Opnieuw heeft een grote ransomwareaanval duizenden bedrijven over de hele wereld getroffen. De aanval met 'Petya' begon gistermiddag, maar in de loop van de dag bleek dat het hier om misschien wel méér gaat dan WannaCry...

Eerst maar eens de feiten: gistermiddag meldde een aantal bedrijven in voornamelijk Oekraïne en Rusland slachtoffer te zijn van een ransomwareaanval. Al snel leek het om dezelfde uitbraak te gaan. Later die dag bleken ook een aantal Nederlandse bedrijven getroffen door dezelfde aanval, zoals de Rotterdamse containeroverslag RPM Terminals, een dochteronderneming van het eveneens getroffen Maersk.

Nederlandse bedrijven

Op Tweakers komen ook verschillende reacties binnen van lezers die bij 'grote bedrijven' zeggen te werken waar de ransomware ook heeft toegeslagen - al noemen zij uit veiligheidsoverwegingen geen namen. Het lijkt er echter op dat de ransomware zich grotendeels nog op Oekraïense bedrijven.

Oekraïne

Dat blijkt ook uit hoe de ransomware is verspreid, want dat is inmiddels bekend. Dat is gebeurd via een accountingprogramma dat door een Oekraïens bedrijf genaamd MeDoc is gemaakt. MeDoc is geïnfiltreerd, en hackers hebben de ransomware in een update voor het programma verstuurd die op 22 juni naar klanten is gepusht. Het virus heeft daar 5 dagen in wacht gelegen tot het op de 27e plotseling werd ingeschakeld. De timing is toevallig, omdat 27 juni de Dag van de Onafhankelijkheid is in Oekraïne.

MeDoc heeft inmiddels een verklaring uitgebracht op Facebook. Ook Microsoft zegt dat het virus op die manier rondgaat.

Losgeld

De ransomware vraagt 300 dollars in bitcoin aan losgeld, een opvallend laag bedrag voor malware die zich juist op bedrijven richt. Bedrijven zijn doorgaans sneller bereid hogere bedragen te betalen. Dat kan erop duiden dat de ransomware niet bedoeld is om geld te verdienen, maar dat er meer achter zit...

Op dit moment zijn er slechts 36 transacties gedaan naar het bitcoinadres, waarvan er zelfs een paar transacties maar een paar cent zijn. Net als WannaCry is ook Petya geen vetpot...

Email in plaats van Tor

Een paar dingen aan de ransomware zijn opvallend, zoals de betaalmethode. Waar dat normaal gesproken via een .onion-site en Tor gaat, vragen de hackers in dit geval om de unieke identificatiecode naar een mailadres te sturen. Maar: de hostingpartij heeft wowsmith12345@posteo.net inmiddels op nonactief gezet. Emails komen daar dus niet meer binnen, en dat betekent dat ontsleutelcodes (als die er al waren) ook niet meer kunnen worden verstuurd.

Dat is tot groot ongenoegen van sommige beveiligingsexperts, die zeggen dat het emailadres één van de weinige manieren was om de daders op te sporen.

Gelukkig zijn er nog wel mogelijkheden de ransomware te stoppen. Petya werkt namelijk in 2 fases. In de eerste wordt de computer geïnfecteerd en wordt het virus uitgevoerd op de achtergrond. Daarna herstart de computer automatisch, en pas bij het herstarten wordt een nieuwe bootloader gestart die het scherm versleutelt. Ook dat is pas het moment dat de bestanden versleuteld worden.

Het is daarom mogelijk de ransomware te stoppen door 'Automatisch herstarten bij problemen' uit te schakelen. Ook hebben security-onderzoekers ontdekt dat het virus zoekt naar een bestand genaamd perfc in C:\windows staat. Het is niet duidelijk waarom het dat doet, maar als dat bestand bestaat wordt de ransomware niet uitgevoerd. Zo blijf je toch een beetje beschermd.

Is dit wel Petya?

Maar het meest opvallende aan 'Petya'? Niemand weet of het echt om Petya gaat... Aanvankelijk werd dat wel aangenomen, omdat de ransomware dezelfde methode had als de eerste varianten van Petya, die in april 2016 voor het eerst rondgingen.

Harde schijf

Petya versleutelt namelijk geen individuele bestanden, zoals veel ransomware dat doen. In plaats daarvan maakt Petya een kleine custom bootloader die direct naar een kernel gaat waarop alleen maar de losgeldbrief te lezen is. Daarbij wordt de master boot record van de schijf overschreven, zodat de bestanden niet meer te benaderen zijn. De bestanden zelf worden echter ook nog versleuteld met AES-128 encryptie, dus zelfs als je die kunt terughalen heb je er nog niets aan.

Parallel met WannaCry

De ransomware heeft daarnaast ook nog eens veel weg van een ander incident: WannaCry. Dat is de ransomware die in mei van dit jaar toesloeg bij duizenden bedrijven over de hele wereld, en die uiteindelijk bleek uit te schakelen met een simpele killswitch. Petya blijkt die niet te hebben, al is er wel een mogelijkheid om de ransomware te stoppen door een bepaald bestand op de computer aan te maken.

