Alles wat je moet weten over ransomware (gijzelsoftware)

Ransomware is een vorm van malware en is een kwaadaardige software dat de bestanden op een computer als het ware in gijzeling neemt. Daarom dat het ook wel gijzelsoftware genoemd wordt. Het slachtoffer kan niet meer bij de bestanden op het apparaat, totdat er een bedrag betaald wordt aan de criminelen. Echter, het is nooit een zekerheid dat de criminelen na de betaling alle bestanden vrijgeeft. In bijna alle gevallen willen de criminelen het bedrag in de vorm van cryptocurrency, zoals Bitcoin.

De kenmerken van ransomware (gijzelsoftware)

– Ransomware versleuteld bestanden op een apparaat, waardoor de gebruikers niet meer de bestanden kunnen openen.
– De criminelen eisen een betaling in de vorm van Bitcoin. Het bedrag dat ze eisen verschilt van enkele honderden euro’s tot duizenden euro’s. Begin 2020 betaalde de Universiteit Maastricht maar liefst 200.000 euro.
– Er wordt een tijdslimiet vastgesteld en nadat deze is verstreken ben je al je bestanden kwijt of wordt het losgeld verhoogd.
– Losgeld betalen wordt afgeraden, maar in sommige gevallen geldt het als laatste redmiddel.
– Vaak verloopt de besmetting via meegeleverde bestanden in een e-mail of een lek op de computer door verouderde software.
– Het vergrendelen van de bestanden zonder sleutel is meestal niet mogelijk of kost veel tijd.

Nog meer kenmerken van ransomware

– Meestal bevatten de bestanden de volgende extensies: exe, js, lnk, zip en wsf.
– Gelukkig zijn er van sommige varianten van ransomware achterhaald door de politie en beveiligingsexperts en kun je software downloaden om je bestanden terug te krijgen.
– Een ander voorkomende methode is dat nepmedewerkers van Microsoft slachtoffers op bellen en aangeven dat er een probleem is met de computer van de gebruiker en ze op afstand moeten inloggen om dit te verhelpen. Nadat ze zijn ingelogd op de computer van de gebruiker, installeren ze ransomware en vergrendelen alle bestanden.
– Een aantal bekende varianten van gijzelsoftware zijn: Cryptolocker, Cerber, Coinvault, CTB-locker, SamSam, Teslacrypt, TorrentLocker, LockerGoga, Locy, Ryuk, Petya, Wildfire en WannaCry.

Hoe krijg je ransomware?

Criminelen proberen op verschillende manieren de ransomware op de computer van het slachtoffer te krijgen. Eén van de meest gebruikte methodes is door middel van een bijlage in een e-mail (malspam). Hierboven heb je al kunnen lezen dat het vaak om extensies zoals exe, js, lnk, zip en wsf gaat, maar ook PDF- en Word-bestanden kunnen malware bevatten.

Een voorbeeld is dat je een e-mail ontvangt met een factuur van een webshop waar je nooit iets hebt gekocht. Je download de factuur om te kijken wat er (zogenaamd op jouw naam) is aangeschaft. Na het downloaden word je computer vervolgens besmet met de gijzelsoftware.

Een andere methode is door malvertising. Deze methode is enigszins achterhaald en kende zijn piek in 2016. Malvertising zijn online advertenties op websites waarmee malware wordt verspreid. Hier lees je dat in 2016 websites als RTL, Marktplaats, Startpagina en 285 andere websites malware bevatten in de advertenties. Je hoeft hiervoor niet eens op de advertentie te klikken, maar door de website te bezoeken werd je doorgestuurd naar de servers van de criminelen die vervolgens details van je computer konden achterhalen. Uiteindelijk konden ze malware installeren op het apparaat en vaak ging dit om ransomware.

Soorten ransomware

Ransomware is onder te verdelen in drie varianten. Hieronder lees je meer over de drie verschillende soorten ransomware.

Scareware

De eerste variant is scareware en is ook de minst schadelijk. Bij scareware krijgt het slachtoffer een pop-up in beeld waarop staat dat er malware is geconstateerd en dat deze alleen weg te krijgen is door te betalen. Wanneer je dat niet doet, word je hoogstwaarschijnlijk overladen met pop-ups. Je bestanden zijn veilig en je moet in dit geval nooit overgaan tot betaling.

