Wat is eigenlijk ransomware?

“Ransom” is Engels voor 'losgeld'. Dus ransomware doet precies wat het woord insinueert: het gijzelt gegevens of systemen voor losgeld. Deskundigen spreken soms ook van encryptietrojanen: het gijzelen van de gegevens gebeurt doordat deze door de malware worden geëncrypteerd of versleuteld. Net als een trojaans paard, smokkelt de malware zichzelf vermomd als een legitiem programma het systeem binnen - achteraf beseft de gebruiker pas dat zijn computer is vergrendeld.

Over het algemeen is een vergrendeld scherm of losgeldbrief die niet kan worden verwijderd het eerste wat de gebruiker ziet van de ransomware. Sommige ransomware-varianten hebben een incubatieperiode, wat betekent dat de kwaadaardige effecten pas gezien worden wanneer de gebruiker zich niet meer kan herinneren wanneer en waar hij een encryptietrojaan zou kunnen hebben opgepikt.

In het ideale geval kan malware door een virusscanner worden gedetecteerd en als een positief scanresultaat worden weergegeven. Mensen zonder antivirusoplossing zullen ransomware echter pas opmerken als het al te laat is. Aangezien veel encryptietrojanen zichzelf weer verwijderen na het uitvoeren van hun kwaadaardige functie, is het een echte uitdaging voor beveiligingssoftware om de malware te detecteren. Het eerste wat de computergebruiker van de ransomware ziet, is een informatievenster met een betalingsverzoek dat niet kan worden verwijderd.

Het lastige van ransomware is dat het zich, net als de meeste Trojaanse paarden, verschuilt achter schijnbaar onschadelijke links of bestandsformaten. De encryptietrojaan Petya, distribueert zichzelf bijvoorbeeld wanneer nietsvermoedende gebruikers een Dropbox bestand openen. De gebruiker downloadt daarbij de malware. Als hij vervolgens klikt op het bestand dat is gedownload, voert hij het bestand uit - en begint Petya zichzelf te distribueren over het systeem. Petya is daarom afhankelijk van de onvrijwillige hulp van de gebruiker, die denkt dat hij een standaardbestand opent, maar daadwerkelijk de installatie van de ransomware in gang zet.

Dit betekent dat de infecties nauwelijks verschillen van die van andere soorten malware. De bestanden komen vaak op de computer terecht via een gemanipuleerde website, waar de gebruiker naartoe wordt gelokt door middel van een link in een spammail of een bericht op een sociaal netwerk. Soms sturen de daders e-mails met daarin een vermeende herinnering of afleveringsbewijs. In werkelijkheid bevat de bijlage waarnaar wordt verwezen in de mail malware.

De eerste encryptietrojaan die zich via internet verspreidde was TROJ_PGPCODER.A. De afpersers eisten honderden dollars voor het ontsleutelen van de gegevens. Dat was in 2005. Sinds 2011 hebben beveiligingsexperts een snelle toename van ransomware-aanvallen geregistreerd. Het Duitse Federale Bureau voor Informatiebeveiliging (BSI) waarschuwde: "Sinds medio september 2015 is de dreiging van ransomware aanzienlijk toegenomen. Beveiligingsoplossingen vonden in Duitsland meer dan 10 keer zoveel ransomware in februari 2016 als in oktober 2015. Deze trend is ook zichtbaar in de rest van de wereld - wereldwijd is het aantal detecties in deze periode met een factor 6 gestegen.

De toename van het aantal ransomware-varianten dat circuleert is toe te schrijven aan het feit dat ze nu zo gemakkelijk te produceren zijn. Op de Darknet zijn zogenaamde crimeware kits te koop, waarmee malware modulair kan worden samengesteld. Het is ook zeer eenvoudig en goedkoop om ransomware te programmeren of te laten programmeren. De criminelen investeren een bescheiden bedrag in het produceren van de malware, maar ze kunnen in de beste gevallen veel terugverdienen. Via het vergrendelscherm informeren de daders de slachtoffers over de betaalmogelijkheden. De cybercriminelen worden betaald via Paysafe- of Ukash-kaarten of met de online cryptovaluta. Het losgeld ligt in veel gevallen rond de 400 euro. Echter, soms worden enkele duizenden euro's geëist voor de ontsleuteing. Het hangt af van hoe belangrijk de gegevens zijn, zoals bij het chanteren van ziekenhuizen met Locky. Wanneer het slachtoffer de betaling heeft gedaan, wordt het bedrag bijgeschreven bij het tegoed van de dader - en in het ideale geval worden de gegevens in ruil daarvoor weer vrijgegeven.

