Trojan

Alles over Trojaanse paarden

Kijk uit voor de Grieken, als ze geschenken brengen

In het beroemde werk van Virgilius, Aeneis, smeedde de slimme Griekse oorlogsstrateeg Odysseus een plan om z'n mannen in de ommuurde stad Troje te krijgen. In plaats van de muren van de stad te vernietigen of te beklimmen, zag Odysseus een andere manier om binnen te komen: door een list. Trojaanse soldaten keken toe hoe de Grieken ogenschijnlijk met boten wegvoeren en een enorm houten paard achterlieten als symbool van overgave. Dronken van de overwinning brachten de Trojanen het paard binnen hun muren, om er vervolgens achter te komen dat Odysseus en z'n mannen zich in het paard hadden verscholen.

Net zoals z'n naamgenoot maken aanvallen met Trojaanse paarden gebruik van een list en sociale technieken om onoplettende gebruikers te misleiden, want het ogenschijnlijk legitieme computerprogramma blijkt verborgen kwaadaardige motieven te hebben.

De kenmerken van een Trojaans paard

Men denkt soms dat een Trojaans paard een virus of een worm is, maar dat klopt niet. Een virus infecteert bestanden en kan zichzelf vermenigvuldigen en verspreiden door zich te koppelen aan een ander programma. Wormen zijn een soort malware die op virussen lijken, maar ze hoeven niet aan een ander programma gekoppeld te worden om zich te verspreiden. De meeste virussen worden nu beschouwd als verouderde bedreigingen. Wormen zijn ook zeldzaam geworden, ondanks dat ze af ten toe weer verschijnen. 

Trojaanse paarden moeten beschouwd worden als een overkoepelende term voor het afleveren van malware, omdat er verschillende soorten Trojaanse paarden zijn. Afhankelijk van de bedoeling van de criminele programmeur kan een Trojaans paard gezien worden als een Zwitsers zakmes voor hacken, want het kan fungeren als standalone malware, of als een tool voor andere activiteiten, zoals het leveren van toekomstige ladingen, communiceren met de hacker op een later tijdstip of het systeem open zetten voor aanvallen zoals de Grieken deden vanuit de binnenkant van het Trojaanse fort.

Anders gezegd is een Trojaans paard een afleveringsstrategie die hackers gebruiken voor het afleveren van bedreigingen, van ransomware die direct geld eist, tot spyware die zichzelf verborgen houdt, maar ondertussen waardevolle informatie steelt zoals persoonlijke en financiële gegevens.

Onthoud dat adware of PUPs (potentieel ongewenste programma's ( potentially unwanted programs)) verward kunnen worden met Trojaanse paarden, omdat de afleveringsmethode identiek is. Adware komt soms ongemerkt op uw computer als onderdeel van een softwarebundel. U denkt dat u een softwareproduct downloadt, maar in werkelijkheid zijn het er twee of drie. De auteurs van het programma voegen de adware vaak toe voor marketing van aangesloten bedrijven, zodat ze geld kunnen verdienen met aanbiedingen in het installatieprogramma. Normaal gesproken wordt dit duidelijk aangegeven. Zulke adware-bundelaars zijn in de regel minder kwaadaardig dan Trojaanse paarden. Ook houden ze zich in tegenstelling tot Trojaanse paarden niet verborgen. Maar omdat de distributie van adware lijkt op die van een Trojaans paard, ontstaat er verwarring.

Infectiemethoden van een Trojaans paard

Trojaanse paarden kunnen zich op vele manieren vermommen, van gratis software, muziek en browseradvertenties tot ogenschijnlijk legitieme apps. Ondoordacht gedrag van een gebruiker kan leiden tot een infectie van een Trojaans paard. Dit zijn enkele voorbeelden:

• Downloaden van gekraakte applicaties. Het vooruitzicht op een illegale gratis softwarekopie kan verleidelijk zijn, maar de gekraakte software of activeringssleutelgenerator kunnen een verborgen Trojaans paard bevatten.
• Downloaden van onbekende gratis programma's. Wat eruitziet als een gratis game of screensaver kan in werkelijkheid een Trojaans paard zijn, vooral als deze afkomstig zijn van een onbetrouwbare site.
• Het openen van geïnfecteerde bijlagen. U ontvangt een vreemd mailtje met een ogenschijnlijk belangrijke bijlage, zoals een factuur of een ontvangstbewijs, maar er wordt een Trojaans paard geactiveerd als u erop klikt.
• U bezoekt een verdachte website. Sommige sites hebben slechts enkele seconden nodig om uw computer te infecteren. Andere sites maken gebruik van misleiding, waarbij er bijvoorbeeld zogenaamd een populaire film wordt gestreamd, die u alleen kunt kijken als u een bepaalde video codec downloadt, wat in werkelijkheid een Trojaans paard is.
• Sociale technieken die zich vermommen door mee te liften op de nieuwste trends. In december 2017 werd bekend dat veel Intel-processoren kwetsbaar waren voor aanvallen vanwege hardwareproblemen. Hackers maakten gebruik van de daaropvolgende paniek door de neppatch Smoke Loader te maken, die een Trojaans paard installeerde.

