Wat is ransomware? Voorbeelden, preventie & detectie

Het aantal ransomwareaanvallen is gestegen, met meer dan 5,414 aanvallen op organisaties wereldwijd in 2024, een stijging van 11% ten opzichte van het voorgaande jaar. Deze toename komt door phishing, exploitkits en kwetsbare clouddiensten die criminelen gebruiken voor frauduleuze activiteiten. Kleine en grote bedrijven lopen risico op infiltratie, gegevensverlies en langdurige uitval, met grote schade tot gevolg. Daarom is het belangrijk dat bedrijven ransomware beter begrijpen en maatregelen ontwikkelen tegen ransomwareaanvallen.

In dit artikel leggen we uit wat ransomware is en welke bedreiging het vormt voor bedrijven. Daarna bespreken we de gevolgen voor organisaties, de geschiedenis van ransomware en de verschillende manieren waarop een besmetting kan ontstaan. In dit deel leert u welke soorten ransomware er zijn, welke technieken cybercriminelen gebruiken en welke bekende gevallen zich hebben voorgedaan. Tot slot leggen we uit wat een ransomwareaanval is, geven we tips om ransomwareaanvallen te voorkomen en beschrijven we hoe SentinelOne elk van deze maatregelen versterkt.

Wat is ransomware?

Ransomware is malware die bestanden van een slachtoffer vergrendelt of versleutelt en vervolgens betaling eist voor de decryptiesleutel. De term ransomware omvat inmiddels zowel eenvoudige schermvergrendelaars als geavanceerde varianten die gegevens systematisch stelen en dreigen deze openbaar te maken. De wereldwijde losgeldeisen in 2024 bedroegen naar schatting gemiddeld $2.73 miljoen, waardoor bedrijven voor de keuze staan hun gegevens te verliezen of een fors bedrag te betalen.

Bij een infiltratie misbruikt een aanvaller een zwakke plek in de software van het doelwit of het gedrag van gebruikers. Ransomware is een ontwrichtende dreiging die niet alleen bedrijfsprocessen stillegt maar ook het vertrouwen van klanten ondermijnt. Om ransomware goed te begrijpen, moet u de impact kennen – van de eerste infiltratie tot de verschillende niveaus van versleuteling. Daar gaan we in het volgende deel op in.

Impact van ransomware op bedrijven

Eén ransomwareaanval kan een organisatie aanzienlijke schade toebrengen: de productie stilleggen, gegevens in databases vergrendelen of medewerkers de toegang tot applicaties ontzeggen. Het gemiddelde losgeldbedrag is gestegen, wat erop wijst dat criminelen er zekerder van zijn geworden dat ze hoge bedragen ontvangen. Of het nu gaat om het lekken van klantgegevens of een storing die de bedrijfsvoering lamlegt, de gevolgen gaan verder dan alleen financiële verliezen. Dit zijn vier grote vormen van schade die bedrijven lijden wanneer ze slachtoffer worden van ransomwareaanvallen:

1. Verstoring van bedrijfsprocessen: Wanneer kritieke bestanden of servers zijn vergrendeld, kunnen medewerkers niet werken met applicaties voor klantverkopen, personeelsgegevens of toeleveringsketenbeheer en komen productielijnen stil te liggen. Elke onderbreking, hoe klein ook, leidt tot vertraagde bestellingen of geannuleerde diensten en schaadt het vertrouwen van klanten. Herstel na ransomware kan dagen of weken duren als back-ups verouderd zijn of de gegevens ook zijn versleuteld. Die periode kan ernstige reputatieschade en omzetverlies veroorzaken.
2. Gegevensverlies & melding van datalekken: Bij recente ransomwareaanvallen worden vaak ook gegevens gestolen. Aanvallers eisen dan geld van getroffen organisaties in ruil voor het niet openbaar maken van informatie over klanten of partners. Als gegevens uitlekken, kunnen verplichte meldingsregels van kracht worden, met maatregelen van toezichthouders en boetes tot gevolg. De combinatie van infiltratie en openbare datalekken laat zien welke dreigingen ransomware kan veroorzaken.
3. Financiële schade & reputatieschade: Naast het directe financiële verlies door losgeld kunnen deze cyberaanvallen hoge kosten met zich meebrengen voor forensisch onderzoek, het opnieuw opbouwen van systemen en, in sommige gevallen, collectieve rechtszaken. Klanten kunnen overstappen naar andere bedrijven waar ze in de toekomst mogelijk niet met vergelijkbare problemen te maken krijgen, en investeerders kunnen twijfelen aan het vermogen van de leiding om risico’s te beheersen. Om dergelijke infiltratie te voorkomen, kunnen verzekeraars de premies verhogen of zelfs de verzekeringen opzeggen. Uiteindelijk kost het tijd om een beschadigd merkimago te herstellen, soms zelfs jaren.
4. Aangetast vertrouwen van belanghebbenden & klanten: Zodra een inbreuk wordt ontdekt, beginnen partijen zoals de raad van bestuur, de toezichthouder of belangrijke klanten te twijfelen aan het beveiligingsniveau. Een gebrek aan vertrouwen is kostbaar en kan leiden tot beëindiging van contracten of strengere eisen van partners. Om hen gerust te stellen, moet een organisatie aantonen dat de controles zijn verbeterd, er voortdurend wordt gescand en, niet in de laatste plaats, medewerkers goed zijn getraind. Wanneer een organisatie investeert in sterke bescherming tegen ransomware binnen de cyberbeveiliging, geeft dat op de lange termijn nog meer zekerheid.