Schermvergrendeling

Deze variant van ransomware is al iets gevaarlijker dan scareware. Wanneer je computer besmet is met de lock-screen ransomware word je buitengesloten van je computer. Wanneer je de computer opnieuw opstart, krijg je een melding te zien waarin staat dat je een boete moet betalen. Vaak krijg je op het scherm ook een logo te zien van de FBI of Interpol. Uiteraard zouden zij dit nooit op deze manier doen. De lock-screen ransomware gaat al heel wat jaren mee. Zo bestond deze variant al voor de start van Bitcoin en moesten slachtoffers de boete betalen met prepaidkaarten. Ook bij deze variant moet je nooit betalen aan de criminelen.

Versleutelde ransomware

Ben je slachtoffer geworden van de versleutelde ransomware, dan heb je pas echt een probleem. Alle bestanden op je computer of netwerk worden versleuteld en deze krijg je (niet altijd) pas terug nadat je betaald hebt. Wanneer je persoonlijke bestanden kwijt raakt is dit natuurlijk erg vervelend, maar bedrijven kunnen hier gemakkelijk duizenden of tienduizenden euro’s verlies door draaien. Vaak is het daarom voor hun verleidelijk om toch het bedrag te betalen in de hoop op het terugkrijgen van de bestanden.

Geschiedenis van ransomware

Wie denkt dat ransomware iets is van pakembeet de afgelopen tien jaar heeft het mis. De eerste ransomware genaamd PC Cyborg of AIDS werd eind jaren tachtig gemaakt. De ransomware versleutelde na 90 reboots de bestanden op de C: directory. Om de bestanden terug te krijgen moest er $ 189 betaald worden. Echter, het was redelijk eenvoudig om de bestanden terug te krijgen en de meeste slachtoffers betaalde daarom niet de $ 189.

In de twintig jaar daarop verschenen er verschillende nieuwe varianten, maar pas in 2004 dook er ransomware op die voor een echte bedreiging zorgde. Het ging toen om de GpCode, die bestanden vergrendelen dankzij slecht beveiligde RSA-encryptie.

De volgende variant die een grote impact had was WinLock. Deze ransomware sloot gebruikers buiten van hun desktop en toonde pornografische afbeeldingen. De slachtoffers moesten een betaling verrichten via sms om de afbeeldingen weg te krijgen.

FBI & Interpol

In 2012 maakte de wereld kennis met een variant waar we hierboven al over schreven. Slachtoffers werden buitengesloten van hun computer en nadat ze de computer opnieuw hadden opgestart, kregen ze een melding te zien die afkomstig leek te zijn van de FBI of Interpol. De criminelen achter de ransomware beschuldigde het slachtoffer van criminele activiteiten, zoals hacken of het downloaden van illegale content. De slachtoffers zouden weer toegang tot hun computer krijgen na het betalen van een boete, vaak variërend van $ 100,- tot $ 3000,-. En omdat Bitcoin toen nog in de kinderschoenen stond, moest dit worden betaald met prepaidkaarten.

Tegenwoordig zijn mensen veel meer bewust van wat er allemaal op het internet afspeelt en zou deze vorm tegenwoordig veel minder rendabel zijn voor criminelen, maar dat was acht jaar geleden wel anders.

Een jaar later werd een ransomware door CryptoLocker gelanceerd dat vele malen gevaarlijker was en bijna niet te ontsleutelen was. Dit is de variant waar de meeste mensen aan denken bij het horen van de term ransomware. De bestanden werden versleuteld en enkel na het betalen van losgeld kreeg je (misschien) de bestanden terug. Deze variant is tot op de dag van vandaag nog steeds een probleem. Zo kreeg de ransomware WannaCry en Petya in 2017 veel aandacht en waren meerdere grote bedrijven getroffen.

Kan ik mijn bestanden nog redden?

Wanneer je computer besmet is met ransomware en je geen back-up hebt gemaakt zijn je bestanden helaas in de meeste gevallen niet meer te redden. Echter, met de volgende stappen kun je hopelijk toch je bestanden terugkrijgen:

– Het is eerste wat je moet doen is uiteraard de ransomware verwijderen. Anders kunnen de bestanden opnieuw versleuteld worden. Er zijn verschillende softwares, zoals Malwarebytes en Hitman Pro waarmee je jouw computer op malware kunt scannen.
– Plaats vervolgens een back-up van je bestanden terug. Dit moet uiteraard een back-up zijn van voordat je computer werd besmet met malware.
– Bezoek de website nomoreransom.org om te achterhalen of er een ransomware-decryptor bestaat. Dit kan het geval zijn wanneer de criminelen zijn opgepakt en de politie of beveiligingsexperts de ontsleuteling gegevens heeft weten te achterhalen. Nomoreransome.org is een initatief van onder andere EuroPol in Intell. Je kunt overigens het ransomware identificeren via de website ID Ransomware.

Wat kan ik nog meer doen?

