Een geschiedenis van malware

• Inleiding
• Hoofdstuk 1 De Creeper en de Reaper: De dageraad van zelfreplicerende programma's
• Hoofdstuk 2 De Elk Cloner: Vroege grappen en personal computervirussen
• Hoofdstuk 3 De Brain Virus: De eerste IBM PC-compatibele virus gaat wereldwijd
• Hoofdstuk 4 De Morris Worm: De eerste grote uitbraak van het internet
• Hoofdstuk 5 De Michelangelo Virus: Een mediahype en de opkomst van antivirussoftware
• Hoofdstuk 6 De opkomst van polymorfe virussen: De zich ontwikkelende dreiging
• Hoofdstuk 7 Macro-virussen: De nieuwe infectievector in het kantoor
• Hoofdstuk 8 De Melissa Virus: De dageraad van e-mail-gebaseerde massamailers
• Hoofdstuk 9 De ILOVEYOU Worm: Een wereldwijde pandemie van digitale liefde
• Hoofdstuk 10 Code Red en Nimda: Het tijdperk van gemengde dreigingen
• Hoofdstuk 11 De opkomst van spyware: Kuiperen in het digitale leven van anderen
• Hoofdstuk 12 Botnetten: De zombielegers van het internet
• Hoofdstuk 13 De Storm Worm: Een meesterstuk van social engineering
• Hoofdstuk 14 De Conficker Worm: Een mysterie dat experts verwardde
• Hoofdstuk 15 Stuxnet: 's Werelds eerste digitale wapen
• Hoofdstuk 16 De opkomst van ransomware: Van CryptoLocker tot een wereldwijde dreiging
• Hoofdstuk 17 De opkomst van mobiele malware: Dreigingen in je zak
• Hoofdstuk 18 Adware en potentiëel ongewenste programma's (PUPs): De vervelende nichtjes van malware
• Hoofdstuk 19 Bestandsloze malware: Het spook in de machine
• Hoofdstuk 20 De WannaCry-ransomwareaanval: Een wereldwijde wake-up call
• Hoofdstuk 21 NotPetya: Van ransomware tot cyberwapen
• Hoofdstuk 22 De Mirai Botnet: Het wapenizen van het internet der dingen
• Hoofdstuk 23 De opkomst van cryptojacking: Stroom stelen voor digitale valuta
• Hoofdstuk 24 Door staten gesteunde malware en geavanceerde persistente dreigingen (APTs)
• Hoofdstuk 25 De toekomst van malware: AI, machine learning en de volgende generatie dreigingen

Het leeft in het siliciumhart van uw meest persoonlijke apparaten. Het is een spook in de machine, een onwelkome digitale bezoeker die onangekondigd arriveert en vaak een spoor van chaos achterlaat. Soms is het slechts een irritatie, een grapjas die graffiti op uw scherm kritselt. Andere keren is het een dief in de nacht, stilletjes uw meest gevoelige informatie kopiërend. En in zijn meest bedreigende vormen kan het een wapen van sabotage zijn, in staat om cruciale infrastructuur te lamleggen en internationale incidenten te ontketenen. Deze onzichtbare bewoner van onze moderne wereld gaat bij een enkele, passend zondaar naam: malware.

De term "malware" is een portmanteau, een linguïstische mongrel van "malicious software" ( kwaadaardige software). Het is een parapluter terme voor elke software die opzettelijk is ontworpen om schade te berokkenen aan een computer, een netwerk of zijn gebruikers. Onder deze brede paraplu scharen een diverse en beruchte familie van digitale storende elementen. Er zijn virussen, die, net als hun biologische namengenoten, zich hechten aan een hostprogramma en zich repliceren door hun eigen code in te voegen. Er zijn wormen, die meer onafhankelijk zijn, in staat zichzelf te repliceren en zich over netwerken te verspreiden zonder enige menselijke interactie. Dan zijn er Trojaanse paarden, vernoemd naar het bedrieglijke houten geschenk uit de Griekse legende, die zich vermommen als legitieme software om u te truceren ze voorbij uw verdediging te laten. De familie omvat ook spionagesoftware, toetsenloggers, adware, botnetten, en de met name brute handlanger bekend als ransomware.

