Malware

Wat is malware?

Malware is kwaadaardige software die is ontworpen om systemen, netwerken of gegevens te beschadigen, te verstoren, te bespioneren of ongeoorloofd te gebruiken. Het woord is een samentrekking van malicious software en omvat onder meer virussen, wormen, trojans, ransomware, spyware en wipers. Malware vormt een van de grootste digitale dreigingen voor zowel IT- als OT-omgevingen: in kantoornetwerken gaat het meestal om data en geld, in industriële omgevingen kan malware productie stilleggen of zelfs fysieke schade veroorzaken.

🧬 Welke soorten malware zijn er?

Malware wordt ingedeeld naar de manier waarop het zich verspreidt en naar wat het doet. Eén aanval combineert vaak meerdere typen: een trojan opent de deur, een worm verspreidt zich en ransomware of een wiper levert de schade.

🧠 Hoe komt malware binnen?

De meeste besmettingen beginnen in het IT-netwerk en bereiken OT pas via een tweede stap. De belangrijkste infectievectoren zijn:

• Phishing - e-mails met kwaadaardige bijlagen of links naar nepwebsites; bij BlackEnergy in 2015 begon het met Office-bijlagen gericht aan medewerkers van energiebedrijven
• USB-sticks en andere verwisselbare media - de klassieke route naar geïsoleerde netwerken; Stuxnet stak op deze manier een air gap over
• Kwetsbaarheden in software - bekende CVE’s in ongepatchte systemen en soms zero-days
• Toegang op afstand - slecht beveiligde RDP-, VPN- of TeamViewer-verbindingen van leveranciers zonder goede firewall, VPN of MFA
• Supply chain - besmette updates, software of hardware van leveranciers (Supply Chain-risico); NotPetya verspreidde zich in 2017 via een gekaapte update van Oekraïense boekhoudsoftware
• Netwerkapparatuur aan de rand - kwetsbare routers en firewalls; bij FrostyGoop kwamen de aanvallers vermoedelijk binnen via een kwetsbare MikroTik-router die vanaf internet bereikbaar was

🏭 Welke malware heeft industriële systemen aangevallen?

Er bestaat inmiddels een kleine groep malwarefamilies die specifiek is gebouwd om industriële besturingssystemen te manipuleren. Daarnaast raakt gewone IT-malware geregeld de OT-omgeving.

De les uit deze reeks: OT-malware wordt steeds generieker. Waar Stuxnet maatwerk voor één installatie was, richten PIPEDREAM en FrostyGoop zich op breed gebruikte protocollen en apparaten.

💥 Wat zijn de risico’s van malware?

• Productie-uitval - stilstand van lijnen of complete fabrieken, ook wanneer alleen het IT-netwerk is geraakt
• Fysieke schade en veiligheid - gemanipuleerde besturingen of uitgeschakelde veiligheidssystemen kunnen installaties en mensen in gevaar brengen
• Datalekken - verlies van intellectueel eigendom, recepturen of persoonsgegevens
• Langdurig herstel - versleutelde of gewiste systemen moeten vaak volledig opnieuw worden opgebouwd
• Reputatieschade en verlies van vertrouwen bij klanten en toezichthouders
• Nalevingsproblemen - meldplicht onder NIS2 en de Cyberbeveiligingswet, en onder de AVG bij een datalek

🔐 Waarom is antivirus in OT lastig?

Klassieke antivirus werkt prima op kantoorpc’s, maar botst in OT op een aantal praktische beperkingen:

• Leveranciersgoedkeuring - DCS- en SCADA-leveranciers ondersteunen hun systeem vaak alleen met een goedgekeurde antivirusversie en geteste signature-updates
• Prestaties - realtime scannen kan een HMI of historian vertragen; daarom worden procesmappen vaak uitgesloten
• Geen internet - systemen in een geïsoleerd netwerk krijgen signatures alleen via een beheerde updateserver in de DMZ
• Verouderde besturingssystemen - oudere Windows-versies krijgen geen updates meer van de antivirusleverancier
• Geen agent mogelijk - PLC’s, RTU’s en andere embedded apparaten kunnen geen beveiligingssoftware draaien

Daarom leunt OT meer op application whitelisting (alleen goedgekeurde programma’s mogen draaien) en op passieve netwerkmonitoring dan op signatures alleen.

✅ Hoe beschermt u OT en IT tegen malware?

