Cyberside Chat: De geschiedenis en evolutie van Ransomware

Onlangs heb ik een gesprek gehad met Chris McKie, directeur Security Solutions, over de geschiedenis van ransomware, de huidige uitdagingen op dit gebied en hoe hij denkt dat ransomware zich de komende maanden en jaren zal ontwikkelen. 

Ryan: Bedankt dat je vandaag de tijd hebt genomen om met ons te praten. Ik denk dat we het gesprek zullen beginnen met de basisprincipes van ransomware en hoe deze zich heeft ontwikkeld.

Chris: Ransomware is niet nieuw, hoewel velen dat wel denken. Het bestaat eigenlijk al sinds 1989, toen de eerste bekende ransomware-aanval op de gezondheidszorg plaatsvond. De aanval was op zijn zachtst gezegd rudimentair: er werden 20.000 diskettes verspreid onder aids-onderzoekers, waarbij werd beweerd dat de diskettes een programma bevatten dat aan de hand van een vragenlijst het risico van een persoon op het oplopen van aids analyseerde. De diskette bevatte echter ook een malwareprogramma dat aanvankelijk inactief bleef op computers en pas werd geactiveerd nadat een computer 90 keer was opgestart. Nadat de drempel van 90 opstartbeurten was bereikt, gaf de malware een bericht weer waarin een betaling van 189 dollar werd geëist, plus nog eens 378 dollar voor een softwarelicentie. De ‘AIDS-trojan’, zoals het programma bekend kwam te staan, was vrij eenvoudig te omzeilen omdat het gebruikmaakte van eenvoudige symmetrische cryptografie, en al snel waren er tools beschikbaar om de bestanden te ontsleutelen.

Deze vroege versie legde de basis voor malware, waarbij waardevolle bestanden en gegevens werden versleuteld en vastgehouden voor betaling. Een idee dat zich begin jaren 2000 ontwikkelde tot het gebruik van geavanceerdere en moeilijker te kraken versleutelingsalgoritmen, die bleven groeien tot de geavanceerde aanvallen en ransomware als een service die we vandaag de dag zien.

R: Hoe zit het met phishing-e-mails? Hoe heeft phishing zich ontwikkeld tot het niveau dat we vandaag de dag zien?

C: Bij de eerste phishing-aanvallen werden valse e-mails en websites gebruikt als lokmiddel om mensen ertoe te bewegen vrijwillig gevoelige informatie prijs te geven. In het begin van de jaren 2000 registreerden phishers tientallen domeinnamen die op legitieme websites leken en stuurden ze valse e-mails naar klanten. Die klanten werden naar vervalste sites geleid en gevraagd hun creditcardgegevens en andere identificerende informatie bij te werken. Toen dit succes bleek te hebben, leidde dit tot soortgelijke aanvallen op de banksector, waarbij miljoenen rekeningen, grotere betalingen en gevoelige informatie werden gecompromitteerd. Dit leidde ook tot de opkomst van diverse software om deze aanvallen te bestrijden, waaronder IP-tracering, die hielp om aanvallen te verijdelen en verloren geld terug te vorderen.

De opkomst van deze vroege beveiligingsmaatregelen dwong hackers echter om te innoveren en hun spel te verbeteren.

R: Laten we het eens hebben over ‘Ransomware as a Service’ en hoe dit de afgelopen jaren een enorme vlucht lijkt te hebben genomen, en welke factoren hieraan ten grondslag liggen.

C: Ransomware begon pas echt aan een opmars met de komst van CryptoLocker, rond 2013. Een van de redenen waarom we een astronomische toename van ransomware-aanvallen hebben gezien, is dat het gewoon werkt. Cybercriminelen verdienen er veel geld mee – volgens recente schattingen gaat de ransomware-markt in de miljarden, en het aantal aanvallen neemt alleen maar toe.

Daarnaast zien we dat ransomware-aanvallen hand in hand toenemen met de opkomst van cryptocurrencies. Nu cryptocurrencies op grote schaal beschikbaar, toegankelijk en aantoonbaar anoniem zijn, wordt de wrijving voor de betaling van losgeld weggenomen, waardoor betaling eenvoudiger en sneller is dan ooit tevoren.

De financiële modellen die cybercriminelen hebben gecreëerd met ransomware belonen innovatie, en daarom zien we nu dat de ontwikkeling van ransomware-code wordt aangeboden aan minder geavanceerde hackers en cybercriminelen via ransomware-as-a-service. Met affiliate netwerken in het spel vergroot ransomware-as-a-service het bereik van ransomware, zodat bijna iedereen een rol kan spelen in het criminele ecosysteem van ransomware en geld kan verdienen.

R: Hoe ziet u de toekomst van werk, met name voor kleine bedrijven, en hoe zit het met de beveiliging van de eindpunten van hun netwerken?

