Er verschijnt meer en meer malware die niet door virusscanners wordt gedetecteerd. Laatst liet IBM al weten dat beveiligingsaanbieders in een wapenwedloop zijn verwikkeld die ze niet kunnen winnen en ook anti-virusbedrijven zien de toekomst somber in. Security.NL sprak met een panel van experts, te weten: Roel Schouwenberg, Senior Anti-Virus Researcher van Kaspersky Lab, Righard Zwienenberg, Chief Research Officer bij Norman, Marius van Oers, virusdeskundige van McAfee, Frank Mulder, Technical Support Manager van Panda Security en Tom Welling, beveiligingsspecialist bij Symantec.

"Het lijkt er momenteel niet op dat we aan de winnende kant zijn," geeft Schouwenberg toe. De strijd tegen virusschrijvers kent echter ook z'n kleine succesjes. Zo waren bepaalde arrestaties van cybercriminelen daadwerkelijk merkbaar in het laboratorium van de Russische virusbestrijder. "Helaas komt er aanzienlijk meer malware bij dan er wegvalt." De positieve impact na de arrestatie van sommige computercriminelen is volgens Schouwenberg bewijs dat de sterke arm der wet een zeer belangrijke rol speelt in wat er in de toekomst gaat gebeuren. "De overheden zijn de enige die wat aan de exponentiële groei van het aantal malware kunnen doen, namelijk de makers arresteren. Helaas is dit gemakkelijker gezegd dan gedaan." Hij doelt daarbij op de explosieve groei van de hoeveelheid malware, die in de eerste twee maanden van dit jaar al meer dan een miljoen nieuwe exemplaren betrof.

Ook bij Norman zijn ze niet positief gestemd. "We zien de toekomst somber in wat de hoeveelheid malware betreft. Die zal als het zo door gaat exponentiële proporties gaan aannemen met vele nieuwe ideeën," zegt Zwienenberg. Hij benadrukt de noodzaak om in nieuwe technologieën te investeren. Techniek alleen is niet voldoende gaat van Oers verder. "Belangrijker nog is het gedrag van de gebruiker waarbij deze verantwoord omgaat met het internet en de zaken die hij daar opdoet of sites die hij/zij bezoekt. Voorkomen blijft tenslotte beter dan genezen."

Bewustzijn bij gebruikers blijft een hekel punt. Aan de ene kant betwijfelen experts het nut ervan, tot op zekere hoogte lijkt het ook z'n vruchten af te werpen. Door alle aandacht in de media en door overheidscampagnes, zouden in Nederland maar zeer weinig besmette systemen zijn. Bewustzijn is geen eindoplossing en volgens IBM's Val Rahmani helemaal niet relevant. "De fantasie dat het onderwijzen van gebruikers en anti-virus de problemen van eindgebruikers oplossen moeten we laten gaan. Het is niet aan de consument om zichzelf te beschermen. Het is niet hun probleem, het is ons probleem."

Om de ontwikkelingen in de gaten te houden hebben ze bij Symantec complete teams in dienst die de ondergrondse gemeenschappen monitoren waar inmiddels een levendige handel is ontstaan in persoonsgegevens, bankaccounts, malwaretoolkits en creditcardgegevens. "Deze kennis wordt vervolgens op allerlei manieren weer hergebruikt in nieuwe beveiligingsstrategieën," aldus Welling.

Hij bevestigt het probleem van de wedloop die zich nu voordoet en ziet daarin ook een rol voor de overheid en Europese Commissie."Betere afspraken maken rondom het afhandelen van incidenten en het rapporteren en publiceren van (serieuze) incidenten is wat ons betreft ook niet overbodig. Wij zijn hiervoor aan het lobbyen bij de Europese Commissie en de Nederlandse overheid. Het is een kwestie van tijd denk ik."

Signatures niet veilig

De toekomst is ook voor signatures onzeker en zal door het aantal malware exemplaren mogelijk niet meer bruikbaar zijn. "Op lange termijn zullen signature databases zo groot worden dat het doorzoeken ervan te veel resources gaat vragen. Dus het traditionele signature model zal ooit tot het verleden behoren," zegt Mulder. Schouwenberg is een stuk voorzichtiger. Misschien dat het signature model ooit tot het verleden zal behoren, ik zie het in de nabije toekomst echter niet gebeuren."

Bij Norman zijn ze een stuk zekerder dat signatures een rol blijven spelen. "Het signature model zal nooit tot het verleden behoren aangezien het een goed(koop) aanvullend model is. Wel is het zo dat het signarure model op zich nooit een goede detectie kan waarborgen. Het is allang achterhaald dat viruscanners alleen met ‘bekende handtekeningen’ werken. Het detectiemodel is veel complexer, alleen in de volksmond heet dit nog steeds signatures," laat Zwienenberg weten.

Hij wordt aangevuld door de analist van Kaspersky, die terecht opmerkt dat als signatures er niet meer zijn, alles op behaviour blockers en dergelijke aankomt. "Een machine opschonen wordt dan onmogelijk, een format zou de enige realistische optie zijn. Daarnaast zijn de file infectors weer in opmars waarvoor hetzelfde geldt - disinfectie wordt onmogelijk." Vanwege de aard van de malware acht hij het onwaarschijnlijk dat signatures echt zullen verdwijnen. "Andere technieken zijn niet foutloos. Het zou er uiteindelijk op neerkomen dat ook die meerdere malen per dag bijgewerkt moeten worden. Gezien de complexiteit van zulke systemen denk ik dat je het dan beter bij signatures kan houden, in welke vorm dan ook."