Malware of ransomware? Het verschil, en waarom het uitmaakt

In gesprekken over beveiliging worden “virus”, “malware” en “ransomware” vaak door elkaar gebruikt. Meestal is dat onschuldig. Maar op het moment dat er echt iets speelt, maakt het verschil wél uit: het bepaalt of je apparaat isoleert en scant, of dat je een incidentproces start met een meldplicht en een herstelplan.

Kort gezegd: alle ransomware is malware, maar lang niet alle malware is ransomware. Het verschil tussen malware en ransomware zit in het doel van de aanvaller — en dat doel bepaalt hoe je reageert.

In dit artikel zetten we de begrippen op hun plek, laten we zien hoe je herkent waar je mee te maken hebt, en wat je in de eerste uren anders doet.

Wat is malware?

Malware is de verzamelnaam voor kwaadaardige software: elk programma dat op je apparaat draait met een bedoeling die niet de jouwe is. Onder die paraplu vallen verschillende soorten:

• Virussen hechten zich aan bestaande bestanden en verspreiden zich als die bestanden worden geopend of gedeeld.
• Wormen verspreiden zichzelf over een netwerk zonder dat iemand iets hoeft te openen.
• Trojans doen zich voor als iets nuttigs — een gratis tool, een update, een factuurviewer — en installeren ondertussen iets anders.
• Spyware en keyloggers kijken mee: wat je typt, waar je inlogt, welke gegevens je verwerkt.
• Infostealers hebben één doel: opgeslagen wachtwoorden en sessiecookies uit je browser halen. Die belanden vervolgens op handelsplekken op internet.
• Bots maken van je apparaat een radertje in een groter netwerk dat wordt ingezet voor aanvallen of spam.

Wat de meeste malware gemeen heeft: hij wil onopgemerkt blijven. Hoe langer hij ongestoord draait, hoe meer hij oplevert. Vandaar dat besmettingen soms maanden onopgemerkt blijven — zie de signalen van een malwarebesmetting.

Wat is ransomware?

Ransomware is een specifieke soort malware met een heel ander karakter: hij wil juist gezien worden. De aanvaller versleutelt je bestanden of vergrendelt je systemen en vraagt losgeld voor de sleutel.

Het patroon is in grote lijnen steeds hetzelfde. Iemand komt binnen — via een phishingmail, een gestolen wachtwoord of een ongepatchte server. Vervolgens wordt er rustig rondgekeken: waar staan de belangrijke gegevens, waar staan de back-ups, welke beheeraccounts zijn er. Pas daarna, soms weken later, gaat het slot erop. Vaak in het weekend of ’s nachts.

Wat er de laatste jaren bij is gekomen, is dubbele afpersing: gegevens worden eerst gekopieerd en daarna versleuteld. Betaal je niet, dan dreigt publicatie. Dat betekent dat een goede back-up je wel je bedrijfsvoering teruggeeft, maar het datalek niet ongedaan maakt. Meer daarover in ransomwareschade beperken.

Het belangrijkste verschil

Zet je ze naast elkaar, dan valt op:

• Doel. Malware wil gegevens, rekenkracht of toegang. Ransomware wil geld, direct van jou.
• Zichtbaarheid. Malware verbergt zich. Ransomware kondigt zichzelf aan met een losgeldbericht.
• Tijdlijn. Bij malware is de vraag: hoelang zit dit er al en wat is er weggelekt? Bij ransomware is de vraag: hoe snel draaien we weer, en welke gegevens zijn buitgemaakt?
• Herstel. Malware verwijder je meestal door het apparaat schoon op te leveren en wachtwoorden te wijzigen. Bij ransomware draait alles om je back-ups en de volgorde waarin je herstelt.

Hoe komt het binnen?

De routes zijn voor beide grotendeels hetzelfde:

• Een bijlage of link in een mail die er overtuigend uitziet — steeds vaker foutloos geschreven, zie de meest voorkomende cyberdreigingen.
• Gestolen inloggegevens waarmee iemand zich gewoon aanmeldt. Geen inbraak, maar een sleutel.
• Software die niet is bijgewerkt, vooral op systemen die vanaf internet bereikbaar zijn.
• Een download van een verkeerde plek: nagemaakte softwaresites of advertenties bovenaan de zoekresultaten. Zie malvertising en de gevaren van browserextensies.

Waaraan herken je het?

Bij malware zijn de signalen subtiel: een apparaat dat trager wordt, programma’s die crashen, onbekende processen, uitgaand netwerkverkeer op vreemde tijden, of collega’s die mail van jou ontvangen die je nooit hebt verstuurd.