NSA-exploit

De meest in het oog springende overeenkomst met WannaCry is de exploit die wordt gebruikt. Dat is namelijk opnieuw EternalBlue, een gelekte exploit die afkomstig was van de NSA en werd gelekt door hackersgroep ShadowBrokers. EternalBlue maakt gebruik van een kwetsbaarheid in het SMB-protocol van Windows.

Geavanceerde ransomware

Maar, en dit is belangrijk, waar WannaCry nogal slordig in elkaar was gezet lijkt Petya veel geavanceerder. Zo krijgt de ransomware namelijk toegang tot de admin-rechten van een pc om zich zo makkelijker naar andere computers op het netwerk te verspreiden, waarbij de SMB-exploit niet eens nodig is. De m,alware maakt ook gebruik van PSexec om beheerdersrechten te krijgen. Dat is alleen mogelijk door andere NSA-exploits te gebruiken. Zulke zero-days zijn zeldzaam, en doen juist ook denken aan andere grote cyberwapens zoals Stuxnet, dat destijds gebruik maakte van een ongekend aantal van 4 zero-days.

(Not)Petya

Omdat Petya zo veel geavanceerder lijkt dan veel andere ransomware zeggen sommige beveiligingsonderzoekers dat het virus juist niets te maken heeft met Petya - ze noemen het zelfs NotPetya.

Als we de feiten onder elkaar zetten zien we een schrikbarend beeld:

- De ransomware zit professioneel in elkaar

- De betaalmethode is juist erg simplistisch en wel érg makkelijk offline te halen (wat ook gebeurd is)

- De ransomware is gericht om systemen onbruikbaar te maken in plaats van bestanden

- De ransomware begon in Oekraïne en treft vooral daar veel bedrijven

Vragen

En dat alles doet de vraag rijzen: hebben we hier wel te maken met een vorm van ransomware, of is er meer aan de hand? Gaat het hier niet om een grootschalige sabotage-aanval? En welk doel had die dan?

Te vroeg voor antwoorden

Het is nog veel te vroeg om iets te zeggen over de aard van de aanval. Daarvoor weten we nog te weinig over de details van de ransomware. Bij WannaCry duurde het bijvoorbeeld weken tot de onderzoekers de ransomware linkten aan Noord-Korea - en zelfs dan gaat het nog om alleen een vermoeden.

Voorlopig weten we nog niet genoeg over aanval, maar nu er steeds meer feiten boven tafel komen ontstaat een beeld dat niet bepaald rooskleurig is...

Wanneer je je dekbed gewassen hebt, wil je dat het natuurlijk weer lekker dik en luchtig aanvoelt. Maar wanneer je hem gewoon in de droger gooit, kan de vulling gaan klonteren, zodat er dunne stukken en dikke stukken ontstaan. Dat slaapt niet echt lekker. Om dat te voorkomen, gooien veel mensen er een paar tennisballen bij. Helpt dat echt?

Wat tennisballen in de droger doen

Tijdens het drogen raken de tennisballen telkens het dekbed. Dat helpt vooral bij dons en veren. Als die nat zijn, blijven ze aan elkaar plakken en zakt de vulling in. Door de constante beweging vallen die samengepakte delen weer uiteen, waardoor de vulling zich opnieuw verspreidt. Zo kan de warme lucht overal beter bij en droogt het dekbed gelijkmatiger. De droogtijd wordt er niet korter van, maar het dekbed komt wel duidelijk voller uit de droger.

Hoeveel tennisballen zijn genoeg?

Met één tennisbal in de wasdroger merk je vaak weinig, zeker bij een groot dekbed. Die verdwijnt al snel in de stof en heeft dan weinig effect. Met twee tot vier ballen werkt het beter, omdat ze het dekbed op meerdere plekken tegelijk in beweging houden. Zolang de ballen vrij kunnen bewegen en niet vast blijven zitten in de vulling, doen ze hun werk.

Kun je elke tennisbal gebruiken bij het drogen van een dekbed in de droger?

iet elke tennisbal is even geschikt. Vooral nieuwe of felgekleurde ballen kunnen bij hogere temperaturen kleur afgeven en kleine pluisjes verliezen van de vilten buitenlaag. Dat komt niet vaak voor, maar het risico is wel aanwezig. Gebruik je oudere tennisballen, dan is de kans hierop kleiner. Wil je dat verder beperken, dan kun je de ballen in een oude witte sok stoppen en die dichtknopen. Het effect blijft grotendeels hetzelfde, al is het iets minder uitgesproken dan met losse ballen.

Geef het dekbed genoeg ruimte in de droger

Tennisballen helpen alleen als het dekbed voldoende ruimte heeft om te bewegen. Is de trommel te vol, dan draait alles als één geheel rond en gebeurt er weinig. Wil je grote tweepersoonsdekbedden drogen, dan heb je een droger met een ruime trommel nodig. Heb je die niet zelf? Kijk dan of er een wasserette bij je in de buurt is. Meer ruimte zorgt voor meer beweging en daarmee voor een beter eindresultaat.

