Denk eens aan alle informatie die u dagelijks intypt op uw mobiele toestel of computer. Van gesprekken met goede vrienden tot gevoelige medische vragen en bankgegevens: onze devices zijn niet meer weg te denken uit het dagelijks leven. Aanvallers weten niet alleen dat uw telefoon en laptop veel gevoelige gegevens bevatten, ze weten ook dat die gegevens geld opleveren.
Spyware is de categorie kwaadaardige apps die zo lang mogelijk onopgemerkt wil blijven en ondertussen elk stukje persoonlijke informatie doorstuurt naar de eigenaar van de spyware. Dat kan een cybercrimineel zijn die er winst mee wil maken, maar net zo goed een complete overheidsdienst. Spyware loopt uiteen van eenvoudige keyloggers tot uiterst complexe zero-click-exploits. Weten waar u op moet letten helpt u uw kostbare gegevens te beschermen en zorgt voor een gerustere nachtrust.
Wat is spyware?
Spyware is een vorm van kwaadaardige software, oftewel malware, die heimelijk en zonder toestemming van de gebruiker op een computer of mobiel device wordt geïnstalleerd. De belangrijkste functie is om het device binnen te dringen, gevoelige informatie over de activiteiten van de gebruiker te verzamelen en die gegevens vervolgens door te sturen naar onbevoegde partijen zoals frauduleuze adverteerders, dataverzamelaars of andere derden.
Om het doel van spyware te begrijpen, moet u het in een bredere context plaatsen. Hackersgroepen zijn tegenwoordig geraffineerd, niet alleen technisch maar ook economisch. Door de opkomst van online ruimtes waar kwaadwillenden elkaar vinden, kunnen uiteenlopende groepen met verschillende vaardigheden samenwerken en handelen in de malware die ze ontwikkelen en de gegevens die ze stelen.
Op deze zwarte markt gaan tientallen miljoenen dollars om. De gegevens die bij spyware-aanvallen worden buitgemaakt, worden vaak doorverkocht aan agressievere groepen die ze gebruiken om vervolgens phishing- en ransomware-aanvallen uit te voeren.
Aan de andere kant zijn de tijden voorbij dat overheden massaal onwetend waren over het internet. Spyware is doordrenkt van beschuldigingen over overheidssurveillance. Bekende spyware-leveranciers zoals NSO Group beweren weliswaar dat ze alleen licenties verstrekken aan overheden die hun technologie willen inzetten om criminelen te vangen, maar er is al bewijs dat de technologie tegen journalisten wordt gebruikt.
Sommige varianten van spyware, zoals stalkerware, zijn specifiek bedoeld om de locatie van een persoon te volgen. Dit type spyware kan ongemerkt op mobiele devices worden geladen en kan de fysieke bewegingen van de gebruiker volgen, communicatie zoals sms’jes en e-mails onderscheppen, telefoongesprekken opnemen en toegang krijgen tot privé-inhoud zoals foto’s en video’s.
Zo werkt spyware
Een basiskennis van de technieken, tactieken en procedures (TTP’s) van spyware is onmisbaar om uzelf te beschermen.
Hoe spyware op uw device belandt
Spyware kan op allerlei manieren buiten het medeweten van de gebruiker op een device worden geïnstalleerd. Of dat nu via een installatiepakket van een app gebeurt (meestal een .exe-bestand), een bestandsoverdracht, een kwaadaardige website of gewoon een USB-stick: de infectiemethode hangt vooral af van de situatie van het slachtoffer. Omdat spyware vaak heel gericht wordt ingezet, worden infectietechnieken regelmatig speciaal op het beoogde slachtoffer toegesneden.
Pegasus bijvoorbeeld, een specifiek merk spyware dat we hieronder bespreken, maakt gebruik van zero-touch-exploits. Daarmee kan een overheidsteam de spyware plaatsen via een gemiste oproep op WhatsApp. De eigenaar van de telefoon hoeft helemaal niets met de spyware te doen om die te downloaden en zodra de spyware wordt uitgevoerd, wist die de registratie van de gemiste oproep. De gebruiker heeft dus geen idee dat er iets mis is.
Zo geavanceerd zijn de meeste spyware-aanvallen zelden: met social engineering bereiken aanvallers hetzelfde met veel minder technische kennis en investering. Bij deze traditionelere aanpak gebruiken aanvallers open bron-informatie om uiterst overtuigende en gerichte phishinglinks te maken die de gebruiker naar een server met spyware leiden.
Tot slot maakt spyware ook gebruik van vertrouwde insiders. De verspreiding gebeurt dan via een lokale draadloze zender of door de spyware handmatig op de telefoon van het doelwit te downloaden.
Hoe spyware uw gegevens verzamelt
Zodra spyware op uw device staat, start die meteen een reeks functies op. Deze scripts verzamelen alles wat u op het toetsenbord van het device typt, kunnen de microfoon, camera en schermopnames activeren en vastleggen, krijgen toegang tot alle bestanden, onderscheppen de inhoud van uw e-mails, berichten en socialmedia-apps en houden logboeken bij van uw browsergeschiedenis.