– Het kan voorkomen dat jezelf geen back-up hebt gemaakt, maar dat Windows een zogeheten schaduwkopie heeft gemaakt. Dit is een automatisch aangemaakte back-up van je bestanden. Je kunt dit achterhalen door met de rechtermuisknop op een bestand of map te klikken en vervolgens op Eigenschappen -> tabblad Vorige versies. Hier kun je oudere versies terugvinden. Ook kunnen dataherstel softwares soms hierbij helpen. Een voorbeeld hiervan is Recuva.
– De laatste optie is om het losgeld te betalen. Deze optie wordt afgeraden, maar het kan een laatste redmiddel zijn. Overigens ben je nooit zeker dat je na betaling je geld terug krijgt. Echter, de criminelen achter de ransomware weten ook dat wanneer ze slachtoffers niet de bestanden teruggeven na betaling, andere slachtoffers minder snel tot betaling zullen overgaan.

Ransomware voorkomen

Hieronder lees je welke stappen je kunt volgen om ransomware te voorkomen. Deze stappen gelden niet alleen voor ransomware, maar ook voor het voorkomen van andere virussen en malware is dit aangeraden.

– Het eerste wat je moet doen is een goede virusscanner installeren.
– Zorg ook dat je alle software op je computer up-to-date houdt. Hier valt uiteraard ook het besturingssysteem en de internetbrowser onder. Met de software ScanCircle kun je zien hoe je computer er aan toe is.
– Wanneer er wordt gevraagd om macro’s bij Office-documenten in te schakelen, moet je dit altijd reageren.
– Download geen bijlagen en klik niet op links in e-mails waarvan je niet zeker weet dat ze betrouwbaar zijn en afkomstig zijn van een bekend bedrijf of persoon. Controleer daarom altijd het e-mailadres van de verzender.
– Maak regelmatig een back-up van je bestanden. Mocht je computer dan besmet raken met malware, dan kun je vervolgens eenvoudig de back-up terugzetten.
– Schakel bestandsextensies weergeven in, zodat je altijd bestandstype van een bestand kunt bekijken.

Wat zijn de beste anti-ransomware programma’s?

We gaven hierboven al aan hoe je ransomware het beste kunt voorkomen en één van deze manieren is door het installeren van een goede virusscanner. Er bestaan echter meerdere virusscanners die specifiek zijn gericht op het vinden ransomware-bedreigingen. Enkele virusscanners waar wij zelf ervaring mee hebben gehad of positieve ervaringen van gebruikers of op andere websites hebben gevonden zijn: MalwareBytes, Cybereason, Kaspersky Anti-Ransomware, HitmanPro en Ransomfree. Let er wel op dat veel van deze programma’s niet goedkoop zijn, maar de kans op besmetting vele malen kleiner is.

Apple en Linux?

Ransomware gaat al decennia’s lang mee, maar sinds 2007 zijn er pas echt schadelijke varianten opgedoken. Wat ze wel bijna allemaal gemeen hebben, is dat ze zich voornamelijk richten op Windows-apparaten. Ben je dan als Apple-gebruiker helemaal veilig? Helaas niet, want zo zijn er ook gevallen dat een iPhone geblokkeerd werd en pas tegen betaling werd vergrendeld. Echter, dit betreft maar een klein percentage van alle ransomware-besmettingen, maar toch moet je online altijd je verstand gebruiken.

No more ransomware

Hierboven hadden we het al meerdere keren over de website nomoreransom.org. De website is een initiatief van Europol, Intel en Kaspersky. De strijd tegen ransomware is continue bezig en regelmatig wordt er een manier gevonden om een ransomware versie te decrypten. Je kunt op de website nomoreransom.org software downloaden waarmee je de bestanden kunt ontsleutelen. Doe dit overigens pas nadat de ransomware helemaal van je computer is verwijderd.

Conclusie

Ransomware bestaat al ruim veertig jaar, maar pas in de afgelopen vijftien jaar heeft het internet kennis gemaakt met schadelijke varianten. De strijd tegen ransomware is continue bezig, maar ook de criminelen zitten niet stil. Het is natuurlijk beter om te voorkomen dan te genezen en daarom gaven we meerdere tips om ransomware te voorkomen. Zo is een goede malware scanner een echte must en moet je nooit bestanden downloaden die je niet vertrouwd. Mocht je computer toch besmet zijn geraakt, dan is er zonder een back-up vaak weinig wat je meer kunt doen. We hebben het al meerdere keren aangegeven in dit artikel, maar willen dit artikel toch afsluiten met de tip om regelmatig een back-up te maken van al je bestanden.