Geschiedenis van ransomware

Ransomware begon met eenvoudige afpersingstrojans eind jaren tachtig en ontwikkelde zich tot geavanceerdere aanvallen op basis van versleuteling. Door geavanceerde versleutelingstechnieken en methoden om detectie te ontwijken, groeiden deze aanvallen uit tot een van de grootste dreigingen binnen cybercriminaliteit. In de volgende delen onderscheiden we vier fasen die laten zien hoe criminelen hun strategieën hebben ontwikkeld.

1. De PC Cyborg Trojan (eind jaren tachtig): De in 1989 ontwikkelde “AIDS Trojan” of “PC Cyborg” infecteerde de computer en eiste vervolgens betaling om de functionaliteit ervan te herstellen. Dit was het vroegst gedocumenteerde geval dat de definitie van een ransomware-aanval veranderde: software die specifieke gegevens versleutelt en betaling eist. Hoewel het naar huidige definities relatief primitief was, legde het de conceptuele basis voor moderne afpersing. De aanvalsvector was vrij eenvoudig, het virus verspreidde zich via geïnfecteerde diskettes die aan deelnemers van een conferentie werden uitgedeeld.
2. Versleutelende ransomware (begin jaren 2000): Begin jaren 2000 verschenen geavanceerdere vormen van ransomware, die gegevens versleutelden met moderne algoritmen zoals RSA of AES. Deze vormen van ransomware waren moeilijk te vermijden omdat antivirussoftware ze pas laat detecteerde. De aanvallers eisten betaling via de eerste digitale betaalmethoden of bankoverschrijvingen, waardoor opsporingsdiensten het geld moeilijk konden traceren. Dit leidde tot de ontwikkeling van andere vormen van beveiligingsdreigingen, en beveiligingsexperts begonnen ze aan te duiden met termen als ‘crypto-ransomware,’ een term die wordt geassocieerd met complexe algoritmen.
3. Nieuwe afpersingsmethoden: In de jaren 2010 werden de gebruikte aanvalstechnieken steeds geavanceerder, waaronder de WannaCry-ransomware in 2017. Deze wormaanval legde binnen enkele uren ziekenhuizen en bedrijven over de hele wereld stil. Cybercriminelen gebruikten van de NSA gestolen exploits om te laten zien dat zelfs de machtigste organisaties getroffen kunnen worden door aanhoudende golven van ransomwareaanvallen. Daarnaast ontstond RaaS (Ransomware as a Service), waardoor nieuwkomers zonder ervaring aan deze praktijken konden deelnemen.
4. Dubbele afpersing & geopolitiek gebruik (2020 tot 2025): Tegenwoordig stelen cyberactoren eerst gegevens en dreigen ze die openbaar te maken als niet aan hun eisen wordt voldaan—ook wel dubbele afpersing genoemd. Daardoor moeten organisaties rekening houden met de kosten van een datalek, zelfs als ze over back-ups beschikken. Door staten gesteunde campagnes gebruiken ransomware echter soms voor spionage of destructieve doeleinden, waardoor financiële en politieke doelen moeilijk van elkaar te onderscheiden zijn. Inmiddels zijn de dreigingen nog geavanceerder door het gebruik van stealthtechnieken, AI en zeer specifieke tools.

Hoe verspreidt ransomware zich?

Ransomware kan systemen op verschillende manieren binnendringen, van spammails met bijlagen tot gecompromitteerde cloudomgevingen.

Cybercriminelen passen hun strategieën aan de kwetsbaarheden van elk doelwit aan, zoals onbeveiligde servers of goedgelovige medewerkers. Dit zijn vijf manieren waarop criminelen ransomwarecode verspreiden en in de infrastructuur van een organisatie binnenbrengen:

1. Phishingmails & schadelijke bijlagen: Phishing e-mails misleiden medewerkers zodat ze schadelijke documenten openen of op links klikken die naar websites van hackers leiden. Wanneer macro's worden gestart of kwetsbaarheden in scripts worden misbruikt, begint de versleuteling of worden backdoor-shells geactiveerd. Hoewel medewerkers zijn getraind om niet op links te klikken of persoonlijke gegevens via e-mail te verstrekken, blijft phishing voor criminelen een betrouwbare manier om toegang te krijgen tot een bedrijfsnetwerk. Bedrijven die contentfilters en geavanceerde e-mailgateways gebruiken, verlagen het slagingspercentage van deze aanvallen aanzienlijk.
2. Misbruikte softwarekwetsbaarheden: Ransomware richt zich op kwetsbare frameworks, besturingssystemen of ontwikkel-/testinterfaces die niet zijn verwijderd. Met zorgvuldig samengestelde pakketten of opdrachten krijgen criminelen toegang en voeren ze code uit, zodat ransomware zonder medeweten van de gebruiker wordt geïnstalleerd. Tijdig patchen, kwetsbaarheidsscans en segmentatie beperken deze mogelijkheden tot infiltratie. Eén gemiste patch kan complete omgevingen platleggen, zoals grootschalige aanvallen hebben laten zien.
3. Aanvallen via Remote Desktop Protocol (RDP): Zwakke of hergebruikte inloggegevens voor RDP-sessies maken het mogelijk voor aanvallers om toegang te krijgen door wachtwoorden te raden of met brute force te kraken. Eenmaal binnen een netwerk handelen aanvallers snel en verspreiden ze ransomware via meerdere gedeelde bronnen of domeincontrollers. Multifactor-authenticatie, RDP-toegang beperken tot VPN of externe RDP-toegang uitschakelen, verkleint het risico aanzienlijk. Samen voorkomen deze maatregelen dat alleen een gestolen of geraden wachtwoord voldoende is voor toegang.
4. Drive-by-downloads & schadelijke advertenties: Phishingwebsites of besmette advertentieservers leveren payloads aan browsers die niet zijn bijgewerkt. Medewerkers kunnen een geïnfecteerde pagina bezoeken of onbedoeld een advertentie zien. Daardoor activeren ze verborgen scripts die de ransomware downloaden. Antivirussoftware op eindpunten of nieuwe browsers kunnen zulke scripts als schadelijk herkennen, maar medewerkers en systemen zonder updates blijven kwetsbaar. In combinatie met geavanceerde inhoudsfiltering verkleint deze aanpak de kans op drive-by-infiltratie aanzienlijk.
5. Compromittering van de toeleveringsketen: Criminelen manipuleren ook software-updates van leveranciers en verspreiden geïnfecteerde patches of bibliotheekafhankelijkheden. Zodra een organisatie de “officiële” update installeert, wordt de verborgen malware uitgevoerd. Deze infiltratiemethode is aanzienlijk toegenomen, vooral bij incidenten met grote gevolgen in de toeleveringsketen. Organisaties kunnen infiltratie via de toeleveringsketen voorkomen door elk softwarepakket te verifiëren, codeondertekeningen te controleren en nieuwe bibliotheken te scannen.