Niet elk dekbed kan in de droger

Tennisballen hebben vooral effect bij dons- en verendekbedden. Bij synthetische vulling is dat verschil kleiner en kan de constante beweging van de ballen de vulling na verloop van tijd zelfs vervormen. Wol, zijde en andere natuurlijke materialen mogen meestal helemaal niet in de droger. Check daarom altijd eerst het waslabel voordat je het dekbed in de trommel legt.

Even tussendoor opschudden helpt

Haal het dekbed halverwege het programma even uit de droger en schud het los, alsof je het bed opmaakt. Leg het daarna omgedraaid terug in de trommel. Zo verdeelt de vulling zich opnieuw en kan het dekbed gelijkmatiger drogen.

Wat kun je van het eindresultaat verwachten?

Tennis- of drogerballen zijn vooral een hulpmiddel, geen vervanging voor de juiste drooginstellingen. Droog het dekbed niet te vaak of te heet: kies een lage of middelhoge temperatuur en selecteer een speciaal dons- of beddengoedprogramma als dat op je droger zit. Zorg ook voor voldoende ruimte in de trommel. Als je dan ook nog eens ballen laat meedraaien, heb je er alles aan gedaan om te zorgen dat je dekbed weer lekker vol uit de droger komt!

Waarom start een computer met een SSD binnen enkele seconden op, terwijl een oude harde schijf blijft ratelen? Het vervangen van een HDD door een SSD is de beste upgrade voor een trage laptop of pc. We leggen in dit artikel uit waar die enorme snelheidswinst vandaan komt en wat het fundamentele verschil is tussen deze twee opslagtechnieken.

Iedereen die zijn computer of laptop een tweede leven wil geven, krijgt vaak hetzelfde advies: vervang de oude harde schijf door een SSD. De snelheidswinst is direct merkbaar bij het opstarten en het openen van programma's. Maar waar komt dat enorme verschil in prestaties vandaan? Het antwoord ligt in de fundamentele technologie die schuilgaat onder de behuizing van deze opslagmedia.

De vertraging van mechanische onderdelen

Om te begrijpen waarom een Solid State Drive (SSD) zo snel is, moeten we eerst kijken naar de beperkingen van de traditionele harde schijf (HDD). Een HDD werkt met magnetische roterende platen. Dat kun je vergelijken met een geavanceerde platenspeler. Wanneer je een bestand opent, moet een fysieke lees- en schrijfkop zich naar de juiste plek op de draaiende schijf verplaatsen om de data op te halen. Dat fysieke proces kost tijd, wat we latentie noemen. Hoe meer de data op de schijf verspreid staat, hoe vaker de kop heen en weer moet bewegen en wachten tot de juiste sector onder de naald doordraait. Dit mechanische aspect is de grootste vertragende factor in traditionele opslag.

©Claudio Divizia

Flashgeheugen en directe gegevensoverdracht

Een SSD rekent definitief af met deze wachttijden omdat er geen bewegende onderdelen in de behuizing zitten. De naam 'Solid State' verwijst hier ook naar; het is een vast medium zonder rammelende componenten. In plaats van magnetische platen gebruikt een SSD zogenoemd NAND-flashgeheugen. Dat is vergelijkbaar met de technologie in een usb-stick, maar dan veel sneller en betrouwbaarder. Omdat de data op microchips wordt opgeslagen, is de toegang tot bestanden volledig elektronisch. Er hoeft geen schijf op toeren te komen en er hoeft geen arm te bewegen. De controller van de SSD stuurt simpelweg een elektrisch signaal naar het juiste adres op de chip en de data is direct beschikbaar.

Toegangstijd en willekeurige leesacties

Hoewel de maximale doorvoersnelheid van grote bestanden bij een SSD indrukwekkend is, zit de echte winst voor de consument in de toegangstijd. Een besturingssysteem zoals Windows of macOS is constant bezig met het lezen en schrijven van duizenden kleine systeembestandjes. Een harde schijf heeft daar enorm veel moeite mee, omdat de leeskop als een bezetene heen en weer moet schieten. Een SSD kan deze willekeurige lees- en schrijfopdrachten (random read/write) nagenoeg gelijktijdig verwerken met een verwaarloosbare vertraging. Dat is de reden waarom een pc met een SSD binnen enkele seconden opstart, terwijl een computer met een HDD daar soms minuten over doet.

©KanyaphatStudio

Van SATA naar NVMe-snelheden

Tot slot speelt de aansluiting een rol in de snelheidsontwikkeling. De eerste generaties SSD's gebruikten nog de SATA-aansluiting, die oorspronkelijk was ontworpen voor harde schijven. Hoewel dat al een flinke verbetering was, liepen snelle SSD's tegen de grens van deze aansluiting aan. Moderne computers maken daarom gebruik van het NVMe-protocol via een M.2-aansluiting. Deze technologie communiceert rechtstreeks via de snelle PCIe-banen van het moederbord, waardoor de vertragende tussenstappen van de oude SATA-standaard worden overgeslagen. Hierdoor zijn snelheden mogelijk die vele malen hoger liggen dan bij de traditionele harde schijf.