Dat spyware zo’n enorme hoeveelheid gegevens kan verzamelen, is deels te danken aan keyloggers. Die zijn meestal softwarematig en registreren simpelweg elke toetsaanslag op uw device. Deze bestanden worden op allerlei manieren naar de hacker verstuurd: soms worden ze naar een server van derden gesluisd, soms per e-mail verzonden en soms zelfs rechtstreeks geüpload naar een openbare website of database.
Sommige keyloggers zijn geavanceerder dan andere en kunnen toegankelijkheidsprogramma’s op smartphones misbruiken die eigenlijk bedoeld zijn om gebruikers met een visuele beperking te helpen.
Hoe spyware onopgemerkt blijft
Spyware opsporen is berucht lastig. Spyware-applicaties beginnen vaak te draaien zodra het geïnfecteerde device wordt ingeschakeld en opstart. Het doel is vervolgens om onopgemerkt op de achtergrond te blijven draaien. Dat lukt soms door zich voor te doen als onschuldige hulpprogramma’s of apps, met nietszeggende namen en pictogrammen.
Zo kunnen ze zich onzichtbaar maken tussen de ontelbare andere processen op uw device. Om nog beter onder de radar te blijven, passen sommige de instellingen van het device aan zodat ze niet in de taakbalk of op het bureaublad verschijnen.
Vaak is de eerste aanwijzing voor spyware op een device een merkbare achteruitgang in prestaties, zoals tragere verwerkingssnelheden of problemen met de netwerkverbinding, naast een hoger dataverbruik en een kortere batterijduur, vooral bij mobiele devices.
Omdat de invoer van de gebruiker wordt vastgelegd en naar een kwaadaardige database gaat, bestaat het risico dat de nieuwe datastromen naar een externe server worden opgemerkt. Telefoons en devices die op bedrijfsnetwerken zijn aangesloten zouden dus gedetecteerd kunnen worden, omdat zelfs eenvoudige netwerkbeveiligingstools dit als verdacht kunnen markeren.
Daarom bouwen spyware-makers vaak een snode maar eenvoudige omweg in: ze communiceren gewoon via onbeveiligde kanalen en verbergen de kwaadaardige overdracht in het volle zicht.
De schade die spyware aanricht
Zodra een device is afgetapt op zijn rijke informatiestromen, heeft de betrokken partij de keuze wat ze ermee doet. Voor overheden en opsporingsdiensten gaan deze gegevens naar een bredere inlichtingenoperatie die moet vaststellen of een verdachte onschuldig is. Bij blackhathackers worden de buitgemaakte gegevens echter vaak verkocht aan andere aanvallers, die ze dan kunnen gebruiken voor identiteitsdiefstal.
Of ze nu kredieten op uw naam afsluiten, met uw bankpasgegevens online transacties doen of directere en ingrijpendere malware op uw device plaatsen: de wereld ligt voor hen open.
Omdat spyware de firewallinstellingen kan wijzigen, is een device waarop spyware is geplaatst bijzonder kwetsbaar voor verdere aanvallen. Zo kan het device onderdeel worden van een botnet of een kwaadaardig advertentienetwerk, want spyware kan ook zoekresultaten manipuleren om u naar advertenties te leiden waar de aanvallers vervolgens voor betaald krijgen.
Daarnaast brengt spyware vaak de ergernis van pop-upadvertenties met zich mee. Die advertenties kunnen bijzonder opdringerig zijn, verschijnen zelfs zonder internetverbinding en zijn een niet-aflatende bron van irritatie.
Soms gaat de schade aan uw computer het systeem zelf aantasten. Spyware verbruikt doorgaans flinke hoeveelheden geheugen, rekenkracht en internetbandbreedte, omdat de prestaties totaal niet geoptimaliseerd zijn. Devices met spyware reageren daardoor traag en haperen bij het wisselen tussen applicaties of tijdens online activiteiten.
In ernstigere gevallen kan de spyware regelmatige systeemcrashes of oververhitting veroorzaken, met mogelijk blijvende schade tot gevolg.
Soorten spyware
Door de enorme verscheidenheid aan spyware blijft het lastig om te weten waar u op moet letten. De volgende voorbeelden geven meer inzicht in de verschillende types.
Adware
Adware toont vooral ongewenste advertenties en past daarbij vaak browserinstellingen aan of manipuleert zoekopdrachten. Hoewel adware over het algemeen minder schadelijk is dan andere spyware-varianten, kan die de prestaties van het device nog steeds verslechteren en flink irritant zijn.
In augustus 2023 ontdekten onderzoekers dat meer dan 40 applicaties in de Google Play Store stiekem advertenties laadden terwijl het scherm van de telefoon uit stond. Daaronder zaten de apps Music Downloader, News en Calendar, die samen goed waren voor ruim 2,5 miljoen installaties.