Doorheen dit boek zullen we elk van deze personages in detail tegenkomen. Hoewel de media en het alledaagse taalgebruik termen als "virus" vaak als verzamelnaam gebruiken, vereist onze reis iets meer precisie. Het begrijpen van het verschil tussen een worm en een Trojaans paard is niet kwestie van kantkruierige nauwkeurigheid; het is de sleutel tot het begrijpen van hoe deze dreigingen opereren, hoe ze zich verspreiden, en hoe de aard van het digitale gevaar zich in de loop van de tijd heeft ontwikkeld. Elk type malware vertegenwoordigt een andere strategie, een nieuwe aanvalslijn in een conflict dat al meer dan een half eeuw woedt. Van programma's die zich slechts aankondigen tot degene die hele nationale gezondheidssystemen gijzelen, is de diversiteit een getuigenis van de onophoudelijke, perverse uitvindelijkheid van hun scheppers.

Malware is geen van nature optredend fenomeen. Het ontstaat niet spontaan in de digitale either. Elk enkel stuk kwaadaardige code, van het eenvoudigste script tot het complexste cyberwapen, is geschreven door een mens. Achter elke infectie schuilt een mens met een motief. In de loop van de decennia hebben die motieven zich net zo dramatisch verschoven als de technologie zelf. Wat begon als intellectuele nieuwsgierigheid en speelse kwakzalverij onder vroege programmeurs, heeft zich ontwikkeld tot een wereldwijde industrie van cybercriminaliteit van meerdere biljoenen dollars. Het verhaal van malware is dus een menselijk verhaal.

De pioniers van deze digitale onderwereld waren vaak academici, studenten en hobbyisten. Ze werden gedreven door de wens de grenzen van nieuwe technologie te verkennen, te zien of een programma kon worden gemaakt om zichzelf te repliceren, om onder eigen kracht door een netwerk te reizen. Hun creaties, hoewel storend, waren vaak niet opzettelijk destructief. Sommige vroege virusschrijvers zetten zelfs hun namen en adressen in de code, minder als een uitdaging en meer als een visitekaartje, een manier om erkenning te claimen voor hun slimheid. Maar naarmate computers centraal werden voor de handel en het dagelijks leven, begonnen de motieven te verdesteren. De grapjas wichen dieven, de hobbyisten georganiseerde misdaadsyndicaten. Het doel verschuifde van bekendheid naar winst.

Vandaag is het landschap van malware-creatie complexer dan ooit. Het beslaat het hele spectrum van menselijke intentie, van eenzame tiener in hun slaapkamers die chaos willen stichten, tot gesofisticeerde criminële ondernemingen die ransomware runnen als een hoogst winstgevend bedrijf. Het omvat bedrijfsspionnen die handelsgeheimen stelen en door staten gesteunde actoren die digitale wapens ontwikkelen voor spionage en sabotage. Dit begrijpen betekent niet alleen de code begrijpen, maar de veranderende psychologie van de scheppers – hun motieven, hun ambities, en hun toenemende bereidheid om op wereldschaal schade toe te brengen.

Dit boek is een oefening in een unieke vorm van archeologie. Onze artefacten zijn geen stenen tabletten of potscherven, maar regels code, vaak bewaard in het digitale amber van oude harde schijven en vergeten servers. Het verhaal dat ze vertellen, is het verhaal van onze toenemende afhankelijkheid van digitale systemen en de daarbij horende opkomst van hen die ze zouden uitbuiten. Het verhaal begint niet met een kwaadwillige daad, maar met een theoretische vraag. In de late jaren veertig, lang voor het avontuur van personal computers, overwoog de briljante wiskundige John von Neumann de mogelijkheid van zelfreproducerende machines. Zijn werk over de "Theorie van zelfreproducerende automaten" was een gedachte-experiment, dat onderzoekde of een mechanisch organisme, als een stuk code, zichzelf kon kopiëren en nieuwe gastheeren kon infecteren op een manier vergelijkbaar met een biologisch virus.