Hoe kan ik mijzelf beschermen?

• Back-ups: De beste bescherming tegen ransomware is om regelmatig back-ups uit te voeren. Deze moeten op een van het systeem gescheiden medium worden opgeslagen. Als u een back-up uitvoert naar een externe harde schijf, verwijder deze dan na de back-up en zorg ervoor dat dit opslagmedium altijd offline is wanneer u het niet gebruikt. Met regelmatige back-ups kunt u ervoor zorgen dat u geen gegevens verliest in het geval van een daadwerkelijke ransomware-infectie en kunt u eenvoudig uw systeem herstellen. Gebruik daarbij een veilig medium, zoals een cd, dat niet geïnfecteerd kan raken.

Voorzichtigheid en scepsis zijn altijd geboden in de omgang met criminelen. Veel criminelen zijn niet per se van plan om zich aan hun eigen voorwaarden te houden - en sommigen hebben zelfs niet eens nagedacht over hoe de ontsleuteling plaats zou moeten vinden. Voor hen gaat het om het geld. Iedereen die geen backup heeft gemaakt zal onvermijdelijk zijn bestanden verliezen nadat de computer is geïnfecteerd met ransomware. Vandaar dat er iets te leren valt uit actiefilms - niet onderhandelen met afpersers.

De politie adviseert niet op de eisen in te gaan. Je kunt er immers niet van uit gaan dat je eerlijk wordt behandeld door criminelen. Wie via creditcard losgeld betaalt, verandert zijn rekening in een zelfbedieningswinkel. Een afperser kan ook plotseling meer geld eisen om de gegevens vrij te geven, of de gegevens later via een achterdeur in het systeem opnieuw versleutelen en meer geld eisen - ook al lijkt op het eerste gezicht dat hij zijn belofte is nagekomen en de gegevens heeft vrijgegeven. Het betalen van losgeld is dus een risico op meerdere niveaus.

Als u ondanks alle waarschuwingen het losgeld toch wilt betalen, is het belangrijk dat u geen enkel onderdeel van de ransomware van tevoren van de pc verwijdert. Wat u verwijdert zou namelijk het slot kunnen zijn waar de sleutel in moet die u ontvangt na de betaling van het losgeld. Zonder slot kan de ontsleutelingscode onbruikbaar zijn - en blijven uw gegevens onherroepelijk versleuteld. Daarnaast kunnen de onderdelen van belang zijn voor het geval de opsporingsdiensten erin slagen om cybercriminelen aan te vallen - er zijn vaak decryptiesleutels die getroffenen kunnen helpen om hun gegevens terug te halen zonder te betalen. De informatie in de componenten zou dan nodig zijn voor het genereren van deze sleutel.

Als u daadwerkelijk een sleutel hebt ontvangen en daarmee uw bestanden hebt kunnen ontsleutelen, moet u de ransomware onmiddellijk van uw computer verwijderen. U mag echter nooit uit het oog verliezen dat de criminelen waarschijnlijk geen mededogen met u hebben en dat u, ondanks uw betaling, mogelijk geld en gegevens bent verloren. Bedenk ook dat u met uw betaling het fenomeen ransomware in stand houdt. Want als niemand zou betalen, zou de verspreiding van ransomware niet meer de moeite waard zijn voor criminelen.

Als u ondanks uw inspanningen het slachtoffer bent geworden van een aanval, helpt maar één ding: de malware van uw computer verwijderen. De meest betrouwbare en grondige manier om ransomware te verwijderen is het systeem terug te zetten naar de fabrieksinstellingen. Voordat u voor deze optie kiest, moet u zich realiseren dat alle bestanden op de computer daarna onherroepelijk verloren zullen gaan. Als u regelmatig systeembackups hebt gemaakt, kunt u uw systeem ook terugzetten naar een tijdstip vóór de infectie. Selecteer het meest recente herstelpunt. Daarbij moet u er altijd voor zorgen dat dit punt inderdaad vóór het tijdstip van de infectie ligt. Op deze manier kunt u uw computer van de malware bevrijden.