Computervirus

Een computervirus of virus is een vorm van schadelijke software (malware). Het is een computerprogramma dat zich in een bestand kan nestelen, bijvoorbeeld in bestanden van een besturingssysteem. Computervirussen worden als schadelijk beschouwd omdat ze schijfruimte en computertijd in beslag nemen van de besmette computers. In ernstige gevallen kunnen virussen binnen in de computer schade aanrichten, bijvoorbeeld door het wissen en verspreiden van gevoelige gegevens. In zeer ernstige gevallen kan de gebruiker zelfs de totale controle over de computer verliezen.

Hoewel er veel verschillende computervirussen bekend zijn, komt er slechts een fractie daarvan "in het wild" voor. De Wildlist Organization International houdt een maandelijkse lijst bij van de virussen die in het wild zijn aangetroffen. Maandelijks worden er enkele duizenden verschillende virussen in het wild aangetroffen. Veel bestaande virussen zijn niet virulent genoeg om zich zelfstandig te verspreiden.

Het in omloop brengen van een computervirus is een misdrijf, zowel in het Nederlandse Wetboek van Strafrecht als in het Belgische Strafwetboek.

Andere soorten malware

Computervirussen die zich ongemerkt in een computersysteem nestelen en vermenigvuldigen moeten onderscheiden worden van Trojan horses. Trojaanse paarden zijn programma's die andere dingen doen dan ze voorgeven, bijvoorbeeld de computer gemakkelijker toegankelijk maken voor andere virussen of spam versturen. Wormen zijn geen virussen maar worden wel vaak zo genoemd. Het zijn zelfstandige programma's die zich direct over het netwerk verspreiden. Als de schade pas aangebracht wordt op een vooraf bepaald tijdstip, zoals bij een tijdbom of op het moment dat de software een bepaalde - vooraf vastgelegde - verandering waarneemt, spreekt men van een logic bomb.

Geschiedenis

Het computervirus ontstond al in de beginjaren van ARPANET. Ray Tomlinson, de bedenker van e-mail, schreef met zijn collega Bob Thomas twee programaatjes: Creeper en Reaper. Het eerste verspreidde razendsnel de tekst "I'm the creeper, catch me if you can" over het netwerk, het tweede ruimde het weer op. In 1984 beschreef de Amerikaan Fred Cohen in zijn thesis Computer Viruses – Theory and Experiments een functioneel computervirus voor het Unix-besturingssysteem. In 1987 publiceerde de Duitser Ralph Burger in het boek "Computer Viruses, a high tech disease" de complete broncode van een werkend virus voor MS-DOS. Bijna alle computervirussen uit de periode 1987 tot circa 1991 zijn gebaseerd op de publicaties van Cohen en Burger.

Oorspronkelijk (vanaf circa 1988) verspreidden virussen zich vooral via software op diskettes en (illegale) cd-roms. Sinds e-mail een grote vlucht genomen heeft verspreiden virussen zich vooral via e-mailprogramma's en dragen zij bij aan de hoeveelheid junkmail die de doorsnee internetgebruiker ontvangt. Ze maken daarbij vaak gebruik van het adresboek dat de gebruiker in zijn e-mailprogramma heeft gemaakt. De meest gebruikte en daardoor gevoeligste e-mailprogramma's zijn Microsoft Office Outlook, Outlook Express, Windows Mail, Google Mail en Windows Live Mail. Macrovirussen verspreiden zich voornamelijk via Office-bestanden.

Uit een verslag van IBM bleek dat het aantal bekende computervirussen in 2004 met 25 procent toegenomen was tot 112438. Ongeveer 6 procent van de gescande e-mails in 2004 bevatten een virus. Het aantal geïnfecteerde e-mails ligt daarmee dubbel zo hoog als in 2003 (3 procent). In 2002 was dat slechts een half procent.

Invloed van het besturingssysteem

Virussen komen het meest op het besturingssysteem Microsoft Windows voor. Andere besturingssystemen zoals GNU/Linux en Mac OS X, worden minder vaak blootgesteld aan computervirussen. Sinds eind jaren 2000 komt hier langzaam verandering in door de stijgende populariteit van andere besturingssystemen. Deze zijn vaak niet aangepast om bescherming te bieden tegen virussen. Over de redenen dat Windows een geliefd doelwit is voor virusschrijvers kan men speculeren, maar de volgende redenen worden vaak aangegeven:

• Windows is een populair besturingssysteem, waardoor virusmakers zich sneller hierop zullen richten; ze hebben immers een grotere doelgroep.
• Veel Windows-programma's pogen zo gebruiksvriendelijk en idiotproof te zijn, dat de veiligheid hiervoor het veld heeft moeten ruimen.
• Windows was van oorsprong gericht op personal computers, terwijl andere besturingssystemen zoals Linux en Mac OS X, vanaf de grond af zijn opgebouwd met het oog op meerdere gebruikers en netwerkgebruik. Werking en veiligheid van Linux en OS X zijn hierdoor veel beter bestand tegen de gevaren van internet.