IEC 62443-3-3 vraagt met eis SR 3.2 bescherming tegen kwaadaardige code, met een uitbreiding voor de toegangs- en uitgangspunten van een zone, en met SR 2.3 controle op het gebruik van draagbare en mobiele apparaten. NIST SP 800-82 (revisie 3, 2023) geeft vergelijkbare richtlijnen voor OT-omgevingen. Een praktische aanpak in stappen:

1. Inventariseer - breng alle systemen, besturingssystemen en verbindingen in kaart; wat u niet kent kunt u niet beschermen
2. Segmenteer - scheid IT en OT met een DMZ en deel OT op in zones met netwerksegmentatie, segmentatie en VLAN’s, zodat een worm zich niet vrij kan verspreiden
3. Beheers verwisselbare media - USB-controle met een scanstation (sheep dip) en het blokkeren van onbekende USB-apparaten
4. Beperk uitvoerbare code - application whitelisting op HMI’s en engineering stations, plus hardening door onnodige diensten uit te schakelen
5. Beveilig toegang op afstand - via een jump server met MFA en tijdgebonden toegang voor leveranciers, in lijn met Zero Trust
6. Detecteer - EDR waar de leverancier dat toestaat, anomaliedetectie op het OT-netwerk en centrale logging in een SIEM
7. Patch risicogestuurd - Patchmanagement afgestemd op onderhoudsvensters en leveranciersadvies
8. Train medewerkers - awareness tegen social engineering en phishing
9. Bereid herstel voor - offline of immutable back-ups van servers én PLC-programma’s, een geoefend incident response plan en disaster recovery-planning

Een air gap alleen is geen garantie: Stuxnet bewees dat USB-sticks, laptops van leveranciers en servicekoffers de scheiding kunnen overbruggen.

🇳🇱 Wat betekent malware voor Nederlandse organisaties?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van NIS2. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor naar schatting meer dan 8.000 organisaties. Essentiële en belangrijke entiteiten moeten passende maatregelen nemen tegen onder meer malware en significante incidenten melden: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand. Het NCSC publiceert dreigingsinformatie en waarschuwt organisaties bij concrete besmettingen. Voor vitale aanbieders zoals drinkwater- en energiebedrijven is malware op OT-systemen een van de belangrijkste scenario’s in risicoanalyses.

❓ Veelgestelde vragen

Wat is het verschil tussen een virus en malware?

Malware is de verzamelnaam voor alle kwaadaardige software. Een virus is één specifiek type malware dat zich aan bestanden hecht en zich verspreidt wanneer die bestanden worden geopend. Wormen, trojans, ransomware en spyware zijn andere vormen van malware.

Kan malware een PLC besmetten?

Ja, maar alleen gespecialiseerde malware zoals Stuxnet, TRITON en PIPEDREAM kan PLC-logica of -firmware aanpassen. Meestal besmet malware eerst een Windows-systeem zoals een engineering station en gebruikt dat vervolgens om nieuwe code naar de PLC te sturen. Integriteitscontrole van PLC-programma’s en het beveiligen van engineering stations verkleinen dat risico.

Is een air gap voldoende bescherming tegen malware?

Nee, een air gap verkleint het risico maar sluit malware niet uit. USB-sticks, laptops van leveranciers en verborgen netwerkverbindingen kunnen de scheiding overbruggen, zoals Stuxnet in 2010 liet zien. Een air gap moet daarom altijd worden gecombineerd met USB-controle, whitelisting en monitoring.

Waarom is ransomware gevaarlijk voor OT als het alleen IT raakt?

Ransomware in het IT-netwerk kan planning, facturatie en de koppeling met OT onbruikbaar maken, waardoor bedrijven productie uit voorzorg stilleggen. Bij Colonial Pipeline in 2021 bleef de OT-omgeving onaangetast, maar lag de pijpleiding toch ongeveer vijf dagen stil. Goede scheiding tussen IT en OT beperkt dit domino-effect.

Werkt EDR in een OT-omgeving?

EDR werkt op Windows-servers, HMI’s en engineering stations in OT, mits de systeemleverancier de software heeft goedgekeurd en de agent in een monitoringmodus wordt getest. Op PLC’s en andere embedded apparaten kan EDR niet draaien. Daar vult passieve netwerkmonitoring de detectie aan.

Hoe herkent u een malware-infectie in OT?

Signalen van malware in OT zijn onverwachte netwerkverbindingen, nieuwe apparaten of protocollen, gewijzigde PLC-programma’s en trage of vastlopende HMI’s. Passieve netwerkmonitoring en vergelijking met een bekende baseline maken deze afwijkingen zichtbaar. Een IOC-feed van het NCSC of een leverancier helpt bekende malware te herkennen.

📌 Samengevat

Malware is kwaadaardige software die systemen of data beschadigt, bespioneert of misbruikt, en in OT-omgevingen kan leiden tot productie-uitval en zelfs fysieke schade. Bescherming vraagt om een combinatie van segmentatie, USB-controle, whitelisting, detectie, back-ups en bewuste medewerkers, afgestemd op de beperkingen van industriële systemen.