Wat is een computervirus?
Een computervirus is een type malware dat zich vermeerdert door zijn eigen code in andere programma’s, bestanden of opstartsectoren te kopiëren, en dat pas actief wordt wanneer een gebruiker of systeem die besmette ‘gastheer’ opent of uitvoert. Net als een biologisch virus heeft een computervirus dus een host nodig: zonder geïnfecteerd bestand kan het zich niet verspreiden. Dat onderscheidt het van een worm, die als zelfstandig programma zelf over het netwerk reist. In IT-omgevingen is het klassieke virus een beetje naar de achtergrond verdwenen, maar in OT leeft het voort op oude Windows-systemen, USB-sticks en projectbestanden die van machine naar machine gaan.
🧠 Hoe werkt een computervirus?
De levenscyclus van een virus bestaat meestal uit vier fasen:
- Slapend (dormant) - het virus zit in een bestand of opstartsector en doet nog niets. Niet elk virus heeft deze fase.
- Verspreiding (propagation) - zodra de host wordt uitgevoerd, kopieert het virus zich naar andere programma’s, documenten, verwisselbare media of netwerkshares.
- Activering (triggering) - een voorwaarde, zoals een datum, een aantal opstarts of een bepaalde gebruikersactie, zet de payload in gang.
- Uitvoering (execution) - de payload doet zijn werk. Dat kan onschuldig zijn, zoals een melding op het scherm, maar ook bestanden wissen, data stelen of een achterdeur openen voor andere malware.
Het besmette bestand blijft daarbij vaak gewoon werken, zodat de gebruiker niets merkt. Daardoor kan een virus zich maandenlang ongemerkt verspreiden via gedeelde mappen, installatiebestanden en USB-sticks.
🧬 Welke soorten virussen zijn er?
Virussen worden ingedeeld naar de plek waar ze zich nestelen en de manier waarop ze detectie ontwijken.
| Soort | Werking | Voorbeeld of OT-relevantie |
|---|---|---|
| Bestandsvirus (file infector) | Hecht zich aan uitvoerbare bestanden (.exe, .dll) | Besmette installers of tools op een engineering station |
| Bootsectorvirus | Nestelt zich in de bootsector of Master Boot Record en start vóór het besturingssysteem | Brain (1986), verspreid via diskettes; tegenwoordig deels opgevangen door Secure Boot |
| Macrovirus | Geschreven in een macrotaal en verstopt in documenten | Melissa (1999) in Word-documenten; Excel-rapportages met macro’s in de fabriek |
| Residentvirus | Blijft in het werkgeheugen en besmet elk bestand dat wordt geopend | Lastig te verwijderen zonder herstart vanaf schoon medium |
| Polymorf virus | Verandert bij elke besmetting zijn versleutelingsroutine | Omzeilt eenvoudige signatuurdetectie van antivirus |
| Metamorf virus | Herschrijft zijn complete code bij elke kopie | Vraagt om gedragsanalyse in plaats van signaturen |
🕰️ Hoe zijn computervirussen ontstaan?
De geschiedenis van virussen laat goed zien hoe de verspreidingsroute meebeweegt met de techniek:
| Jaar | Gebeurtenis | Betekenis |
|---|---|---|
| 1971 | Creeper (Bob Thomas, BBN) verspreidt zich over ARPANET; Reaper wordt geschreven om hem te verwijderen | Eerste zelfkopiërende programma, eerder een worm dan een virus |
| 1982 | Elk Cloner (Richard Skrenta) besmet Apple II-diskettes | Een van de eerste virussen ‘in het wild’ |
| 1984 | Fred Cohen publiceert Computer Viruses - Theory and Experiments; de term ‘virus’ komt van Len Adleman | Wetenschappelijke basis en naamgeving |
| 1986 | Brain, gemaakt door de broers Basit en Amjad Farooq Alvi in Lahore | Eerste virus voor de IBM PC, via de bootsector |
| 1999 | Melissa mailt zichzelf naar de eerste 50 contacten uit het adresboek | Doorbraak van macrovirussen via e-mail |
| 2022 | Microsoft blokkeert standaard macro’s in Office-bestanden van internet | Macrovirussen verliezen hun belangrijkste route |
Sinds de jaren 2000 zijn wormen, trojans en ransomware veel belangrijker geworden dan klassieke virussen. Toch melden beveiligingsleveranciers nog steeds virusdetecties op industriële computers, juist omdat daar oude systemen en verwisselbare media blijven bestaan.