Het laatste nieuws over Trojaanse paarden

Trojaanse paarden: Welke zijn het meest berucht?

Malware-analyse: decodering van Emotet, deel 1

Malware-analyse: decodering van Emotet, deel 2

Geschiedenis van Trojaanse paarden

Onschuldig vermaak

Het programma ANIMAL, dat werd uitgebracht in 1975, wordt over het algemeen beschouwd als het eerste voorbeeld van een aanval met een Trojaans paard. Het deed zich voor als een eenvoudige game met twintig vragen. Achter de schermen kopieerde de game zich echter in gedeelde mappen waar deze zichtbaar was voor andere gebruikers. Vanaf daar kon de game zich verspreiden over hele computernetwerken. Grotendeels was het een onschuldige grap.

In december 1989 waren aanvallen met Trojaanse paarden geen grap meer. Duizenden floppy's met het Trojaanse paard AIDS, de eerste ransomware ooit, werden verstuurd naar abonnees van het tijdschrift PC Business World en een mailinglijst van een AIDS-conferentie van de Wereldgezondheidsorganisatie. Dit Trojaanse DOS-paard hield zich 90 opstartcycli verborgen, versleutelde alle bestandsnamen op het systeem en gaf vervolgens een melding weer waarin de gebruiker werd gevraagd om $189 naar een postbus in Panama te sturen, om een decoderingsprogramma te ontvangen.

In de jaren '90 was er een andere berucht Trojaans paard, dat vermomd was als de eenvoudige game Whack-A-Mole. In het programma zat een versie van NetBus verborgen, een programma waardoor iemand op afstand een Microsoft Windows computersysteem via een netwerk kon bedienen. Met toegang op afstand kon de aanvaller verschillende dingen met de computer doen, zoals het openen van de cd-lade.

Liefde en geld.

In 2000 werd het Trojaanse paard ILOVEYOU de meest schadelijke cyberaanval tot dan toe, met een totale geschatte schade van $8.7 miljard. Men ontving een e-mail met een bijlage die eruit zag als een tekstbijlage genaamd "ILOVEYOU." Als men nieuwsgierig genoeg was om dit te openen, voerde het programma een script uit dat bestanden van die persoon overschreef en zichzelf naar elk e-mailadres in de contactenlijst van de gebruiker stuurde. Slim als een worm vanuit technisch perspectief, maar het gebruik van sociale technieken was het meest vindingrijke component.

In het begin van de 21e eeuw bleven Trojaanse paarden zich ontwikkelen, net zoals de bedreigingen waar ze voor zorgden. In plaats van zich te richten op de nieuwsgierigheid van mensen, maakten Trojaanse paarden gebruik van de opkomst van illegaal downloaden, waarbij malware werd vermomd als muziekbestanden, films of video codecs. In 2002 verscheen het Windows-gebaseerde Trojaanse backdoor-paard Beast, dat in staat was om bijna alle Windows-versies te infecteren. Eind 2005 verscheen een ander Trojaans backdoor paard dat Zlob heette en zich vermomd verspreidde als de noodzakelijke video codec ActiveX.

In het begin van de 21e eeuw steeg ook het aantal Mac-gebruikers, en cybercriminelen volgden deze trend. In 2006 werd de ontdekking van de eerste malware voor Mac OS X, het relatief ongevaarlijke Trojaanse paard OSX/Leap-A of OSX/Oompa-A, bekendgemaakt.

Rond deze tijd begon ook de motivatie achter aanvallen met Trojaanse paarden ook te veranderen. Vroegere cyberaanvallen werden gevoed door een drang naar macht, controle of destructie. In het begin van de 21e eeuw werden steeds meer aanvallen gevoed door hebzucht. In 2007 richtte het Trojaanse paard Zeus zich op Microsoft Windows om bankgegevens te stelen via een keylogger. In 2008 maakten hackers Torpig, ook wel Sinowal en Mebroot genoemd, dat anti-virus-applicaties uitschakelde, waardoor anderen toegang konden krijgen tot de computer, gegevens konden wijzigen en vertrouwelijke informatie zoals wachtwoorden en andere gevoelige gegevens konden stelen.