Dit betekent echter niet dat deze besturingssystemen niet beschermd zouden moeten worden. Ze kunnen immers "drager" zijn van virussen en wormen voor Windows-systemen. Als besmette bestanden op bijvoorbeeld een Linux-systeem staan, kan het voorkomen dat de Windows-machines virusvrij gemaakt zijn, maar dat er daarna weer een nieuwe besmetting gebeurt via die bestanden. Tegenwoordig wordt ook aangeraden antivirusprogramma's aan te schaffen voor Mac OS X.

Tegenwoordig komen virussen meer en meer voor GNU/Linux en Mac OS X (bijvoorbeeld MacShield). GNU/Linux was in 2011 een populair doelwit op dedicated servers. Omdat dedicated servers de laatste jaren betaalbaarder zijn geworden voor particulieren en GNU/Linux een gratis besturingssysteem is, komt dit meer en meer voor.

Levensloop

Computervirussen hebben een zekere levensloop, gaande van het creëren tot het uitroeien van het virus. Het creëren gaat om de tijd die de programmeur nodig heeft om een virus te ontwikkelen. Vervolgens komt het virus tot stand en wordt het gekopieerd naar een strategische plaats zodat het zo vlug mogelijk verspreid kan worden. Daarna volgt de reproductie. Een virus vermenigvuldigt zich een aantal keren vooraleer het actief wordt. Voor bepaalde virussen vindt vervolgens een activeringsprocedure plaats. Het ogenblik waarop iemand de aanwezigheid van een virus vaststelt, wordt de ontdekking genoemd. Zodra de ontdekking is gebeurd, zullen software-ontwikkelaars trachten de aanwezigheid van het virus vast te stellen. Na deze assimilatie volgt de uiteindelijke uitroeiing.

Bestrijding

Er is een complete industrie die softwarepakketten ontwikkelt om virussen te bestrijden, zowel voor Windows als voor Mac OS X. Naast de softwarepakketten die op pc's of servers van bedrijven draaien is er nog een technologie om virussen te bestrijden, de zogenaamde managed e-mail solutions. Hierbij wordt de mail al op de server van de e-mailaanbieder gecontroleerd op virussen en spam. Het voordeel hiervan is dat een geïnfecteerde mail niet in het eigen systeem van de gebruiker komt en daar dus geen kwaad kan uitrichten.

Wijzen van verspreiding

Voorbeelden van manieren waarop een virus in een computer kan doordringen zijn:

• Websites
• USB-sticks
• diskette
• geheugenkaarten
• cd-rom, dvd ...
• modem (niet via internet, bijvoorbeeld BBS)
• e-mail
• bestanddeling (bijvoorbeeld Kazaa, LimeWire en andere p2p-systemen)
• misbruik van bugs (vulnerabilities) in software
• door het aankoppelen van een besmette harddisk
• Infectie door in BIOS genestelde code. Alleen het wissen of het verwijderen van de harde schijf heeft dan geen zin.
• Infectie door in de batterijchip van een laptop genestelde code. Dit is een nieuw onderzoeksgebied en komt nog heel zelden voor.
• Infectie via de draadloosnetwerkkaart. Hiervoor zijn hardwarespecifieke instructies nodig. Via een bufferoverflow zou hiermee toegang verschaft kunnen worden tot de computer zelf.
• Open netwerkpoorten en het niet gebruiken van een wachtwoord, een makkelijk te kraken of een makkelijk te achterhalen wachtwoord (bijvoorbeeld omdat hetzelfde wachtwoord overal gebruikt wordt door iemand). Hierdoor kan er externe code verstuurd worden naar deze computer.
• Windows Update (en mogelijk ook andere authentieke updatemethoden). Deze verspreidingsmethode is voor het eerst gesignaleerd in Flame. Het was mogelijk gemaakt door een Man-In-The-Middle en het gebruik van valse certificaten, die gegeneerd konden worden door zwakheden in het md5-algoritme.