Typen ransomware

Ransomware is geëvolueerd en elk type gebruikt andere methoden voor versleuteling, infiltratie of afpersing. Sommige varianten vergrendelen het scherm, andere lekken informatie. Inzicht in deze verschillen is nodig om passende verdediging op te bouwen. Hieronder bespreken we zeven belangrijke gebieden binnen de ontwikkeling en diversificatie van ransomware.

1. Crypto-ransomware: Deze varianten versleutelen gebruikersgegevens met sterke algoritmen en dwingen slachtoffers een decryptiesleutel te kopen. Criminelen proberen doorgaans volledige mappen of bedrijfskritieke gedeelde bronnen te infecteren om zoveel mogelijk verstoring te veroorzaken. Als ook back-ups zijn getroffen of helemaal ontbreken, zijn de vooruitzichten voor herstel somber. Veel grootschalige infiltratiegolven richten zich op afpersing via versleuteling.
2. Locker-ransomware: Anders dan bij versleuteling, waarbij gebruikers geen toegang meer hebben tot hun systemen, blokkeren lockervarianten een besturingssysteem. De dreiging houdt in dat de normale toegang pas na betaling wordt hersteld, ook als de bestanden niet versleuteld zijn. Verlies van systeemfunctionaliteit kan echter voor werkplekken, personen en bedrijven even ingrijpend zijn. Omdat er geen versleuteling plaatsvindt, kunnen sommige gegevens mogelijk nog worden hersteld als geavanceerde forensische technieken de blokkade van deze varianten kunnen opheffen.
3. Ransomware met dubbele afpersing: Cybercriminelen stelen gegevens voordat ze die versleutelen en dreigen ze openbaar te maken of te verkopen als niet aan hun eisen wordt voldaan. Dat verhoogt de druk, omdat back-ups op zichzelf niet voorkomen dat gegevens uitlekken. Vaak plaatsen ze voorbeelden op websites waarop gestolen gegevens worden gepubliceerd, wat organisaties onder druk zet vanwege mogelijke reputatieschade of juridische gevolgen. Bij dubbele afpersing kunnen slachtoffers er zelfs na betaling van het losgeld niet zeker van zijn dat hun gegevens privé blijven, omdat criminelen hun woord kunnen breken.
4. Ransomware-as-a-Service (RaaS): In RaaS-modellen bieden ervaren dreigingsactoren hun tools, ransomwarekits, aan affiliates met beperkte technische vaardigheden. Affiliates vallen doelwitten aan, dragen een deel van het afgeperste geld af aan de groep en breiden de groep doelwitten uit die ze infecteren. Deze samenwerking bevordert een bloeiende economie van gespecialiseerde infiltratierollen, van tussenpersonen voor initiële toegang tot onderhandelaars. RaaS leidt wereldwijd tot meer ransomwareaanvallen doordat er minder vaardigheden nodig zijn om dergelijke aanvallen uit te voeren.
5. Bestandsloze ransomware: Bestandsloze varianten werken voornamelijk in het geheugen en gebruiken weinig systeembronnen, waardoor ze nauwelijks gegevens naar schijven schrijven. Sommige van deze processen blijven onopgemerkt door traditionele antivirus- of scanprogramma's. Malwaremakers gebruiken systeemtools, zoals PowerShell, om versleutelingsopdrachten ongemerkt uit te voeren. Om deze infiltratiemethoden tegen te gaan, hebben organisaties geavanceerde gedragsdetectie en beperkte toegang tot scripts nodig.
6. Mobiele ransomware: Deze varianten zijn speciaal ontworpen voor smartphones of tablets. Ze vergrendelen apparaten of versleutelen lokaal opgeslagen bestanden. Cybercriminelen verspreiden schadelijke apps via externe appmarkten of verwerken ze in updates. Met persoonlijke gegevens of zakelijke inloggegevens op het apparaat zetten ze slachtoffers onder druk om voor herstel te betalen. Strenge controles op appdownloads en regelmatige back-ups van apparaten verkleinen de kans op succesvolle infiltratie aanzienlijk.
7. Wiper-ransomware: Deze destructieve variant verwijdert of beschadigt gegevens in plaats van ze na betaling te ontsleutelen. Hoewel de communicatie op die van traditionele ransomware kan lijken, is het werkelijke doel mogelijk vernietiging of ontregeling. Cybercriminelen kunnen wiper-varianten gebruiken om bedrijfsprocessen te verstoren of zelfs essentiële infrastructuur te saboteren. Zonder herstelsleutel zijn back-ups en een sterk incidentresponsplan de enige kans op gegevensherstel.

