruik het onderstaande actieplan als een routekaart voor het herstel na een ransomware-aanval, gevolgd door de implementatie van bescherming op lange termijn. De routekaart beschrijft de belangrijkste stappen, van de eerste tekenen van een aanval tot de analyse na het incident, om u te helpen de getroffen systemen te herstellen en uw cyberbeveiliging te versterken.

Isolatie en inperking

De eerste stap is het beperken van het vermogen van de malware om zich verder binnen uw infrastructuur te verspreiden.

· Isoleer getroffen apparaten: ontkoppel de aangetaste hardware onmiddellijk van het netwerk, het internet en andere aangesloten apparaten.

· Stop de verspreiding: beëindig alle vormen van draadloze connectiviteit (wifi, Bluetooth) en isoleer apparaten die onregelmatig gedrag vertonen om verdere verstoring binnen de organisatie te voorkomen.

Beoordeling en identificatie:

Analyseer vervolgens grondig de impact en herkomst van de aanval als basis voor de volgende stappen.

· Beoordeel de schade: onderzoek systemen op de aanwezigheid van versleutelde bestanden en abnormale bestandsnamen en verzamel meldingen van gebruikers over problemen met de toegankelijkheid van bestanden. Maak een complete lijst van gecompromitteerde systemen.

· Vind 'patiënt nul': onderzoek antivirusmeldingen, informatie van EDR-platforms (Endpoint Detection & Response) en door mensen gegenereerde leads zoals verdachte e-mails om de infectiebron te lokaliseren.

·Identificeer de ransomware-variant: gebruik ransomware-identificatietools zoals de Bitdefender Ransomware Recognition Tool of bestudeer de informatie in de losgeldbrief om de ransomware-variant te identificeren. 

Wettelijke verplichtingen:

Na de onmiddellijke technische respons is het van cruciaal belang dat u voldoet aan de wettelijke verplichtingen.

· Informeer de autoriteiten: meld het incident bij de juiste wetshandhavingsinstanties. Dit kan niet alleen helpen bij het herstellen van gegevens, maar is soms ook noodzakelijk voor de naleving van wet- en regelgeving zoals de AVG (EU) of CIRCIA (Verenigde Staten).

Herstel en reconstructie:

Nu de basisstappen zijn gezet, verschuift de focus naar het herstellen van gecompromitteerde systemen en het waarborgen dat de malware volledig wordt uitgeroeid.

· Beoordeel de backups: als er up-to-date backups beschikbaar zijn, start u het systeemherstel en zorgt u dat antivirus- en antimalwaretools alle overblijfselen van de ransomware verwijderen vóórdat u het systeem herstelt.

· Onderzoek de ontsleutelingsopties: in situaties waarin backups geen optie zijn, overweeg dan om gratis ontsleutelingstools te gebruiken, zoals de eerder genoemde tool van Bitdefender. Verifieer dat alle sporen van malware zijn verwijderd vóórdat u overgaat tot ontsleuteling.

Desinfectie en beveiligingsupgrades:

Nu de directe dreigingen zijn geneutraliseerd, moet de nadruk liggen op het identificeren van zwakke punten en het versterken van uw cyberbeveiligingsarchitectuur.

· Elimineer de dreiging: maak een analyse van de hoofdoorzaken, bij voorkeur onder leiding van een vertrouwde cybersecurity-expert, om alle kwetsbaarheden in het systeem te identificeren en de dreiging volledig uit uw netwerk te verwijderen.

· Bepaal prioriteiten voor het herstel: focus eerst op het herstellen van de meest bedrijfskritische systemen, rekening houdend met de impact op de productiviteit en de inkomstenstromen.

Laatste stappen en toekomstplanning

Terwijl u werkt aan verdere normalisatie, houdt u de langetermijnstrategieën in het oog om de kans op toekomstige aanvallen te verkleinen.

· Herstel de fabrieksinstellingen of bouw het systeem opnieuw op: als backups of ontsleutelingscodes geen remedie bieden, kan het onvermijdelijk zijn om de systemen terug te zetten naar de fabrieksinstellingen of volledig opnieuw op te bouwen.

· Maak het systeem toekomstbestendig: houd er rekening mee dat slachtoffers van ransomware in de toekomst een hoger risico lopen op nieuwe aanvallen. Daarom moet na het incident een audit plaatsvinden om mogelijke beveiligingsupgrades te vinden voor het beperken van toekomstige risico's.

Kortom: een gecoördineerde, goed geïnformeerde aanpak van het herstel kan de schade beperken en de terugkeer naar normaal versnellen.