Verspreiding per e-mail

De e-mails die een virus bevatten proberen meestal de indruk te wekken dat ze een belangrijke boodschap bevatten en afkomstig zijn van een bekende afzender die men kan vertrouwen. Vaak is de schijnbare afzender iemand waar de persoon in kwestie in het verleden al contact mee heeft gehad. Dit komt doordat de e-mailadressen in het adresboek vaak gebruikt worden voor de verzending van zulke berichten. Valse virusberichten worden hoaxes genoemd.

Ook een bekende truc is het misbruiken van de naam van een firma zoals de virusmail MS Update Announcement. Deze e-mail lijkt bedrieglijk echt en er wordt in gesuggereerd dat door uitvoer van het bijgevoegde programma de computer wordt beveiligd tegen de nieuwste virussen. De afzender is echter niet Microsoft en de bijlage is een virus.

Verder zijn e-mails met virussen die de indruk wekken afkomstig te zijn van een mailserver of internetprovider ook populair. Dat zijn berichten zoals "Mail Delivery failure" of "Internet Provider Abuse" of iets gelijkwaardigs. Sommige virussen zijn in staat om de e-mails af te stemmen op het e-mailadres van de geadresseerde, zo kan iemand met bijvoorbeeld een @yahoo.com-adres een e-mail krijgen die schijnbaar van de helpdesk van Yahoo afkomstig is maar in werkelijkheid van iemand anders.

Door het inlassen van een valse melding dat het bericht virusvrij is trachten sommige virussen de kans op infectie te verhogen. Toch zijn er ook nog steeds veel 'domme' virussen die zich beperken tot gewoon een "Hi" of "see attached file".

Bij verspreiding via e-mail is het virus meestal bijgesloten in bijlage. De bestandsnaam kan vast zijn maar ook op basis van het e-mailadres van de ontvanger of volstrekt willekeurig. Meestal is er een poging gedaan om te verbergen dat het een uitvoerbaar bestand is. Een constructie zoals data.txt.pif is gebruikelijk (deze truc werkt echter alleen op computers met het Microsoft Windows-systeem). Men maakt hier handig gebruik van de optie die sommige e-mailclients hebben om de bestandsextensie te verbergen. Hierdoor is het schijnbaar een onschuldig tekstbestand. Ongelukkig genoeg is deze optie standaard ingeschakeld op de meeste versies van Microsoft Outlook, Outlook Express.

De bestandsextensie van het virus kan verschillen. Macrovirussen kunnen aanwezig zijn in documenten die een macrotaal ondersteunen die programma's kan opstarten zoals het geval is bij Microsoft Word, Microsoft Powerpoint, Microsoft Excel of Microsoft Access.

De recentere virussen maken gebruik van de spoofeigenschap: het sturen onder een e-mailadres van iemand anders.

Soorten virussen

Vroeger waren er allerlei typen virussen die op hun eigen manier schade aanrichtten.

Zo waren er bestandsvirussen die viruscode aan programma's toevoegden die de extensie EXE of COM hebben. Als er zo'n programma wordt gestart, wordt het virus geactiveerd. Dan kan het virus zich naar andere bestanden kopiëren.

Bootsectorvirussen voegden gegevens toe aan het opstarten van een besturingssysteem.

Macrovirussen werden verspreid in bestanden met een macro erin, zoals Word-documenten.

Zoals reeds gezegd zijn computerwormen en Trojaanse paarden geen virussen, maar wel andere vormen van malware.

Mailvirussen

Dit zijn de 'ouderwetse' virussen die zichzelf als bijlage verspreiden via e-mail. Tijdens een besmetting kan er automatisch een mailserver geïnstalleerd worden, zodat er geen gebruik hoeft te worden gemaakt van een e-mailprogramma op de geïnfecteerde computer. Ook de mailserver van de internetprovider waar de besmette computer mee is verbonden, hoeft niet te worden gebruikt. Internetproviders controleren streng op dit soort virussen dus de kans is groot dat de berichten er direct zouden worden uitgefilterd als ze via de provider verstuurd zouden worden.

Door een goede virusscanner te installeren en die altijd up-to-date te houden kan men zich wapenen tegen deze virussen. De meeste internetproviders filteren de geïnfecteerde mail er al uit. Bij sommige providers moet er daarvoor extra betaald worden.

Mobiele virussen

Ook voor mobiele telefoons bestaan er tegenwoordig virussen. Een echte doorbraak blijft echter uit, ondanks het feit dat mobiele telefoons en smartphones aan het uitgroeien zijn tot volwaardige computers.