Meer informatie: Soorten ransomware-aanvallen

Veelvoorkomende aanvalsvectoren voor ransomware

Naast phishing en niet-gepatchte apps gebruikt ransomware meerdere aanvalsvectoren om binnen te dringen en verder door te dringen. Hackers zoeken voortdurend naar kwetsbaarheden bij bedrijven, waaronder gestolen inloggegevens en misbruikbare verbindingen met partners. Hier beschrijven we vijf van de meest voorkomende routes en leggen we uit hoe criminelen van de eerste inbraak naar gegevensversleuteling overgaan.

1. Phishing & social engineering: Deze methode richt zich op medewerkers met e-mails die links naar nepwebsites, andere e-mails of met macro's besmette bijlagen bevatten die ransomware starten. De berichten zijn zo opgesteld dat ze van HR, de financiële afdeling of een bekende leverancier lijken te komen. Zodra de code wordt uitgevoerd, verspreidt de malware zich snel naar lokale mappen en gekoppelde netwerkshares. Spamfilters, bewustwording onder gebruikers en tweefactorauthenticatie verkleinen de kans op succesvolle infiltratie.
2. Credential stuffing & password spraying: Nu veel accounts op internet zijn uitgelekt, proberen cybercriminelen met dezelfde inloggegevens toegang te krijgen tot bedrijfs-VPN's of systemen voor externe toegang. Zodra ze een doelwit hebben geïdentificeerd, injecteren ze de malware in het netwerk en laten die meestal doorgaan voor een legitieme gebruiker. Maatregelen zoals een beleid voor sterke wachtwoordzinnen of verplichte wachtwoordwijzigingen binnen korte tijd beperken ook de mogelijkheden om binnen te dringen. Bovendien verlagen MFA en beperkingen op basis van apparaatcontext de slagingskans van aanvallen op basis van wachtwoorden.
3. Exploitkits & malvertising: Hackers plaatsen eerst exploitcode in advertenties of op websites die ze beheren en leiden gebruikers vervolgens om naar de door hen gekozen bestemmingen. Daarna voeren kwetsbare browsers of plug-ins de ransomware uit. Zelfs gerenommeerde nieuws- of webwinkels kunnen schadelijke advertenties tonen als advertentienetwerken zijn gecompromitteerd. Met contentfilters, browserpatches en beperkt gebruik van plug-ins voorkomen organisaties dergelijke infiltratiepogingen.
4. Kwetsbaarheden in Remote Desktop Services & VPN: RDP of oudere VPN-oplossingen met bekende CVEs zijn nog steeds verkeerd geconfigureerd en vormen belangrijke toegangsroutes voor succesvolle aanvallen. Aanvallers kraken deze toegangspunten met brute force of misbruiken kwetsbaarheden om ransomware rechtstreeks op doelservers te downloaden en uit te voeren. Zonder sterke configuraties, zoals accountvergrendeling of firmware-updates, blijft deze infiltratie eenvoudig. Door RDP achter een zakelijk VPN met MFA te plaatsen, voegen organisaties een tweede beveiligingslaag toe en verkleinen ze deze risico's.
5. Compromittering van de toeleveringsketen: Criminelen passen software-updates van een vertrouwde leverancier of bibliotheek aan om schadelijke modules in uw omgeving binnen te brengen. Zodra de updates in uw patchsystemen of buildpipelines worden verwerkt, wordt de code uitgevoerd. RaaS-groepen kopen ook toegang van gecompromitteerde leveranciers en bereiken zo grotere bedrijven. Risicobeoordelingen van leveranciers, controles van codeondertekening en scans sluiten deze verborgen infiltratieroutes af.

Hoe werkt ransomware?

Wie precies weet hoe ransomware werkt, begrijpt beter hoe deze zich verbergt, hoe snel deze zich ontwikkelt en hoe gevaarlijk deze is. Hackers combineren infiltratietechnieken en versleuteling met beruchte losgeldeisen, die vaag kunnen zijn maar toch veel druk uitoefenen. Hieronder beschrijven we vijf kernprocessen die deze schadelijke cyclus verklaren:

1. Eerste toegang & plaatsing van de payload: Criminelen vinden een toegangspunt via bijvoorbeeld phishing, exploitkits of gestolen inloggegevens en plaatsen de malware. Deze payload controleert vaak de systeemarchitectuur, aanwezige antivirussoftware of gebruikersrechten. Als de omgeving geschikt is, breidt de malware zich uit of maakt deze submodules aan. Vroege detectie kan in deze fase de volledige infiltratieketen doorbreken.
2. Rechtenuitbreiding & laterale beweging: Eenmaal in het doelsysteem misbruiken criminelen kwetsbaarheden of standaardwachtwoorden om beheerdersrechten te verkrijgen. Vervolgens bewegen ze zich door het netwerk op zoek naar gedeelde bronnen, back-upservers of domeincontrollers. Door beveiligingslogboeken of EDR-agents uit te schakelen, verbergen ze hun voortgang. Zo verspreiden ze zich breed voordat de versleuteling begint en veroorzaken ze maximale verstoring.
3. Gegevensexfiltratie & dubbele afpersing: Bij moderne aanvallen worden gevoelige gegevens vóór de versleuteling naar andere servers weggesluisd. Cybercriminelen eisen losgeld in ruil voor de belofte de gestolen informatie niet openbaar te maken. Dit verhoogt de druk tijdens onderhandelingen – back-ups zijn niet genoeg als gegevens kunnen uitlekken. Door infiltratie en afpersing te combineren, dwingen criminelen getroffen organisaties rekening te houden met zowel operationele als reputatieschade.
4. Versleuteling & blokkering: Zodra de malware actief is, versleutelt deze doelbestanden met sterke algoritmen zoals AES of RSA, waardoor de bestanden ontoegankelijk worden. De aanvallers laten een losgeldbrief achter waarin ze betaling in cryptovaluta eisen, vaak binnen een bepaalde termijn. Ook back-ups kunnen worden versleuteld als criminelen zien dat die verbonden zijn. Na verloop van tijd wordt de aanval agressiever en verstoort deze ook de pogingen van het codecontrolesysteem om zichzelf te herstellen.
5. Onderhandeling over losgeld & mogelijke ontsleuteling: Slachtoffers moeten dan kiezen tussen losgeld betalen en gegevens uit back-ups herstellen. Criminelen leveren na betaling meestal een ontsleutelingstool, maar de kwaliteit daarvan is onzeker. Sommigen lekken de gegevens alsnog of leveren sleutels die niet goed werken, waardoor de situatie verergert. Met offline of fysiek gescheiden back-ups en geteste herstelplannen kunnen organisaties voorkomen dat ze criminelen moeten betalen.

Fasen van een ransomware-aanval

De precieze infiltratie verschilt per ransomware-variant en omgeving, maar de meeste aanvallen doorlopen dezelfde fasen. Vroeg ingrijpen – bijvoorbeeld door de eerste exploitpoging te blokkeren – voorkomt dat de situatie verergert. Hieronder beschrijven we de gebruikelijke fasen, van verkenning tot afpersing, en leggen we uit hoe criminelen stapsgewijs tot versleuteling komen.

1. Verkenning: Aanvallers onderzoeken netwerken, halen wachtwoorden uit datalekken of bekijken profielen van medewerkers op LinkedIn. Ze zoeken kwetsbare doelen, zoals niet-gepatchte servers, open poorten of mensen met toegang tot gegevens. Zo ontdekken ze waardevolle bedrijfsmiddelen, zoals financiële databases of domeincontrollers. Door de omgeving zorgvuldig te analyseren, bepalen criminelen hoe ze een organisatie kunnen binnendringen.
2. Eerste compromittering: Op basis van hun verkenning plaatsen criminelen malware of proberen ze inloggegevens uit. Ze doen zich mogelijk voor als medewerkers of misbruiken bekende kwetsbaarheden in software. Na de eerste toegang, bijvoorbeeld via een desktop, verzamelen de aanvallers meer informatie over de omgeving. Daarmee kunnen ze dieper binnendringen of zich lateraal verplaatsen.
3. Rechtenuitbreiding & laterale beweging: Aanvallers misbruiken tegenwoordig lokale kwetsbaarheden of eenvoudige brute-forceaanvallen om domein- of rootrechten te verkrijgen. Ook doorzoeken ze gekoppelde schijven, netwerkshares en cloud-API's op waardevolle informatie. Door beveiligingslogboeken te beheren of te omzeilen, voorkomen ze dat detectieprogramma's hun infiltratie opmerken. Zonder microsegmentatie kan één gecompromitteerde gebruiker zo hele netwerksegmenten in gevaar brengen.
4. Gegevensexfiltratie: Met beheerdersrechten sluizen criminelen ongemerkt gegevens door naar servers buiten het bedrijfsnetwerk. Zo bereiden ze dubbele afpersing voor: ze dreigen gegevens te lekken als het losgeld niet wordt betaald. De gestolen gegevens en hun gevoeligheid geven criminelen ook houvast om het losgeldbedrag te bepalen. Slachtoffers merken het gegevensverlies vaak pas wanneer ze een losgeldbrief ontvangen of ongebruikelijk verkeer detecteren.
5. Versleuteling & losgeldeis: Tot slot versleutelt de code belangrijke bestanden met een sterke sleutel en slaat een bericht op met instructies voor de ontsleuteling en het daarvoor vereiste bedrag. Dreigingsactoren eisen doorgaans betaling in cryptovaluta. Ze stellen een korte deadline of dreigen de gestolen gegevens openbaar te maken. Als ook de back-ups verloren zijn of het personeel niet voorbereid is, liggen de werkzaamheden de hele dag stil. Deze laatste fase bezegelt het succes van de infiltratie, tenzij de aanval wordt gedetecteerd en gestopt of er snel offline back-ups van de geïnfecteerde systemen worden gemaakt.