🔄 Wat is het verschil tussen een virus, worm en trojan?
Virus, worm en trojan beschrijven vooral hoe malware zich verspreidt. Ransomware, spyware en wipers beschrijven wat de malware doet. Eén aanval kan dus beide combineren: een virus kan ransomware als payload hebben.
| Type | Verspreiding | Host nodig? | Gebruikersactie nodig? |
|---|---|---|---|
| Virus | Kopieert zich in andere bestanden of bootsectoren | Ja | Ja, het besmette bestand moet worden geopend |
| Worm | Reist zelfstandig via netwerken en kwetsbaarheden | Nee | Nee |
| Trojan | Doet zich voor als legitieme software | Nee | Ja, de gebruiker installeert het zelf |
| Ransomware | Versleutelt data tegen losgeld; komt binnen via een van bovenstaande routes | Afhankelijk van de route | Afhankelijk van de route |
| Spyware | Verzamelt stiekem informatie; komt binnen via een van bovenstaande routes | Afhankelijk van de route | Afhankelijk van de route |
In de praktijk zijn moderne families vaak hybride. W32.Ramnit bijvoorbeeld besmet bestanden als een virus, verspreidt zich via USB-sticks en steelt gegevens.
🏭 Wat betekenen virussen voor OT-omgevingen?
In industriële omgevingen draaien HMI’s, SCADA-servers, historians en engineering stations vaak op Windows, soms op versies die al jaren geen beveiligingsupdates meer krijgen (legacy systemen). Een virus besmet in eerste instantie deze Windows-hosts, niet de PLC zelf. De gevolgen kunnen toch groot zijn:
- Verlies van zicht en bediening - een vastgelopen of opnieuw te installeren HMI betekent dat operators de installatie niet meer kunnen bedienen
- Besmette projectbestanden - Stuxnet kopieerde zichzelf naar Step 7-projectbestanden en USB-sticks en bereikte zo de PLC’s achter een air gap
- Verspreiding via servicelaptops en USB - leveranciers en monteurs nemen besmette media mee van klant naar klant
- Uitval door de schoonmaak - herinstallatie van een engineering station of SCADA-server vraagt licenties, projectdata en vaak de leverancier
Een bekend voorbeeld is de kerncentrale Gundremmingen in Duitsland. In april 2016 maakte exploitant RWE bekend dat in blok B W32.Ramnit en Conficker waren gevonden op het computersysteem van de splijtstofwisselmachine, een systeem dat in 2008 was uitgebreid voor dataverwerking en visualisatie. Daarnaast werd malware aangetroffen op 18 verwisselbare media. Omdat het systeem niet met internet was verbonden, had de besmetting geen invloed op de bedrijfsvoering, maar het laat zien hoe virussen via USB en onderhoudssystemen in de meest afgeschermde omgevingen terechtkomen.
Ook de cijfers bevestigen dat het probleem niet verdwenen is. Volgens Kaspersky ICS CERT werd in 2024 per kwartaal op ongeveer 22 tot 24 procent van de industriële computers met hun software kwaadaardige code geblokkeerd. Noord-Europa scoorde met circa 10 tot 12 procent het laagst. Specifiek virussen werden op ongeveer 1,5 procent van die computers tegengehouden: een klein maar hardnekkig aandeel.
🛡️ Hoe beschermt u OT-systemen tegen virussen?
Bescherming tegen virussen volgt het principe van defense in depth: geen enkele maatregel is voldoende, de lagen samen wel. IEC 62443-3-3 vraagt in eis SR 3.2 (malicious code protection) om bescherming tegen kwaadaardige code op systemen en op de toegangspunten van een zone.
- Beheers verwisselbare media - laat alleen gescande en geregistreerde USB-sticks toe via USB Control en een scanstation buiten de OT-zone.
- Gebruik antivirus waar de leverancier dat ondersteunt - stem antivirus of EDR af op de vrijgaven van de systeemleverancier en verdeel signatuurupdates via een gecontroleerd pad in plaats van rechtstreeks vanaf internet.
