7 soorten malware die je virusscanner niet zomaar ziet

“We hebben toch een virusscanner?” Het is de meest gestelde vraag als we het over malware hebben, en hij is volkomen terecht. Een virusscanner is nog steeds nuttig. Het probleem is dat de mensen die malware maken precies weten hoe zo’n scanner werkt, en hun software daarop aanpassen.

Klassieke virusscanners werken grotendeels met handtekeningen: een soort vingerafdruk van bekende schadelijke bestanden. Herkent de scanner de vingerafdruk, dan slaat hij alarm. Dat werkt uitstekend tegen bekende bedreigingen. Het werkt niet tegen malware die bij elke besmetting een andere vingerafdruk heeft, of die helemaal geen bestand op je schijf achterlaat.

Hieronder zeven soorten die daar handig gebruik van maken. Niet om je bang te maken — de meeste besmettingen beginnen nog altijd met een simpele klik op een link — maar zodat je begrijpt waarom één scanner niet genoeg is, en wat er dan wél bij hoort.

1. Polymorfe malware: elke keer een ander gezicht

Polymorfe malware verandert zijn eigen code bij elke kopie die hij maakt. De werking blijft hetzelfde, maar de vingerafdruk is telkens anders. Voor een scanner die op handtekeningen zoekt, ziet elke besmetting eruit als een nieuw, onbekend bestand.

De variant die nog een stap verder gaat heet metamorfe malware: die herschrijft niet alleen zijn verpakking, maar zijn hele opbouw. Het gevolg is hetzelfde: een lijst van bekende boosdoeners helpt je niet. Je hebt detectie nodig die kijkt naar gedrag — wat doet dit programma op mijn systeem? — in plaats van naar uiterlijk.

2. Fileless malware: er staat niets op je schijf

Deze categorie is de laatste jaren flink gegroeid. Fileless malware zet geen bestand op je harde schijf, maar draait rechtstreeks in het geheugen van je computer. Er valt dus niets te scannen op je schijf.

Het begint vrijwel altijd met een phishingmail of een besmette website. Zodra iemand klikt, misbruikt de aanval legitieme onderdelen van Windows — PowerShell bijvoorbeeld, of ingebouwde beheertools — om verbinding te maken en verder te werken. Omdat die tools normaal gesproken volstrekt legitiem zijn, valt het gebruik ervan niet op als je er niet gericht naar kijkt.

Wat helpt: PowerShell en scriptuitvoering beperken tot wie het echt nodig heeft, en monitoring die opmerkt dát een beheertool ineens door een gewone gebruiker wordt aangeroepen. Zie ook waarom continue monitoring geen luxe is.

3. Moderne ransomware: eerst stelen, dan versleutelen

Ransomware is geen nieuwe categorie, maar wel een die van tactiek is veranderd. Waar het vroeger ging om het versleutelen van één computer, richt de huidige generatie zich op het hele netwerk. En bijna altijd wordt data eerst gestolen en pas daarna versleuteld.

Die volgorde is bewust. Heb je een goede back-up en kun je alles terugzetten, dan is de dreiging “we publiceren jullie klantgegevens” nog steeds een drukmiddel. Voor de AVG is het bovendien een datalek, met een meldplicht van 72 uur richting de Autoriteit Persoonsgegevens. Wat je in de eerste uren doet, staat in ransomware: zo beperk je de schade.

4. Social engineering: de mens als route

Strikt genomen geen malwaresoort, maar wel de manier waarop het merendeel binnenkomt. In plaats van een technische kwetsbaarheid te zoeken, richt de aanvaller zich op een mens: een mail die van een leverancier lijkt te komen, een appje van “de directeur”, een nepfactuur met een bestand erbij.

Geen enkele scanner beschermt tegen een gebruiker die zelf toestemming geeft. Wat wel werkt is herkenning trainen en het proces zo inrichten dat één persoon nooit alleen een betaling of wachtwoordwijziging kan doorvoeren. Zie de SLAM-methode om phishing te herkennen en phishing 2.0, want AI heeft de kwaliteit van die berichten flink opgeschroefd.

5. Rootkits: verstoppen is het doel

Een rootkit is geen malware die iets doet, maar malware die zorgt dat andere malware niet gevonden wordt. Hij nestelt zich diep in het systeem — soms onder het besturingssysteem — en manipuleert wat je te zien krijgt. Vraag je een lijst met draaiende processen op, dan filtert de rootkit zichzelf eruit.

Veel rootkits proberen bovendien de beveiligingssoftware zelf uit te schakelen. Vandaar dat een van de simpelste alarmsignalen is: je virusscanner staat ineens uit en laat zich niet aanzetten. Detectie vraagt hier om controle van buitenaf, bijvoorbeeld beheersoftware die vanaf een centrale plek meldt dat de bescherming op een apparaat niet meer meldt.

6. Spyware: stil meekijken

Spyware verzamelt informatie zonder dat je het merkt: toetsaanslagen, schermafbeeldingen, opgeslagen wachtwoorden, browsegedrag. Er is geen versleuteld bestand, geen losgeldbrief, geen zichtbaar effect — hooguit een computer die wat trager aanvoelt.