Methoden voor ransomware-aanvallen

Criminelen gebruiken uiteenlopende tactieken voor infiltratie en afpersing, gericht op verschillende aspecten van de organisatie en het gedrag van medewerkers. Door deze ransomware-methoden te analyseren, kunnen organisaties hun verdediging op elk toegangspunt versterken. Deze vijf voorbeelden laten zien hoe veelzijdig en flexibel moderne aanvallers zijn:

1. Malspam & spearphishing: E-mail is tot op heden de meest voorkomende infiltratiemethode, vooral via massale of gerichte berichten die misbruik maken van weinig onderlegde medewerkers die kwaadaardige bijlagen downloaden of op links klikken. Bij spearphishing worden berichten verstuurd met informatie die criminelen via sociale media of eerdere hacks hebben verkregen. Zodra macro's of exploitkits worden uitgevoerd, begint de versleutelings- of exfiltratieroutine. Geavanceerde e-mailfilters, bewustwording onder medewerkers en het scannen van links beperken het succes van infiltratie.
2. Exploitkits & drive-by-compromittering: Malware wordt via malvertising of rechtstreeks op doelwebsites of geïnfecteerde websites geplaatst. Een browser of plug-in zonder de nieuwste patches vormt een open deur zodra een medewerker de site bezoekt. Zelfs grote advertentienetwerken kunnen af en toe schadelijke advertenties op legitieme websites tonen. Strikt patchbeheer en beperkt gebruik van plug-ins verkleinen deze infiltratiemogelijkheden sterk.
3. Externe diensten & RDP-aanvallen: Hackers onderzoeken proactief RDP-eindpunten of SSH-verbindingen om standaardinloggegevens of een ontdekte CVE te misbruiken. Als de aanvaller domeinbeheerdersrechten of roottoegang tot het besturingssysteem verkrijgt, kan deze versleutelingsroutines op systeemniveau installeren. Maatregelen zoals multifactorauthenticatie of het beperken van externe toegang tot bronnen achter een VPN of zero-trustarchitectuur verkleinen de kans op geslaagde cyberaanvallen aanzienlijk. Door logbestanden herhaaldelijk op vergelijkbare vermeldingen te controleren, kunt u bruteforcepogingen ook vroegtijdig herkennen.
4. Besmette software & compromittering via derden: Aanvallers dringen binnen in legitieme software-updates, zoals drivers, plug-ins of bibliotheken, en verwerken er ransomwarecode in. Slachtoffers denken dat ze de updates van de leverancier of een mirrorsite downloaden en voeren ze uit. Daarmee starten ze de infiltratie. Dit laat zien hoe een gecompromitteerde toeleveringsketen verstrekkende gevolgen heeft. Controle van codehandtekeningen, sterk risicobeheer voor leveranciers en scans in de pipeline stoppen deze verborgen infiltratieroutes.
5. Laterale verplaatsing vanuit andere malware: Soms begint een infiltratie met een minder opvallende trojan of keylogger die ongemerkt gebruikersnamen of wachtwoorden verzamelt. Zodra aanvallers waardevolle gegevens hebben gevonden, beginnen ze met de daadwerkelijke versleuteling. De ransomware begint bestanden te versleutelen voordat medewerkers merken dat er iets mis is. Gedragsgebaseerde EDR-oplossingen detecteren afwijkende bewegingen en stoppen de infiltratie vóór de laatste aanval.

Voorbeelden van ransomwareaanvallen

Ransomware laat zien waartoe criminelen in staat zijn – ze kunnen bedrijfsprocessen platleggen of miljoenen dollars eisen om die weer vrij te geven. Daarom is het belangrijk te beseffen dat zelfs organisaties met ruime middelen verrast kunnen worden als één toegangspunt onbeveiligd blijft. De volgende vier gevallen laten zien hoe ernstig een infiltratie kan zijn, hoe bedrijven reageerden en wat de gevolgen waren.

1. LoanDepot (2024): In januari meldde LoanDepot, een van de grootste hypotheekverstrekkers, een ransomwareaanval die plaatsvond van 3 tot 5 januari. Daarbij werden gegevens versleuteld en gevoelige klantgegevens gestolen, waardoor de dienstverlening aan 16.6 miljoen consumenten werd verstoord. Alphv/BlackCat eiste de aanval op, waarmee de groep zijn reeks grote beveiligingsincidenten voortzet. De recente aanval op LoanDepot laat zien dat financiële bedrijven met grote hoeveelheden gebruikersgegevens bijzonder aantrekkelijk zijn voor afpersers.
2. Veolia (2024): Veolia North America, een bedrijf voor water- en energierecycling, meldde dat het was getroffen door een ransomwareaanval waardoor sommige back-endsystemen niet beschikbaar waren. Hoewel de waterzuivering niet werd verstoord, werden de facturatiediensten getroffen, wat klanten ongemak bezorgde. Na een gedeeltelijk datalek werden gebruikers hierover geïnformeerd. Dit laat zien dat aanbieders van kritieke infrastructuur steeds vaker het doelwit zijn om snelle betaling van het geëiste losgeld af te dwingen.
3. Ascension (2024): Ascension, een zorgorganisatie uit St. Louis, maakte in mei bekend dat ransomware elektronische patiëntendossiers (EHR) en enkele telefoonlijnen had getroffen. Meer dan een maand lang ondervonden patiënten problemen bij het plannen van afspraken en onduidelijkheid over het bestellen van medicijnen. Sommige locaties leidden zelfs ambulances om, terwijl het personeel de drukste week ooit doormaakte. Deze samenloop laat zien hoe gevaarlijke ransomware-incidenten essentiële zorg ontwrichten en niet alleen de stabiliteit van ziekenhuizen, maar ook het leven van patiënten bedreigen.
4. Gemeente Cleveland (2024): In juni legden hackers de stad Cleveland plat. Na een aanval die factureringssystemen en officiële administratieve procedures ontregelde, bleef het stadhuis 11 dagen gesloten. Medewerkers haastten zich om de getroffen computers in quarantaine te plaatsen en de gegevens uit kopieën te herstellen. De stad verklaarde het losgeld niet te zullen betalen, hoewel ze niet kon bevestigen of de gegevens waren gestolen. Deze samenloop laat zien hoe zelfs schadelijke ransomwareaanvallen alle gemeentelijke diensten kunnen verlammen en het dagelijks leven van inwoners kunnen beïnvloeden.

