De vijf fasen van een ransomware-aanval: de weken vóór de versleuteling

De meeste mensen stellen zich een ransomware-aanval voor als een moment: op een ochtend werkt niets meer en staat er een boodschap op het scherm. Dat is de laatste van de fasen van een ransomware-aanval: het einde van het verhaal, niet het begin.

Het begin ligt meestal dagen tot weken eerder, en het ziet er volstrekt onopvallend uit. Een inlogpoging die lukte en niet had mogen lukken. Een account dat ineens rechten heeft die het nooit had. Een back-uptaak die twee nachten faalde en waarvan de melding in een mailbox belandde die niemand leest.

In die tussenperiode is de aanval nog te stoppen. Daarna niet meer, of alleen met heel veel schade. Dit artikel gaat over dat stuk: hoe een aanval verloopt vóór de versleuteling, en op welke momenten je hem kunt onderbreken.

Waar dit artikel over gaat, en waar niet

Is het al gebeurd en zit je nu in de eerste uren? Ga dan direct naar ransomware: zo beperk je de schade — daar staat wat je in welke volgorde doet, plus de meldplicht. Wil je weten wat het verschil is tussen malware en ransomware, lees dan dit artikel.

Hieronder gaat het over de weken ervóór.

De vijf fasen van een ransomware-aanval

De fasen van een ransomware-aanval zijn vrijwel altijd dezelfde. Ze staan hieronder in volgorde, met per stap wat je er in de praktijk van zou kunnen zien.

Fase 1: binnenkomen

Meestal via een geldig inlogaccount. Niet door een lek in software, maar met een wachtwoord dat gestolen, hergebruikt of via een nepinlogpagina afgegeven is. Er wordt niet ingebroken, er wordt ingelogd — en dat is precies waarom je virusscanner er niets van zegt.

De tweede veelgebruikte route is een systeem dat vanaf internet bereikbaar is en niet is bijgewerkt: een verouderde firewall, een oude toegangsserver, een netwerkschijf die “even” van buitenaf benaderbaar is gemaakt.

Wat je zou kunnen zien: een geslaagde inlog vanaf een land waar je niemand hebt. Een medewerker die vertelt dat hij een melding kreeg om zijn inlog goed te keuren terwijl hij zelf niets deed. Meerdere mislukte pogingen op hetzelfde account, gevolgd door één die lukt.

Fase 2: rondkijken

Wie eenmaal binnen is, doet eerst niets spannends. Er wordt gekeken: welke servers zijn er in het netwerk, waar staan de bestanden, wie zijn de beheerders, welke back-upsoftware draait er. Dit is de rustigste fase en vaak de langste.

Wat je zou kunnen zien: een gewoon medewerkersaccount dat plotseling mappen opent waar het nooit komt. Zoekopdrachten door de hele gedeelde schijf. Een account dat ’s nachts actief is terwijl die persoon dagdiensten draait.

Fase 3: meer rechten pakken

Om echt schade te kunnen doen, is toegang tot een beheerdersaccount nodig. Dat wordt gezocht: een oud beheeraccount dat nog aanstaat, een wachtwoord dat in een document op de gedeelde schijf staat, of een dagelijks account dat toevallig óók beheerrechten heeft.

Hier ligt de reden waarom beheerrechten niet in een gewoon werkaccount horen. Zolang die gescheiden zijn, moet een aanvaller een extra stap zetten — en dat is precies een stap die zichtbaar is. Meer hierover in least privilege en netwerksegmentatie.

Wat je zou kunnen zien: een nieuw beheerdersaccount dat niemand heeft aangemaakt. Een bestaand account dat is toegevoegd aan een beheerdersgroep. Een uitzondering op de tweestapsverificatie die ineens is aangezet.

Fase 4: de back-up onschadelijk maken

Dit is de fase die het vaakst wordt onderschat en die de uitkomst bepaalt. Een aanvaller weet dat een werkende back-up betekent dat je geen losgeld hoeft te betalen. Dus wordt die eerst aangepakt: back-ups verwijderen, de bewaartermijn op één dag zetten, of de back-uptaak stilletjes uitzetten.