Juist dat maakt het lastig. Spyware kan maandenlang meelopen voordat iemand het merkt, en in die tijd zijn er inloggegevens gelekt die vervolgens ergens anders worden gebruikt. Een goede reden om tweestapsverificatie overal aan te zetten: een gestolen wachtwoord is dan op zichzelf niet genoeg.

7. Trojans: het pakketje dat er goed uitziet

Een trojan vermomt zich als iets nuttigs: een gratis tool, een pdf-lezer, een update, een bestand dat een collega lijkt te sturen. Hij verspreidt zichzelf niet, maar heeft jou nodig om te worden geopend. Daarom komen trojans bijna altijd samen met een overtuigend verhaal.

De praktische verdediging is saai maar effectief: software alleen uit officiële bronnen of via je IT-beheer, geen installatierechten voor gewone gebruikers, en macro’s in Office-bestanden standaard uit. Meer over hoe je apparaten inricht staat in de gids voor endpointbeveiliging.

Wat dan wél werkt

Er is geen enkel product dat dit allemaal in één keer oplost. Wat wel werkt is een aantal lagen die elkaar opvangen:

1. Moderne endpointbescherming in plaats van alleen een scanner. EDR-achtige oplossingen kijken naar gedrag: een proces dat opeens honderden bestanden versleutelt of PowerShell aanroept, valt op — ook als het bestand zelf onbekend is.
2. Updates, snel. Veel aanvallen gebruiken kwetsbaarheden waar al maanden een patch voor is. Zie patchmanagement.
3. Beperk rechten. Geen beheerdersrechten voor dagelijks werk. Dat alleen al blokkeert een groot deel van wat malware wil doen.
4. Tweestapsverificatie op alles. Zeker op e-mail, want dat is de sleutel tot de rest.
5. Iemand die kijkt. Alarmen die niemand leest zijn geen beveiliging. Zorg dat meldingen ergens terechtkomen waar actie op volgt.
6. Een geteste back-up. De laatste vangnet-laag. Test één keer per jaar of terugzetten echt lukt — zie veilige back-ups.
7. Getrainde collega’s. De goedkoopste maatregel met het grootste effect.

Een praktijkvoorbeeld: bij een handelsbedrijf van dertig man opende iemand een bijlage die op een pakbon leek. De virusscanner zag niets. Wat wel opviel, was dat er om half acht ’s avonds vanaf één werkplek honderden bestanden op de server werden geopend. Die melding kwam bij de beheerder binnen, het apparaat ging binnen tien minuten van het netwerk, en de schade bleef beperkt tot één laptop. Zonder monitoring was het een weekend vol ellende geworden.

Veelgestelde vragen

Is Microsoft Defender genoeg?

Defender is de afgelopen jaren sterk verbeterd en voor thuisgebruik prima. Voor een bedrijf is de vraag niet alleen “hoe goed detecteert het”, maar ook “wie ziet de meldingen en wie doet er iets mee”. Die centrale beheerlaag en opvolging is wat de zakelijke varianten en beheerde oplossingen toevoegen.

Hoe merk ik dat er iets mis is?

Denk aan een computer die zonder reden traag wordt, beveiligingssoftware die uitstaat, onbekende programma’s die opstarten, of collega’s die mail van jou krijgen die je nooit hebt verstuurd. Een uitgebreidere lijst staat in de signalen van een malwarebesmetting.

Wat is het verschil tussen malware en ransomware?

Ransomware is één soort malware — de variant die zich meteen laat zien en om geld vraagt. De meeste andere soorten willen juist onopgemerkt blijven. Dat verschil bepaalt ook hoe je reageert; we hebben het uitgewerkt in het verschil tussen malware en ransomware.

Kan malware binnenkomen zonder dat ik ergens op klik?

Ja, dat kan. Aanvallen die geen enkele actie van de gebruiker vragen heten zero-click-aanvallen; die misbruiken een kwetsbaarheid in software die berichten of bestanden automatisch verwerkt. Ze zijn zeldzaam en duur om te maken, maar ze bestaan — zie wat is zero-click malware. Het is meteen het sterkste argument om updates snel te installeren.

Welke soorten malware zijn er nog meer?

De zeven hierboven zijn de soorten malware die een virusscanner het vaakst mist. Het begrip is breder: malware staat voor malicious software, schadelijke software die is gemaakt om gegevens te stelen of je systeem te verstoren. Klassieke virussen hebben een bestand nodig om zich te verspreiden; wormen doen dat zelfstandig via het netwerk. Adware toont ongevraagd advertenties en houdt bij wat gebruikers doen, keyloggers leggen toetsaanslagen vast, en bots maken van een geïnfecteerde computer onderdeel van een botnet. Trojaanse paarden en ransomware ken je al uit de lijst: een trojaans paard wordt geïnstalleerd als nuttige software, ransomware vraagt losgeld. Deze bekendere soorten worden door antivirussoftware meestal wél gezien — vooral als je niets downloadt van onbekende websites, geen onnodige toegang uitdeelt en updates snel installeert.

Wil je weten hoe je huidige beveiliging het doet tegen dit soort aanvallen? We doen een nuchtere check op je werkplekken, rechten en monitoring, en vertellen eerlijk wat wel en niet nodig is. Bel 030-7115791 of mail info@okayict.nl.