Von Neumanns theorieën, postuum gepubliceerd in 1966, legden de intellectuele basis voor wat zou komen. Het was niet geboren uit kwaadwilligheid, maar uit zuivere wetenschappelijke nieuwsgierigheid naar de aard van leven en machines. De eerste praktische, wenwel onschuldige, verkenningen van dit idee ontstonden in spellen als "Darwin" en "Core War", ontwikkeld in de jaren zestig bij Bell Labs. In deze digitale arenen vochten concurrerende programma's, of "organismen", om de controle over het geheugen van de computer – een speelse voorspel tot de veel ernstigere gevechten die later zouden ontvouwen. De ware begin van ons verhaal, het moment dat de theorie van het bord in de echte wereld sprong, zou arriveren in 1971. Een eenvoudig, experimenteel programma genaamd de Creeper begon te bewegen tussen mainframe-computers op het ARPANET, de voorloper van het moderne internet. Het deed geen kwaad; het toonde slechts een eenvoudige, spotterlijke boodschap: "IK BEN DE CREEPER. VANG ME ALS JE KUNT!" Het eerste digitale spook was in de machine verschenen.

Vanaf die grilloze beginnen zet het verhaal van malware een koers van escalerende sophistication en intentie. De vroegste virussen waren eenvoudige wezens, die zich langzaam verspreidden via het fysieke ruilen van diskettes. Ze waren vaak niet meer dan digitale graffiti, zich aankondigend met een gedicht, een hypende stip, of een eenvoudig politiek bericht. De inzet was laag, en de schade was meestal beperkt tot irritatie en het geringe ongemak van een schijf wissen en opnieuw beginnen. Ze waren het digitale equivalent van een wiekeekussen, verrassend maar uiteindelijk onschadelijk.

De komst van het internet veranderde alles. Netwerken werden supersnelwegen voor infectie, waardoor een enkel stuk kwaadaardige code zich over de hele wereld kon voortplanten in een kwestie van uren, of zelfs minuten. Het tijdperk van e-mailvirussen en netwerkwormen markeerde een grote draaipunten. De schaal van uitbraken explodeerde, waardoor malware zich veranderde van een nicheprobleem voor computerhobbyisten in een wereldwijd fenomeen capabel bedrijven te sluiten en miljarden dollars aan economische schade te veroorzaken. De speelse grapjas werden vervangen door digitale vandalen die genooten van wijdverspreide verwoesting.

Toen de financiële wereld online ging, deden de criminelen het gelijk. De ontwikkeling van spionagesoftware, toetsenloggers en bankTrojanen maakte malware een gereedschap voor industriële diefstal. Kwaadaardige kon nu stilzwijgend opereren, verborgen op de achtergrond om wachtwoorden, creditcardnummers en andere gevoelige persoonlijke gegevens te stelen. Hierop volgde de opkomst van botnetten, enorme legers van gecompromitteerde "zombie"-computers die uitgehuurd konden worden voor alles van het versturen van spam tot het lanceren van massale denial-of-service-aanvallen. Het tijdperk van cybercriminaliteit had werkelijk begonnen.

In de laatste twee decennia heeft de dreiging zich op manieren ontwikkeld die eens de stof waren van sciencefiction. De opkomst van ransomware creëerde een brutaal en direct bedrijfsmodel: versleutel de bestanden van een slachtoffer en eis een losgeld voor hun teruggave. De proliferatie van smartphones en Internet of Things-apparaten opende volledig nieuwe grenzen voor aanval, waardoor malware in onze zakken en huizen kwam. Meest ontzettend is dat malware gewapend is door naties. Programma's als Stuxnet en NotPetya toonden aan dat code niet alleen gebruikt kon worden om informatie te stelen, maar ook om fysieke infrastructuur te vernietigen, wat de grens tussen spionage en oorlog vervaagde.