Vaak wordt er dan nog een week gewacht, zodat de oude back-ups vanzelf verlopen. Pas daarna volgt de versleuteling.

Wat je zou kunnen zien: back-uptaken die falen of stoppen zonder dat iemand iets veranderde. Een gewijzigde bewaarinstelling. Een back-up die ineens veel sneller klaar is dan normaal. Dit is het duidelijkste alarmsignaal dat er bestaat, en het wordt gemist omdat back-upmeldingen bij vrijwel iedereen naar een mailbox gaan die niemand opent.

Fase 5: kopiëren en versleutelen

Voordat er iets op slot gaat, worden de interessante bestanden naar buiten gekopieerd. Dat is de dubbele afpersing: ook als je een perfecte back-up hebt, dreigt men de gegevens te publiceren. Daarna gaat alles op slot, meestal in een weekend of vlak voor een vakantie.

Wat je zou kunnen zien: ongebruikelijk veel uitgaand dataverkeer ’s nachts. Een account dat in korte tijd honderden bestanden opent. Nieuwe archiefbestanden op een server die daar niet thuishoren.

Waar je de ketting kunt breken

Je hoeft niet elke fase te kunnen tegenhouden. Eén onderbreking is genoeg, en de vroegste is de goedkoopste.

Bij fase 1: maak inloggen moeilijk na te doen

Tweestapsverificatie op álles wat van buiten bereikbaar is, zonder uitzonderingen die ooit tijdelijk waren. Let daarbij op de methode: codes per sms zijn te onderscheppen en te ontfutselen, zie waarom sms-codes niet meer genoeg zijn. Zet daarnaast oude inlogmethodes uit die geen tweede stap ondersteunen; die worden gebruikt om er precies omheen te komen. Stappenplan: MFA uitrollen in het MKB.

Bij fase 2 en 3: zorg dat er weinig te vinden is

Hoe minder een gemiddeld account mag, hoe minder een aanvaller met dat account kan. Ruim gedeelde mappen op waar iedereen bij kan, haal beheerrechten uit dagelijkse accounts en schaf gedeelde inlogaccounts af. Dit kost geen geld, alleen tijd, en het is de maatregel met het grootste effect op hoever iemand komt.

Bij fase 3: dicht de bekende gaten

Alle systemen die vanaf internet bereikbaar zijn, krijgen voorrang bij updates: firewall, toegangsservers, netwerkapparatuur. Daarna de rest, inclusief de software die niet van Microsoft is. Zie kwetsbaarheden en patchmanagement.

Bij fase 4: maak de back-up onbereikbaar én luidruchtig

Twee eisen. De eerste: minstens één kopie die niet vanuit je gewone omgeving te benaderen of te wissen is, ook niet door een beheerder. De tweede, en die wordt vaker vergeten: een mislukte back-up moet bij een mens terechtkomen die er iets mee doet. Een melding in een ongelezen mailbox is geen melding.

En dan het deel waar bijna niemand aan toekomt: heb je ooit een echte terugzetting gedaan? Niet “de back-up meldt dat hij geslaagd is”, maar een bestand of server daadwerkelijk teruggehaald en gecontroleerd. Zie veilige back-ups en een herstelplan met RTO en RPO.

Bij fase 5: zorg dat iemand meekijkt

Alle signalen hierboven zijn alleen nuttig als ze ergens terechtkomen. Bepaal welke gebeurtenissen een telefoontje waard zijn — een nieuw beheerdersaccount, een geslaagde inlog uit onverwacht buitenland, een gefaalde back-up — en spreek af wie er dan gebeld wordt. Meer daarover in continue monitoring.

Een voorbeeld uit de praktijk

Een productiebedrijf met 38 medewerkers ontdekte achteraf hoe lang het had gelopen. De versleuteling begon op een vrijdagavond. De eerste geslaagde inlog met gestolen gegevens bleek van 23 dagen eerder.