Hoe voorkomt u ransomwareaanvallen?

Bescherming tegen infiltratie vraagt om meer dan betere tools: ook goed geïnformeerde medewerkers, veilige instellingen en geteste back-ups zijn nodig. Eén maatregel volstaat niet, want criminelen passen hun strategieën voortdurend aan. Deze vijf basismaatregelen verkleinen het infiltratierisico aanzienlijk en versnellen het herstel na een incident:

1. Grondige training van medewerkers: Phishing en social engineering blijven de populairste manieren waarop aanvallers organisaties binnendringen. Regelmatige trainingen en gesimuleerde phishingaanvallen houden medewerkers alert op mogelijke dreigingen. Gebruik aanvullende beveiligingsmaatregelen zodat medewerkers alleen complexe wachtwoordzinnen gebruiken, geen eenvoudige en makkelijk te raden wachtwoorden. Samen verkleinen deze maatregelen het risico dat een onschuldige klik of een hergebruikt wachtwoord een heel netwerk in gevaar brengt.
2. Verplichte multifactorauthenticatie: Zelfs als criminelen wachtwoorden raden of bemachtigen, houden extra authenticatiefactoren (zoals codes die naar een telefoon worden gestuurd of fysieke beveiligingstokens) indringers tegen. MFA is sterk aanbevolen bij het aanmelden met een beheerders- of domeinaccount via externe VPN- of RDP-verbindingen. Samen verkleinen deze maatregelen de kans dat credential stuffing slaagt aanzienlijk. Op termijn versterken geavanceerdere maatregelen, zoals SSO in combinatie met contextgebaseerd beleid, de betrouwbaarheid van de authenticatie.
3. Regelmatig patchen & scannen op kwetsbaarheden: Door updates voor besturingssystemen, applicaties en firmware snel te installeren, sluit u bekende toegangsroutes af. Regelmatige scans sporen onlangs bekendgemaakte CVE's of zero-day-kwetsbaarheden. Neem daarbij ook tijdelijke resources mee, zoals containers en ontwikkel- of testservers. Door scans aan het samenvoegen van code in de pipeline te koppelen, kunnen ontwikkel- en operationele teams kwetsbaarheden verhelpen voordat de code in productie gaat.
4. Microsegmentatie & zero-trustarchitectuur: Door netwerken op te delen in segmenten, voorkomt u laterale verplaatsing als aanvallers een server, endpoint of cloudresource binnendringen. Zero trust controleert de identiteit en rechten bij elk verzoek en blokkeert zo ongeautoriseerde toegang met gestolen of geraden inloggegevens. Softwaregedefinieerde netwerkgrenzen of zeer strikte VLAN-regels beperken de mogelijkheden voor infiltratie. Samen voorkomen segmentatie en zero trust dat een infiltratie zich door de hele omgeving verspreidt.
5. Fysiek gescheiden back-ups & hersteloefeningen: Zelfs met de krachtigste beveiligingsmaatregelen is het onmogelijk om elke vorm van infiltratie te voorkomen, daarom is een offlineback-up essentieel. Controleer regelmatig de herstelpunten om zeker te zijn dat de gegevens actueel en onbeschadigd zijn. Als criminelen de productieomgeving versleutelen, kunt u met offlineback-ups snel herstellen zonder losgeld te betalen. Met draaiboeken voor incidenten kan uw team een daadwerkelijke infiltratie beheerst aanpakken en zo chaos beperken.

Ransomware detecteren & verwijderen

Preventie van ransomware is niet altijd waterdicht: aanvallers kunnen binnendringen door een zero-day-kwetsbaarheid uit te buiten of via een social-engineeringaanval. Vroege detectie van schadelijke code kan versleuteling stoppen terwijl die bezig is en zo een hele omgeving redden. Met deze vijf stappen herkent u gevaarlijk gedrag snel en coördineert u de verwijdering van ransomware na een infectie:

1. Gedragsgebaseerde endpointbeveiliging: Antivirussoftware die alleen op handtekeningen vertrouwt, houdt veranderingen in code vaak niet bij. Geavanceerde EDR-oplossingen volgen daarom gedrag tijdens de uitvoering, bijvoorbeeld wanneer een nieuw proces veel bestanden tegelijk versleutelt. Komt een afwijking overeen met een bekend infiltratiepatroon, dan wordt het proces geïsoleerd of in quarantaine geplaatst. Zo worden ook bestandsloze en zelfs volledig nieuwe vormen van malware in realtime gedetecteerd.
2. Netwerkafwijkingen monitoren: Gegevensoverdracht buiten normale werktijden of plotseling hoog bandbreedtegebruik kan wijzen op data-exfiltratie of grootschalige versleuteling. SIEM- of NDR-tools detecteren zulke patronen en waarschuwen medewerkers voor verder onderzoek. Analyse van de verkeersverdeling en oost-westverbindingen kan de eerste stappen van laterale verplaatsing blootleggen. Zo voorkomt u dat aanvallers voet aan de grond krijgen en alle bestanden versleutelen of gestolen gegevens wegsluizen.
3. Tools voor het scannen op ransomware: Sommige antiransomwaresoftware zoekt actief naar specifieke versleutelingsalgoritmen, hernoemacties of bestandsextensies die doorgaans worden geblokkeerd. Deze software kan ook controleren op gedeeltelijke schrijfacties door ransomware of wijzigingen in schaduwkopieën van volumes. Bij detectie stopt ze het verantwoordelijke proces of herstelt ze gewijzigde bestanden via journaling. Naast standaardantivirussoftware verkorten deze gespecialiseerde scanners de tijd waarin aanvallers actief kunnen blijven aanzienlijk.
4. Geautomatiseerde isolatie & herstel: Zodra een automatiseringsframework wordt geactiveerd, kan het geïnfecteerde hosts uitschakelen en netwerktoegang blokkeren. Zo stopt het laterale verplaatsing. Sommige geavanceerde producten bieden ‘rollback’-mogelijkheden: ze leggen de systeemstatus vast, zodat medewerkers kunnen terugkeren naar de toestand van vóór de infectie. Door isolatie aan detectie te koppelen, voorkomt u dat criminelen zich lateraal verplaatsen of gegevens wegsluizen. Dat bespaart kostbare tijd en beperkt de totale schade.
5. Ransomware verwijderen & forensisch opschonen: Na isolatie blijven vaak coderesten achter die moeten worden geneutraliseerd. Ook moeten systeembestanden worden gecontroleerd en alle mogelijke triggers worden verwijderd. Controleer bijvoorbeeld op schadelijke verwijzingen in opstartprogramma's, geplande taken en het register. Bij gedeeltelijke versleuteling kunt u bestanden herstellen uit back-ups of ontsleutelen met ontsleutelingstools. Een grondige analyse na het incident scherpt toekomstige detectieregels aan en sluit toegangsroutes af.

Voorkom ransomwareaanvallen met SentinelOne

SentinelOne detecteert dreigingen autonoom met AI en versterkt de verdediging van organisaties tegen malware, ransomware, phishing en andere cyberdreigingen. De Offensive Security Engine met Verified Exploit Paths detecteert afwijkingen, legt nieuwe aanvalsroutes bloot en beperkt de risico's voordat aanvallers die kunnen uitbuiten.

De geavanceerde endpointbeveiliging van SentinelOne beschermt VM's, workloads, clouds, containers, gebruikers en identiteiten. Purple AI, een GenAI-analist voor cybersecurity, ontdekt unieke inzichten over aanvallers en beveiligingspipelines. U krijgt optimale beveiliging voor uw CI/CD-pipeline en een passende beveiligingsdekking. SentinelOne detecteert meer dan 750 verschillende soorten geheimen en voorkomt het uitlekken van cloudinloggegevens.

U kunt inactieve of slapende accounts herkennen en scannen op schadelijke processen voordat aanvallers deze kunnen gebruiken om accounts over te nemen of rechten uit te breiden. SentinelOne voert op de achtergrond actieve en passieve scans uit en werkt 24/7. Bij problemen ontvangt u automatisch meldingen, terwijl foutpositieve resultaten worden uitgesloten.

Het platform integreert ook met Snyk en bevat een uitgebreide agentloze CNAPP voor brede bescherming. Met SentinelOne blijft u bovendien voldoen aan normen en regelgeving zoals SOC 2, NIST, HIPAA en CIS Benchmark. Organisaties kunnen zich met het platform ook verdedigen tegen aanvallen op Active Directory en Entra ID.

Neem de rondleiding

AI-gestuurde endpointdetectie en -respons.

Conclusie

Ransomware blijft een van de gevaarlijkste bedreigingen voor moderne bedrijven, omdat het hun gegevens, bedrijfsprocessen en het vertrouwen van klanten in gevaar brengt. Bij infiltratiemethoden zoals phishing, exploitkits of laterale beweging is het veel effectiever om elke methode afzonderlijk te analyseren en meerdere beschermingslagen op te bouwen. Infiltratie stoppen is echter slechts een deel van de aanpak; kwaadaardige activiteiten tijdens een aanval herkennen en beschikken over degelijke back-upsystemen vormen de andere twee poten van de kruk. Of het nu gaat om een kortstondige cloudomgeving of een on-premises server die al jaren in gebruik is, scannen, medewerkers trainen en microsegmentatie implementeren beperken het aantal toegangsvectoren aanzienlijk.

Eén beveiligingsmaatregel volstaat niet wanneer criminelen nieuwe infiltratiestrategieën ontwikkelen, zoals dubbele afpersing of geavanceerde wormfuncties. Voortdurende verbeteringen op basis van helder beleid, beproefde back-ups en adaptieve EDR-oplossingen houden infiltratiedreigingen onder controle. Combineer ze met een specifieke ransomwarescanner of een AI-gebaseerd platform voor endpointbeveiliging zoals SentinelOne. Zo krijgt uw omgeving detectie in realtime en geautomatiseerd herstel.

AI-gestuurde cyberbeveiliging

Verhoog uw beveiliging met realtime detectie, reactiesnelheid en volledig overzicht van uw gehele digitale omgeving.

Vraag een demo aan