Groter en kwaadaardiger

In het tweede decennium was hebzucht nog steeds de belangrijkste motivatie voor cybercriminelen, maar hackers wilden het groter aanpakken. De opkomst van niet-traceerbare cryptovaluta zoals Bitcoin leidde tot een stijging van ransomware-aanvallen. In 2013 werd het Trojaanse paard Cryptolocker ontdekt. Cryptolocker versleutelt de bestanden op de harde schijf en eist de betaling van losgeld aan de ontwikkelaar om de decoderingssleutel te ontvangen. Daarna werden in hetzelfde jaar soortgelijke Trojaanse ransomware-paarden ontdekt.

De afgelopen jaren zien we ook een verandering in hoe slachtoffers worden aangevallen. Terwijl veel Trojaanse paarden een algemene aanpak hanteren, door zoveel mogelijk gebruikers te infecteren, lijkt een meer gerichtere benadering in opkomst te zijn. Tegenwoordig richten veel Trojaanse paarden zich op een specifiek bedrijf, organisatie of zelfs overheid. In 2010 werd Stuxnet, een Trojaans paard voor Windows, gedetecteerd. Het was de eerste worm die computergestuurde besturingssystemen aanviel en er werd gezegd dat deze bedoeld was om nucleaire installaties in Iran aan te vallen. In 2016 kwam het Trojaanse paard Tiny Banker (Tinba) in het nieuws. Na de ontdekking bleek dat vele grote Amerikaanse banken geïnfecteerd waren, waaronder TD Bank, Chase, HSBC, Wells Fargo, PNC en Bank of America.

Als een van de oudste en meest gebruikelijke manieren om malware af te leveren, volgt de geschiedenis van Trojaanse paarden de geschiedenis van cybercriminaliteit zelf. Wat begon als een grap heeft zich ontwikkeld tot een manier om netwerken te vernietigen, informatie te stelen, geld te verdienen en macht te krijgen. De dagen van onschuldige grapjes zijn allang voorbij. In plaats daarvan zijn ze krachtige tools voor cybercriminelen, die ze gebruiken om gegevens te stelen, spionage en DDoS- aanvallen.

Soorten Trojaanse paarden

Trojaanse paarden zijn veelzijdig en zeer populair, dus het is moeilijk om kenmerken van elke soort op te noemen. Dat gezegd hebbende, zijn de meeste Trojaanse paarden ontworpen om de bediening van een computer over te nemen, gegevens te stelen, gebruikers te bespioneren of meer malware op de computer van een slachtoffer te zetten. Dit zijn enkele bekende bedreigingen van Trojaanse paarden:

• Backdoors, die zorgen voor toegang op afstand tot uw systeem. Dit soort malware wijzigt uw beveiliging zodat de hacker het apparaat kan bedienen, uw gegevens kan stelen en nog meer malware op uw computer kan downloaden.
• Spyware, die u bespioneert als u uw online accounts opent of uw creditcard-gegevens invoert. Spyware stuurt vervolgens uw wachtwoorden en andere identificerende gegevens terug naar de hacker.
• Trojaanse paarden die van uw computer een zombiecomputer maken, zodat deze een slave is in een netwerk dat beheerd wordt door de hacker. Dit is de eerste stap in het creëren van een botnet (robot + netwerk), dat vaak wordt gebruikt om een DDoS-aanval uit te voeren, die bedoeld is om een netwerk uit te schakelen door deze te overspoelen met verkeer.
• Downloader Trojaanse paarden, die andere kwaadaardige modules downloaden en inzetten, zoals ransomware of keyloggers.
• Dialer Trojaanse paarden, die verouderd lijken te zijn, omdat inbelmodems niet langer worden gebruikt. Meer hierover in het volgende deel.

Apps met een Trojaans paard op Android-smartphones

Trojaanse paarden zijn niet alleen een probleem voor laptops en desktops. Ze vallen ook mobiele apparaten aan, wat logisch is vanwege het verleidelijke doelwit van miljarden telefoons die worden gebruikt.

Net zoals bij computers doet het Trojaanse paard zich voor als een legitiem programma, terwijl het eigenlijk een namaakversie van de app is, die vol met malware zit.

Zulke Trojaanse paarden bevinden zich vooral op onofficiële marktplaatsen en marktplaatsen voor namaakapps, waar gebruikers worden verleid om ze te downloaden. De Trojaanse paarden zorgen voor veel ellende en infecteren de telefoon met advertenties en keyloggers, die gegevens kunnen stelen. Dialer Trojaanse paarden kunnen zelfs voor inkomsten zorgen door sms-tekstberichten te versturen.    