In die drie weken was er van alles gebeurd dat opgemerkt had kunnen worden. Een tweede beheerdersaccount aangemaakt op een dinsdagmiddag. De bewaartermijn van de back-up teruggezet van 30 naar 3 dagen, elf dagen voor het einde. Twee gefaalde back-uptaken, netjes gemeld per e-mail, naar het adres van een oud-collega.

Er ontbrak geen software. Er ontbrak iemand die keek. Het herstel duurde negen dagen, waarvan vier zonder productie.

Zo pak je het aan

Vier controles die je deze week kunt doen, in volgorde van opbrengst:

Eén. Vraag de lijst op met accounts die beheerrechten hebben. Bijna altijd staan daar mensen op die het niet meer nodig hebben, en accounts die niemand herkent.

Twee. Kijk waar de meldingen van je back-up naartoe gaan en wie ze daadwerkelijk leest. Stuur voor de zekerheid een testmelding.

Drie. Zet een terugzettest in de agenda. Één map, één server, echt terughalen en openen. Noteer hoe lang het duurde — dat getal heb je later nodig.

Vier. Spreek af welke drie gebeurtenissen een telefoontje waard zijn en naar wie dat telefoontje gaat. Buiten kantooruren ook.

Deze vier kosten samen minder dan een dag. Ze halen de aanval niet weg, maar ze verkleinen wél de kans dat hij ongestoord drie weken de tijd krijgt.

Veelgestelde vragen

Hoe lang zit een aanvaller gemiddeld binnen voordat er iets versleuteld wordt?

Dat varieert sterk, van een paar dagen tot enkele weken. De richting is wel dat het korter wordt, doordat aanvallers steeds meer stappen automatiseren. Ga er dus niet van uit dat je wekenlang de tijd hebt om iets op te merken.

Merkt mijn virusscanner dit niet gewoon?

Deels. Een virusscanner is goed in het herkennen van kwaadaardige bestanden, maar de eerste vier fasen bestaan grotendeels uit normale handelingen met geldige inloggegevens: inloggen, mappen openen, een account aanmaken. Daar is technisch weinig verdachts aan. Zie ook malware die je virusscanner niet ziet.

Wij hebben een back-up in de cloud. Is die veilig voor ransomware?

Niet automatisch. Als je back-upomgeving bereikbaar is met een beheeraccount uit je gewone omgeving, kan iemand die dat account overneemt er ook bij. Wat je zoekt is een kopie die niet te wissen of te overschrijven is binnen de bewaartermijn, met een aparte inlog. Ook je online werkomgeving zelf kan geraakt worden; daarover gaat ransomware in cloudomgevingen.

Wat kost zo’n voorbereiding ongeveer?

Het grootste deel zit in tijd, niet in licenties. Rechten opschonen, beheeraccounts scheiden en meldingen goed laten aankomen kost bij een bedrijf van dertig man doorgaans een paar dagen werk. De post waar wel geld in zit is een back-upopzet met een echt afgeschermde kopie, en dat is meestal een aanpassing op wat je al hebt.

Kun je een ransomware-aanval nog voorkomen als de aanvaller al binnen is?

Ja, tot het moment dat de versleuteling begint. In de fasen daarvoor beweegt een aanvaller zich door je netwerk met geldige inloggegevens: systemen openen, mappen doorzoeken, meer rechten regelen. Elke stap is een kans om de aanval te onderbreken. Lukt dat op tijd, dan komt het niet tot losgeld en hoef je geen data terug te zetten. Merk je het pas als alles op slot zit, dan blijft alleen herstellen over — en dan ligt de organisatie stil zolang dat duurt.

Moeten we een losgeldverzekering hebben?

Een cyberverzekering dekt vaak meer dan losgeld: onderzoek, herstel en juridische bijstand. Let wel goed op de uitsluitingen, want daar zitten regelmatig eisen in over updates en back-ups waar je aan moet voldoen. We schreven daarover in cyberverzekering: dekking en uitsluitingen.

Wil je weten hoever iemand in jouw omgeving zou komen? We lopen de vijf fasen langs, kijken waar de ketting nu al breekt en waar niet, en doen samen een echte terugzettest. Bel 030-7115791 of mail naar info@okayict.nl.