Deze geschiedenis wordt gedefinieerd door een onverstoorbare en escererende wapenwedloop. Voor elk nieuw stuk malware dat op de wereld wordt losgelaten, wordt een nieuwe verdediging bedacht. Het verhaal van malware is onlosmakelijk verbonden met het verhaal van antivirusoftware en de geboorte van de gehele cyberbeveiligingsindustrie. In de vroege dagen was verdediging reactief. Een nieuw virus werd "in the wild" ontdekt, en beveiligingsexperts schuifelden om het te analyseren, zijn handtekening te begrijpen, en een fix te distribueren. Dit kat-en-muisspel heeft innovatie aan beide kanten gedreven.

Naarmate malware-creators technieken ontwikkelden om hun code te verbergen – polymorfisme gebruikend om hun uiterlijk bij elke nieuwe infectie te veranderen, of stealth-technieken om hun aanwezigheid te verbergen voor het besturingssysteem – moesten beveiligingsprofessionals meer gesofisticeerde detectiemethoden ontwikkelen. Eenvoudige handtekeninggebaseerde scanning wijk heuristieken, gedragsanalyse en sandboxing. Vandaag is de strijd het domein van kunstmatige intelligentie en machine learning binnengegaan, met algoritmen aan beide kanten van de firewall die proberen elkaar uit te slimmen in een strijd uitgevoet bij machinesnelheid.

Deze lopende conflict heeft de digitale wereld gevormd die we bewohnen. Het is waarom we constant herinnerd worden om sterke wachtwoorden te gebruiken, voorzichtig te zijn met verdachte e-mailbijlagen, en onze software up-to-date te houden. De beveiligingsfuncties ingebouwd in moderne besturingssystemen, de versleuteling die onze online transacties beschermt, en de structuur van het internet zelf zijn allen diep beïnvloed door deze decennia durende strijd. De dreiging van malware heeft ons gedwongen hogere muren en complexere sloten om ons digitale leven te bouwen, maar de indringers vinden steeds nieuwe manieren binnen te komen.

Dit is meer dan alleen een technische geschiedenis. Het is een verhaal met diepgaande implicaties voor elk aspect van de moderne samenleving. In een wereld waar financiële markten, energienetten, gezondheidssystemen en democratische verkiezingen allemaal beheerd worden door computersystemen, is onze collectieve kwetsbaarheid voor kwaadaardige code een van de definitieve uitdagingen van onze tijd. Malware is niet langer slechts een dreiging voor individuele computers; het is een dreiging voor de mondiale stabiliteit, privacy, en het weefsel van onze onderling verbonden wereld. Zoals één natie in 2022 ontdekte, kan een ransomware-aanval zo verwoestend zijn dat het een nationale noodsituatie rechtvaardigt.

Begrijpen waar malware vandaan komt, is essentieel om te begrijpen waar het naartoe gaat. De grapjes van de jaren tachtig zijn de directe voorouders van de cyberwapens van vandaag. De social engineering-trucs gebruikt door de scheppers van de "ILOVEYOU"-worm worden vandaag nog steeds gebruikt in phishing-aanvallen. De kwetsbaarheden uitgebuit door de Morris-worm in 1988 klinken nog steeds na in de beveiligingslekken waar we nu mee worstelen. Deze geschiedenis is niet alleen een verzameling oude verhalen; het is een levend blauwdruk van de dreigingen waar we nu voor staan en een waarschuwende verhalen over de dreigingen die nog moeten komen.

In de hoofdstukken die volgen, begeven we ons op een chronologische reis door deze schaduwrijke geschiedenis. We zullen de sleutelspeler ontmoeten – de malware, hun scheppers, en de mensen die tegen hen vochten. We zullen de meest significante uitbraken dissecteren, van het eerste zelfreproducerende programma tot de wereldwijde cyberaanvallen die de koppen maakten over de hele wereld. We zullen de evolutie van kwaadaardige code traceren van een simpele nieuwsgierigheid tot een complex en gevaarlijke kracht. Het verhaal is een van innovatie, misdaad, spionage, en de constante, vaak onzichtbare strijd om controle over de digitale grens. Laten we dus beginnen aan het begin, in een tijd voor het internet, toen het allereerste spook in de machine roerde.