C: Een van de uitdagingen voor kleine bedrijven is de verkeerde veronderstelling dat ze, juist omdat ze klein zijn, geen doelwit zouden zijn voor hackers of een ransomware-aanval. De waarheid is dat kleine bedrijven juist ideale doelwitten zijn voor hackers, omdat ze vaak geen sterke beveiliging hebben en in veel gevallen geen cultuur van cyberbeveiligingsbewustzijn en best practices koesteren. Daarnaast werken veel medewerkers vanuit huis, waardoor velen slechts minimale beveiliging voor hun eindapparaten en netwerk hebben. Bovendien kan het bij een verspreid personeelsbestand lastig zijn om ervoor te zorgen dat ieders computer en applicaties up-to-date zijn en de juiste patches hebben.

Daarom is het belangrijker dan ooit om ervoor te zorgen dat endpoints worden beschermd en gepatcht en dat werknemers regelmatig worden getraind in best practices voor phishing en e-mailbeveiliging.

Tot slot moeten kleine bedrijven rekening houden met inbraken. Vroeg of laat zal malware zijn weg vinden naar een eindpunt of server. Als het ransomware is, dan zal het hebben van een back-up- en hersteloplossing VOORDAT dit gebeurt niet alleen helpen voorkomen dat een bedrijf cyber losgeld moet betalen, maar het zal een bedrijf ook in staat stellen om door te gaan zonder belangrijke bestanden te verliezen.

R: Dat lijkt me nogal wat werk voor een MKB-bedrijf, gezien de uitdagingen waarmee ze te maken hebben om hun bedrijf in hun eentje te runnen. Ziet u dit als een uitbestedingsoplossing voor hun beveiligingsbehoeften?

C: Het lijdt geen twijfel dat kleine bedrijven in het nadeel zijn als het gaat om het handhaven van adequate cyberbeveiliging. De meeste beschikken niet over cyberbeveiligingsexperts of slagen er niet in om voldoende opleidingsprogramma’s en hulpmiddelen op het gebied van beveiliging in te voeren. Zonder personeel en middelen staan kleine bedrijven voor een enorme uitdaging om hun veiligheid te waarborgen.

Dit is waar een MSP een cruciale rol kan spelen. Niet alleen kan een MSP de broodnodige IT-diensten leveren, maar veel MSP's zijn ook zeer bedreven in het inzetten van remote management tools die endpoints gepatcht en up-to-date houden. Ook zijn veel MSP's bedreven in het beheren van e-mail-, endpoint- en netwerkbeveiliging, wat een uitgebreide reeks gegevens-, gebruikers- en apparaatbescherming biedt.

Tot slot kunnen de meeste MSP's essentiële diensten leveren op het gebied van bedrijfscontinuïteit en disaster recovery. Deze waardetoevoegende service helpt ervoor te zorgen dat wanneer een klein bedrijf wordt getroffen door een ransomware-aanval, gegevensdiefstal of een andere gebeurtenis die de IT-systemen in gevaar brengt, het kleine bedrijf snel en efficiënt kan terugkeren naar de normale gang van zaken.

Hackers zullen hun technieken alleen maar verbeteren en innoveren met nieuwe tactieken en technieken. MSP's zijn in een veel betere positie om op de hoogte te blijven van deze nieuwe ontwikkelingen en trends. Hierdoor zou een MSP altijd in een unieke positie moeten zijn om kleine bedrijven te helpen beschermen tegen zelfs de meest geavanceerde bedreigingen.

R: Waar denk je dat de volgende aanval vandaan zal komen? Waarom komt ransomware nog steeds voor? Kunnen we het een halt toeroepen?

C: Zoals gezegd gaat het hier om de manier waarop georganiseerde (en minder georganiseerde) criminelen geld verdienen. Zolang er voor hen een manier is om winst te maken, zal ransomware blijven bestaan. Ondanks de inspanningen om nieuwe technieken en tactieken te bestrijden, zullen zij zich blijven aanpassen en verder ontwikkelen. Ik zie deze cyclus voorlopig nog niet eindigen, hoewel ik bemoedigd ben door de vooruitgang die wereldwijde samenwerking boekt bij het ontwrichten van ransomware-exploitanten en hun partners. Bedrijven worden steeds weerbaarder tegen deze aanvallen en werken aan robuustere beveiligingsstrategieën.

Dit is ook de reden waarom MSP's op zijn minst een goed begrip moeten hebben van beveiliging en hoe de oplossingen die ze gebruiken de beveiliging beïnvloeden van de gebruikers, applicaties en gegevens waarvoor ze verantwoordelijk zijn. Dit is ook de reden waarom de samenwerking met de leverancier van de oplossing symbiotisch moet zijn om ervoor te zorgen dat vragen, behoeften, training, enz. volledig en tijdig worden aangepakt.

We zullen niet in staat zijn om ransomware-aanvallen voor 100 procent te stoppen, maar met de juiste mensen, processen en technologieën die samenwerken, kunnen we substantiële maatregelen nemen om het risico te minimaliseren en de nadelige effecten van ransomware-aanvallen vandaag en morgen te beperken.