Bij ransomware zijn ze onmiskenbaar: bestanden die niet meer openen of een vreemde extensie hebben gekregen, een tekstbestand met instructies in elke map, een gewijzigde achtergrond. Soms zie je het al eerder aankomen: beveiligingssoftware die plots is uitgeschakeld, of een beheeraccount dat op een raar tijdstip is aangemaakt.

Zo pak je het aan als het misgaat

De eerste stappen overlappen, daarna lopen ze uiteen.

Altijd, meteen

1. Haal het apparaat van het netwerk. Kabel eruit, wifi uit. Niet uitzetten — dat kan sporen wissen die je later nodig hebt.
2. Meld het intern. Zwijgen uit schaamte maakt het altijd erger, en snelheid is hier de belangrijkste factor.
3. Ga ervan uit dat wachtwoorden zijn buitgemaakt en wijzig ze vanaf een schoon apparaat.

Bij malware

1. Laat het apparaat volledig scannen en, bij twijfel, opnieuw opbouwen. Een schone installatie is betrouwbaarder dan hopen dat de scanner alles heeft gevonden.
2. Controleer of er sessies of tokens gestolen zijn: log actieve sessies uit en controleer of er nieuwe apparaten of doorstuurregels in je mailbox zijn toegevoegd.
3. Kijk of andere apparaten dezelfde signalen vertonen.

Bij ransomware

1. Isoleer breder: niet alleen het apparaat, maar ook gedeelde schijven en back-upomgevingen, zodat de versleuteling zich niet verder verspreidt.
2. Betaal niet zomaar. Er is geen garantie dat je je gegevens terugkrijgt, en het houdt het verdienmodel in stand. Kijk of er een gratis decryptietool bestaat via het initiatief No More Ransom.
3. Ga uit van een datalek en beoordeel de meldplicht. Onder de AVG geldt in principe 72 uur voor een melding bij de Autoriteit Persoonsgegevens; valt je organisatie onder NIS2, dan gelden er aanvullende termijnen. Zie wat NIS2 betekent.
4. Herstel vanaf een back-up die aantoonbaar buiten bereik van de aanvaller stond, en controleer eerst of de toegangsweg gedicht is. Anders herhaalt het zich binnen een week.

Voorkomen: het werkt grotendeels hetzelfde

De maatregelen die malware buiten houden, houden ook ransomware tegen. Werk software en apparaten bij, gebruik meervoudige verificatie, beperk beheerrechten tot wie ze echt nodig heeft, en zorg dat er beveiligingssoftware draait die ook gedrag herkent en niet alleen bekende bestanden. Voeg daar een back-up toe die je regelmatig test en waarvan één kopie offline of onveranderbaar staat, en training voor je team.

Die laatste twee zijn precies wat het verschil maakt tussen een vervelende dag en een week stilstand.

Veelgestelde vragen

Is ransomware nu wel of geen malware?

Wel. Ransomware is een categorie binnen malware, net als spyware of een trojan. Het onderscheid dat mensen bedoelen als ze de termen tegenover elkaar zetten, is: verborgen blijven en gegevens stelen versus zichtbaar afpersen.

Beschermt mijn virusscanner tegen allebei?

Deels. Moderne beveiligingssoftware herkent veel bekende varianten, maar aanvallers passen hun code voortdurend aan en gebruiken steeds vaker legitieme systeemtools. Detectie is één laag; back-ups, meervoudige verificatie en het snel installeren van updates zijn minstens zo belangrijk. Zie onze gids over endpointbeveiliging.

Moet ik altijd aangifte doen?

Aangifte bij de politie is verstandig, ook als de kans op opsporing beperkt is: het helpt bij verzekering en beeldvorming. Los daarvan staat de meldplicht bij de Autoriteit Persoonsgegevens als er persoonsgegevens betrokken zijn.

Als ik mijn back-up terugzet, ben ik dan klaar?

Niet automatisch. Je bedrijfsvoering draait weer, maar als er gegevens zijn gekopieerd, blijft dat een datalek. En als de oorspronkelijke toegangsweg niet gedicht is, kan het opnieuw gebeuren. Herstel en onderzoek horen bij elkaar.

Welke vormen van malware kom je het vaakst tegen?

Virussen, wormen, trojans, spyware en infostealers. Ze verschillen in hoe ze binnenkomen en wat ze doen, maar het risico is steeds hetzelfde: iemand anders krijgt toegang tot je systemen of je gegevens. De basis waarmee je ze tegenhoudt is dezelfde als bij ransomware: updates installeren, meervoudige verificatie aanzetten en een team dat een verdachte mail herkent.

Wil je weten of jullie detectie en back-ups bestand zijn tegen dit soort aanvallen — of wat er precies moet gebeuren als het misgaat? We nemen het graag met je door. Bel 030-7115791 of mail info@okayict.nl.