Het jaar 1971 was geen tijd van personal computers. Er waren geen desktops, geen laptops en zeker geen smartphones. De digitale wereld was een exclusieve club, een dunbevolk archipel van massive mainframe-computers gehuisvest in de geclimatiseerde sanctuaria van universiteiten, overheidsinstanties en een paar vooruitstrevende bedrijven. Deze reuzen, bekend onder namen als de DEC PDP-10, waren het domein van wetenschappers, ingenieurs en graduate-studenten die via klapperende teletype-terminals met hen communiceerden. Ze waren verbonden, niet door het uitgestrekte, chaotische web dat we vandaag kennen, maar door een ontluikend experimenteel netwerk genaamd de ARPANET, de technologische voorloper van het internet.

De ARPANET van de vroege zeventigerjaren was een kleine, bijna familiaire gemeenschap. In september 1971 verbond het nog maar 18 computers, of "knooppunten", over de Verenigde Staten heen. Het was een plek gebouwd op vertrouwen en een gedeelde geest van verkenning, gefinancierd door de Advanced Research Projects Agency van het Amerikaanse Ministerie van Defensie om veerkrachtige communicatie en het delen van middelen te stimuleren. Het concept van een "hacker" in de kwaadaardige zin bestond niet; de gemeenschap bestond uit onderzoekers die de grenzen van het mogelijke verleden. Het was in deze omgeving – deel academisch laboratorium, deel technologische grens – dat het eerste spook in de machine begon te roeren. De daad die het in gang zette, was niet een van kwaadwilligheid, maar van zuivere, ongemengde nieuwsgierigheid.

De schepper van het spook was Bob Thomas, een programmeur bij Bolt, Beranek and Newman (BBN), een op Cambridge, Massachusetts gevestigd onderzoeksonderneming die instrumentaal was bij het bouwen van de ARPANET zelf. Thomas werkte aan een besturingssysteem genaamd TENEX, een populaire keuze voor de PDP-10-mainframes die met het netwerk verbonden waren. Zijn doel was een programma te creëren dat "softwaremobiliteit" kon demonstreren – om te zien of een stuk code onder eigen kracht van de ene computer naar de andere op het netwerk kon verplaatsen. Het was een praktische verkenning van de theoretische ideeën die al decennia rondzwierden, sinds John von Neumann voor het eerst het concept van zelfreproducerende automaten had gepostuleerd.

Thomas noemde zijn creatie "Creeper". De naam was naar verluidt geïnspireerd door een gruwelijke, groen geklede schurk uit de populaire tekenfilmserie "Scooby-Doo". Het programma dat hij schreef was simpel, bijna elegant in zijn functie. Het was ontworpen om te draaien op het TENEX-besturingssysteem en de ARPANET te navigeren. Eenmaal actief op een machine, zou het beginnen met het printen van een bestand, maar voordat het kon afdrukken, zou het stoppen, een andere TENEX-machine op het netwerk lokaliseren en zijn code naar die nieuwe gastheer overbrengen. Bij aankomst in zijn nieuwe thuis, zou het een simpele, spotterlijke boodschap op de aangesloten teletype-terminal tonen.

De boodschap was niet bedreigend of destructief. Het was een speelse uitdaging, een digitale visitekaartje dat de hacker-ethos van dat tijdperk perfect omvatte: "IK BEN DE CREEPER. VANG ME ALS JE KUNT!"

Er is enige discussie over of Creeper kwalificeert als de eerste echte virus of worm. De oorspronkelijke versie die Thomas schreef, repliceerde zich niet; het verhuisde. Nadat het naar een nieuwe computer was gemigreerd, verwijderde het zichzelf van de vorige. Het was minder als een biologisch virus dat infecteert en vermenigvuldigt en meer als een digitale nomade, hoppend van de ene gastheer naar de volgende, nooit lang op één plek verblijvend. Het verspreidde zich niet exponentieel; er was altijd maar één Creeper tegelijk actief. Het richtte geen schade aan aan bestanden, stal geen data en deed weinig meer dan de systeembeheerders die zijn vlooiboodschap over hun terminals zagen scrollen, voor even verrassen.