Tijdens de installatie maken deze bundels soms verbinding met een server van derden om de nieuwste adware of plug-ins op te halen, zonder direct bestanden op de harde schijf op te slaan. Bovendien kunnen de installatieprogramma’s voor deze adware de distributiekanalen kapen en daarmee eventueel ernstigere soorten malware verspreiden.
Keyloggers
Door de diepgang van de gegevensverzameling met keyloggers komen ze het best tot hun recht in spyware van overheidswege. Pegasus is het paradepaardje van het Israëlische inlichtingenbedrijf NSO Group. Naast de eerder genoemde zero-click-exploit kan Pegasus elke toetsaanslag vastleggen, de microfoon en camera inschakelen, regelmatig schermafbeeldingen maken en elk afzonderlijk bestand op het device en de bijbehorende cloudaccounts buitmaken. Duitsland, België, Frankrijk, Hongarije, Polen, Thailand en de Verenigde Arabische Emiraten zijn slechts enkele van de landen die hebben toegegeven Pegasus-spyware te gebruiken of die actief onderzoek doen naar de inzet van Pegasus tegen hun eigen burgers.
Trojaanse paarden met spyware-functies
Spyware hoeft niet zo geavanceerd te zijn als het aanbod van NSO. In 2023 bleek dat de Google Play Store twee populaire apps voor bestandsbeheer aanbood die in werkelijkheid Chinese trojaanse paarden met geavanceerde spyware-functies waren.
De apps – File Recovery and Data Recovery met meer dan 1 miljoen installaties en File Manager met meer dan 500.000 installaties – waren allebei door dezelfde partij ontwikkeld. Beide Android-apps starten automatisch op na een reboot van het device, zonder toestemming van de gebruiker. Vervolgens verzamelen ze heimelijk allerlei persoonlijke informatie, waaronder contactenlijsten, mediabestanden, realtime locatie, netwerkcodes van de mobiele aanbieder en de simkaart en gegevens over het device zelf.
Daarnaast bleek de hoeveelheid gestolen gegevens alarmerend hoog: elke app voerde regelmatig meer dan honderd gegevensoverdrachten uit naar meerdere kwaadaardige servers.
Rootkits
Rootkits lenen zich bij uitstek voor spyware, omdat ze zijn ontworpen om geprivilegieerde toegang tot een systeem te krijgen en tegelijk onopgemerkt te blijven. Recent is ontdekt dat een rootkit al sinds 2016 op een van de meest fundamentele niveaus toegang krijgt tot computers. De rootkit, met de bijnaam CosmicStrand, tast de UEFI aan, een stuk opstartcode dat op het moederbord zelf staat.
Het is de allereerste software die draait zodra een computer opstart en beïnvloedt daardoor elk OS en elke software die daarna wordt geladen. Door de haken die in het opstartproces geplaatst kunnen worden, blijven devices geïnfecteerd, zelfs als de harde schijf volledig wordt vervangen.
Waar beveiligingsonderzoekers zich vooral zorgen over maken, is dat dit soort rootkits al relatief lang in het wild rondgaat. CosmicStrand is inmiddels in verband gebracht met een Chineestalige dreigingsgroep, maar de kans is groot dat er nog andere rootkits bestaan die zich eenvoudigweg nog niet hebben laten zien.
Zo beschermt u zich tegen spyware
Tenzij u machtige vijanden hebt gemaakt, is bescherming tegen spyware grotendeels een kwestie van goede beveiligingshygiëne. Voor extra zekerheid helpt antispyware-software om pottenkijkers buiten de deur te houden. Het platform voor monitoring en beheer op afstand (RMM) van NinjaOne biedt volledig inzicht in de devices van eindgebruikers, zodat u precies weet welke software er op elke asset draait.
Met dat nieuwe inzicht als basis kunt u de applicaties van uw eindgebruikers op grote schaal configureren, patchen, verwijderen en monitoren, zonder afhankelijk te zijn van een duur en tijdrovend bedrijfsnetwerk, VPN of domein. Kwetsbaarheden kunnen wegnemen en zorgwekkende kwetsbaarheden automatisch kunnen opsporen is een cruciaal onderdeel van de bescherming van teams tegen spyware.
Een laatste antispyware-functie is de schijfversleuteling van NinjaOne: die spoort op welke schijven onversleuteld zijn en versleutelt ze veilig volgens de beste praktijken in de branche, waarmee specifieke aandachtspunten verder worden verhard. Met NinjaOne blijven de mensen en het intellectuele eigendom van uw organisatie bestand tegen het razendsnel veranderende spyware-landschap.
Wilt u visueel zien hoe spyware devices infecteert en hoe bescherming eruitziet? Bekijk dan deze video: ‘Wat is spyware? De verschillende types en zo blijft u beschermd’.