Uit een studie van een groep netwerkdeskundigen onder leiding van hoogleraar Albert-László Barabási (Northeastern University, Boston, Verenigde Staten) blijkt dat we hiervoor vooral moeten kijken naar de besturingssystemen van de mobiele telefoons. Er zijn namelijk heel veel verschillende besturingssystemen, zoals dat ook het geval is bij pc's. Virussen kunnen enkel worden overgedragen tussen twee apparaten met hetzelfde besturingssysteem.

De onderzoekers rekenden uit dat minstens 10 procent van alle mobiele telefoons hetzelfde besturingssysteem moet hebben alvorens een epidemie mogelijk is. Om tot dat resultaat te komen bekeken ze gedurende een maand de telefoongegevens van zes miljoen mobiele abonnees. Met die gegevens stelden ze een simulatie op met mobiele telefoongebruikers waarin ze ongeremd virussen konden loslaten.

Na een heleboel virusuitbraken kwamen ze dus tot de conclusie dat of een epidemie uitbreekt afhankelijk is van de populariteit van een welbepaalde telefoon. Een populaire telefoon zal immers meer kans hebben om een andere telefoon tegen te komen met hetzelfde besturingssysteem waarop het virus kan worden overgedragen.

De overdracht

De overdracht van mobiele virussen kan op drie manieren: via bluetooth, via mms of via het internet.

Hoe een besmetting gebeurt via internet ligt voor de hand. De gebruiker van de telefoon downloadt het virus rechtstreeks van het internet en besmet zo zijn telefoon.

Besmetting via de bluetooth-methode duurt langer en is makkelijker te detecteren. De reeds besmette telefoon zoekt contact met andere telefoons binnen zijn bereik en eens hij een vatbaar slachtoffer heeft gevonden kopieert het virus zichzelf naar de andere telefoon.

De laatste methode is veruit de efficiëntste. Een telefoon stuurt automatisch een mms naar iedereen uit zijn netwerk met in de bijlage geen foto of filmpje, maar wel een virus. Als de ontvanger de mms dan opent en instemt om het 'filmpje' te bekijken, heeft het virus vrij spel en kan het zich verder verspreiden.

Andere

• Bootsectorvirus. Dit virus voegt gegevens toe aan het opstartgedeelte van een computer die het besturingssysteem moet starten (de bootsector).
• Macrovirus. Dit virus wordt verspreid door bestanden met een macro erin. Voorbeelden zijn Word-documenten.
• Tijdbomvirus. Dit virus wordt pas actief op een bepaalde datum of tijd (1 april en vrijdag de dertiende zijn daarbij populair). Hierbij kan elk soort virus worden geactiveerd.
• Logic bomb. Dit virus activeert als er een bepaalde, voorgeprogrammeerde, verandering optreedt in de computer. Hierbij kan elk soort virus worden geactiveerd.
• Bestandsvirus. Als een programma gestart wordt, wordt het virus geactiveerd en als het geactiveerd is kan het zich naar andere programma's kopiëren.

Zie ook

• Lijst van malware
• Phishing
• Spam (post)
• Social engineering (informatica)
• Trojaans paard (computers)
• Computerworm

Referenties

• Backer, J. 2009. Mobiele epidemie, Quest, oktober 2009, p. 108-110
• Ministerie van economische zaken. April 2000. Gids voor internetgebruikers, p. 47-48
• Wokke, A. 24 april 2009. Mobiele virussen gaan zicht verspreiden via mms (https://tweakers.net/nieuws/59787/mobiele-virussen-gaan-zich-verspreiden-via-mms.html), (geraadpleegd op 30 november 2009)
• Wang, P. , González, M. , Hidalgo, C. , Barabási, A. 2009. From human mobility pattern to mobile virus's spreading (https://web.archive.org/web/20110626220820/http://puwang.barabasilab.com/Talks/Venice_PPT.pdf), (geraadpleegd op 30 november 2009)
• Pruyn, R. 28 september 2007. Mobiele virussen lopen twintig jaar achter, (itprofessional.be), (geraadpleegd op 30 november 2009)
• Metheringham, N. 13 december 2010. Exim Exploit In The Wild Advisory (http://packetstormsecurity.org/files/96667/Exim-Exploit-In-The-Wild-Advisory.html), (geraadpleegd op 12 juni 2011)

Bronnen, noten en/of referenties