De impact was minimaal. De gehele populatie van potentiële gastheren was klein – niet meer dan 28 machines op de ARPANET draaiden destijds het TENEX-besturingssysteem. Veel van de operators van deze machines waren medewerkers die Thomas toestemming hadden gegeven om zijn experiment uit te voeren. In deze kleine, ingesloten wereld was Creeper geen dreiging; het was een fascinerend bewijs van concept. Het was een succesvolle demonstratie dat een programma inderdaad over een netwerk kon reizen, een fundamenteel principe dat de hele toekomst van malware zou onderbouwen.

Het verhaal ontwikkelde zich echter spoedig verder. Een collega van Thomas bij BBN, een man genaamd Ray Tomlinson, nam interesse in het project. Tomlinson is een reus in de geschiedenis van de informatica, gevierd als de uitvinder van moderne e-mail en de man die het "@"-symbool koos om de naam van een gebruiker van hun gastheermachine te scheiden. Geïntrigeerd door Creeper, wijzigde Tomlinson Thomas' oorspronkelijke code. Deze nieuwe, verbeterde versie verhuisde niet alleen; het repliceerde. In plaats van zichzelf van de vorige gastheer te verwijderen, zou het nu een kopie van zichzelf achterlaten tijdens de reis naar de volgende, wat toeliet dat meerdere instanties gelijktijdig bestonden. Met deze wijziging was de eerste computervorm van de werkelijkheid werkelijk geboren.

Wat een eenzame dwalende was, was nu in staat tot voortplanting. Hoewel nog steeds onschadelijk, vertegenwoordigde de verbeterde Creeper een significante escalatie. Het was deze ontwikkeling die Tomlinson ertoe bracht de hoed te wisselen. Na geholpen te hebben bij het creëren van een zelfreproducerend programma, zette hij zijn geest in op de uitdaging om het te stoppen. Hij creëerde een tweede programma, een specifiek ontworpen om zijn voorganger op te sporen en te vernietigen.

Hij noemde het "Reaper". De naam was een passend contraponder: de snoeier ontworpen om de Creeper terug te knippen.

Reaper was, op zijn eigen manier, net zo baanbrekend als Creeper. Het was het allereerste stuk antivirusoftware. Het werkte op dezelfde principes als het programma dat het ontworpen was te jagen. Reaper was zelf een zelfreproducerend programma dat over de ARPANET verhuisde. Zijn enig doel was het netwerk te patrouilleren, eventuele overblijvende instanties van het Creeper-programma te vinden en te verwijderen.

Deze digitale duel, onzichtbaar afspeelend over de circuits van de ARPANET, was de allereerste iteratie van het kat-en-muisspel dat de volgende half eeuw en daarbuiten het vakgebied van cyberbeveiliging zou komen te definiëren. Een kwaadaardig (of in dit geval grieperig) programma was gecreëerd, en ter reactie werd een welwillend programma uitgezonden om het te neutraliseren. Een van de fundamentele dynamieken van de digitale eeuw was vastgelegd.

De strijd tussen de Creeper en de Reaper was een stil, academische aangelegenheid. Het lies geen systemen crashen en veroorzaakte geen economische schade. Het was een experiment ingesloten in de 'experimentele omgeving van het BBN-netwerk'. Toch was de betekenis diepgaand. Deze simpele oefening, geboren uit de intellectuele nieuwsgierigheid van een handjevol programmeurs in een ontluikend netwerk, had twee krachtige en duurzame waarheden aangetoond. Ten eerste bewijste het dat programma's niet noodzakelijk gebonden waren aan één machine; ze konden ontworpen worden om te reizen, zich te verspreiden en te repliceren. Ten tweede stelde het vast dat voor elke nieuwe methode van digitale aanval een corresponderende verdediging bedacht kon worden. De concepten van de computervorm en de antivirus waren nu niet meer theoretisch. De spoken waren uit de machine, en de jacht was geopend.