- Pas application whitelisting toe - Application Whitelisting laat alleen goedgekeurde programma’s draaien, zodat een besmet of onbekend bestand niet start. Dit werkt goed op statische systemen zoals HMI’s.
- Segmenteer het netwerk - netwerksegmentatie volgens het Zone and Conduits-model beperkt hoe ver een besmetting komt.
- Patch en hard systemen - patchmanagement dicht kwetsbaarheden; schakel autorun en onnodige macro’s uit.
- Maak en test back-ups - een schone, offline back-up van engineeringprojecten en serverimages maakt herstel na een besmetting snel en betrouwbaar.
- Train medewerkers en leveranciers - security awareness over USB-gebruik, phishing en macro’s voorkomt de eerste klik.
Test een scanner of scanstation met het EICAR-testbestand: een onschuldige standaardtekenreeks van 68 bytes die elke virusscanner als testvirus herkent, zonder dat er echte malware in de OT-omgeving komt. Vindt u toch een besmetting, volg dan uw incident response-procedure en meld een significant incident waar dat verplicht is bij het NCSC of de sectorale CSIRT.
❓ Veelgestelde vragen
Is een computervirus hetzelfde als malware?
Nee, een computervirus is een specifieke soort malware. Malware is de verzamelnaam voor alle kwaadaardige software, waaronder ook wormen, trojans, ransomware en spyware. Een computervirus onderscheidt zich doordat het zich verspreidt door zijn code in andere bestanden of opstartsectoren te kopiëren.
Kan een computervirus een PLC besmetten?
Een gewoon computervirus draait op Windows en besmet niet de firmware of het programma van een PLC. Gerichte malware zoals Stuxnet liet wel zien dat een aanvaller via besmette projectbestanden op een engineering station PLC-code kan aanpassen. De PLC raakt dus meestal indirect betrokken, via de Windows-systemen waarmee hij wordt geprogrammeerd.
Hoe komt een computervirus in een afgeschermd OT-netwerk?
Een computervirus bereikt een afgeschermd OT-netwerk meestal via USB-sticks, servicelaptops van leveranciers, besmette installatiebestanden of gedeelde netwerkmappen. Een air gap houdt een virus daarom niet tegen zolang er media en laptops in en uit gaan. Een scanstation en strikte USB-regels zijn daarom essentieel.
Is antivirus op HMI’s en SCADA-servers verstandig?
Antivirus op HMI’s en SCADA-servers is verstandig, mits de systeemleverancier de combinatie van software en versie heeft vrijgegeven. Een niet-geteste scanner kan bestanden blokkeren of de prestaties verstoren. Op systemen die nauwelijks veranderen is application whitelisting vaak een betere of aanvullende maatregel.
Bestaan macrovirussen nog?
Macrovirussen bestaan nog, maar komen veel minder voor sinds Microsoft in 2022 macro’s in Office-bestanden van internet standaard is gaan blokkeren. In fabrieken worden Excel-bestanden met macro’s echter nog veel gebruikt voor rapportages en receptbeheer. Beperk macro’s daarom tot ondertekende en goedgekeurde bestanden.
Wat moet ik doen als ik een virus vind op een OT-systeem?
Isoleer het besmette systeem van het netwerk zonder de installatie onveilig te maken en waarschuw de operator en uw OT-securityteam. Onderzoek welke andere systemen en USB-sticks besmet kunnen zijn en herstel vanaf een schone back-up of herinstallatie. Leg het incident vast en meld het waar dat wettelijk verplicht is.
📌 Samengevat
Een computervirus is malware die zich verspreidt door zichzelf in andere bestanden te kopiëren en die pas actief wordt als die bestanden worden geopend. In IT is het klassieke virus grotendeels verdrongen door wormen en ransomware, maar in OT blijft het een reëel risico door oude Windows-systemen, USB-sticks en servicelaptops. Gelaagde maatregelen beperken dat risico tot een beheersbaar niveau.
Een virus heeft een gastheer en een klik nodig: wie verwisselbare media, software en netwerkverbindingen naar de OT-omgeving beheerst, neemt het virus zijn route af - zeker in omgevingen waar continuïteit cruciaal is, zoals industriële automatisering.