Er zijn Android-gebruikers die slachtoffer zijn geworden van apps met een Trojaans paard, sommigen konden zelfs gedownload worden in Google Play, dat continu scant op kwaadaardige apps (vaak na de ontdekking van een Trojaans paard). Browserextensie-add-ons kunnen ook fungeren als Trojaans paard, aangezien het een lading is die een ingebedde kwaadaardige code kan meedragen.

Alhoewel Google browser-add-ons kan verwijderen van computers, kunnen Trojaanse paarden op smartphones transparante pictogrammen op het scherm plaatsen. Deze zijn onzichtbaar voor de gebruiker, maar desondanks wordt bij aanraking de malware geactiveerd.

Voor iPhone gebruikers is er goed nieuws: Apple’s beperkende beleid m.b.t. toegang tot de App Store, iOS en andere apps op de smartphone voorkomt aanvallen met Trojaanse paarden. De enige uitzondering zijn gebruikers die hun smartphone jailbreaken om gratis software te downloaden van andere sites dan de App Store. Het installeren van riskante apps buiten de Apple-instellingen om maakt gebruikers kwetsbaar voor Trojaanse paarden.

Hoe verwijder ik een Trojaans paard?

Als een Trojaans paard uw toestel infecteert, is de meest gebruikelijke manier om deze schoon te maken en te herstellen naar een gewenste staat het gebruik van een geautomatiseerde anti-malware tool van hoge kwaliteit en een volledige systeemscan uit te voeren.

Er zijn veel gratis anti-malware-programma's, waaronder onze eigen producten voor Windows, Android, en Mac, die adware en malware detecteren en verwijderen. Malwarebytes detecteert zelfs alle bekende Trojaanse paarden en meer, aangezien 80% van de Trojaanse paarden gedetecteerd wordt via heuristische analyse. We helpen zelfs met het verzachten van aanvullende infectie door het afsluiten van de communicatie tussen de ingebrachte malware en backend-servers, wat het Trojaanse paard isoleert. De enige uitzondering is de bescherming tegen ransomware, waarvoor u ons premium product nodig hebt.

Hoe voorkom ik Trojaanse paarden?

Aangezien Trojaanse paarden vertrouwen op het misleiden van gebruikers die ze vervolgens toelaten op de computer, kunnen de meeste infecties voorkomen worden door waakzaam te blijven en goede beveiligingsgewoonten in acht te nemen. Een gezonde dosis scepsis is nodig m.b.t. websites die gratis films aanbieden en goksites. Daarnaast moet u gratis programma's direct van de site van de producent downloaden in plaats van ongeautoriseerde mirror servers.

Een andere voorzorgsmaatregel die u kunt overwegen: wijzig de standaard Windows-instellingen zodat de werkelijke extensies van applicaties altijd zichtbaar zijn. Daardoor wordt u niet erin geluisd door een onschuldig lijkend pictogram.

Andere maatregelen dan het installeren van Malwarebytes for Windows, Malwarebytes for Android, en Malwarebytes for Mac zijn:

• Periodieke diagnostische scans uitvoeren
• Instellen van automatische updates van de software van uw besturingssysteem, waardoor u altijd beschikt over de meest recente beveiligingsupdates
• Uw applicaties up-to-date houden, waardoor kwetsbaarheden in uw beveiliging worden verholpen
• Onveilige of verdachte websites vermijden
• Niet-geverifieerde bijlagen en links in onbekende mailtjes sceptisch benaderen
• Ingewikkelde wachtwoorden gebruiken
• Altijd een firewall gebruiken

Hoe Malwarebytes Premium u beschermt

Wij van Malwarebytes nemen infectiepreventie serieus. Daarom blokkeren wij websites en advertenties die wij als frauduleus of verdacht beschouwen. Wij blokkeren bijvoorbeeld torrent sites zoals The Pirate Bay. Ondanks dat veel gewiekste gebruikers zulke sites zonder problemen hebben gebruikt, zijn sommige aangeboden bestanden in werkelijkheid Trojaanse paarden. Om soortgelijke redenen blokkeren wij ook cryptomining via browsers, maar de gebruiker kan ervoor kiezen om de blokkering uit te schakelen en verbinding te maken.

Onze redenatie is dat het beter is om het zekere voor het onzekere te nemen. Als u het risico wilt nemen, is het eenvoudig een site op de witte lijst te zetten, maar zelfs techneuten kunnen misleid worden door een overtuigend Trojaans paard.

Voor meer informatie over Trojaanse paarden, malware en andere cyberbedreigingen, zie de Malwarebytes Labs blog. Met die informatie kunt u misschien later een infectie voorkomen.