Ik heb Windows 11 25H2 getest tegen echte ransomware – dit is wat er is gebeurd

Hoe de test is opgezet

Een ransomwaretest tegen Windows 11 is eigenlijk een test van vier afzonderlijke lagen, niet van één antivirusprogramma. In de video wordt de test uitgevoerd op Windows 11 25H2 in een volledig geïsoleerd laboratorium, op een wegwerpmachine die daarna wordt afgeveegd - de enige veilige manier waarop een dergelijke test ooit kan worden uitgevoerd. De vraag die wordt beantwoord is niet simpelweg "heeft de antivirus het ontdekt?", maar hoe elke ingebouwde laag zich gedraagt, in de juiste volgorde, wanneer een echte encryptor wordt losgelaten.

Laag 1 - SmartScreen beoordeelt het dossier aan de deur

De meeste ransomware komt niet als bij toverslag. Het komt binnen als een download, een e-mailbijlage of een bestand gekopieerd van een USB-stick - en het doet zich meestal voor als iets anders: een factuur, een cv, een softwarekrak, een rekening. SmartScreen is het controlepunt bij die deur. Wanneer u een bestand uitvoert dat van internet afkomstig is, controleert Windows de reputatie ervan. Een bestand dat miljoenen pc's veilig hebben uitgevoerd, gaat stilletjes voorbij; een gloednieuw of onbekend bestand activeert het blauwe waarschuwingsscherm waar zoveel mensen doorheen klikken zonder te lezen.

Die waarschuwing is geen versiering; het is de laag die precies werkt zoals ontworpen en die aangeeft dat dit bestand geen trackrecord heeft. De eerlijke limiet: SmartScreen beoordeelt reputatie, niet bedoelingen. Voor een bestand dat nieuw maar onschadelijk is, wordt gewaarschuwd, en voor een bestand dat zich wijd heeft verspreid voordat iemand het heeft gemeld, kan het passeren. Het is een sterk eerste filter, geen oordeel.

Laag 2 - Reputatie- en cloudcontroles achter de schermen

Defender vertrouwt niet alleen op de handtekeningendatabase die op uw pc is opgeslagen. Als door de cloud geleverde bescherming is ingeschakeld, wordt een verdacht bestand ook gecontroleerd aan de hand van de voortdurend bijgewerkte cloudintelligentie van Microsoft, en automatische monsterinzending kan een twijfelachtig bestand verzenden voor diepgaandere analyse. Zo kan een dreiging die een uur geleden ergens op de wereld verscheen, vandaag nog op uw pc worden herkend, in plaats van na de volgende database-update.

Deze twee schakelaars vind je onder Windows-beveiliging > Virus- en bedreigingsbeveiliging > Instellingen voor virus- en bedreigingsbeveiliging > Instellingen beheren. Op veel pc's zijn ze standaard ingeschakeld, maar op pc's waarop iemand ooit Windows heeft "geoptimaliseerd" of Defender-functies heeft uitgeschakeld, zijn ze stilletjes uitgeschakeld. Dat ene verschil verklaart waarom dezelfde test anders kan eindigen op twee ogenschijnlijk identieke machines.

Laag 3: De verdediger houdt gedrag in de gaten, niet alleen bestanden

De klassieke antivirustaak vergelijkt bestanden met bekende slechte handtekeningen. Ransomware verslaat die taak gemakkelijk, omdat elke campagne vers verpakte bestanden kan gebruiken die niemand eerder heeft gezien. Defender houdt dus ook het gedrag in de gaten: een programma dat plotseling binnen enkele seconden honderden documenten, foto's en spreadsheets begint te openen en herschrijven, gedraagt zich als ransomware, wat de bestandsnaam ook zegt - en gedragsmonitoring plus realtime bescherming bestaan om precies dat patroon te onderbreken.

Gedragsobservatie is krachtig, maar niet perfect. Er zijn een paar bestanden aan activiteit nodig voordat het patroon onmiskenbaar is, en een snelle encryptor op een snelle SSD is snel. Dit is de eerlijke reden waarom geen enkele eerlijke expert belooft dat antivirus alleen je veilig maakt - en waarom de volgende laag bestaat.

Laag 4 - Gecontroleerde maptoegang bewaakt de bestanden zelf

Gecontroleerde maptoegang verandert de vraag. In plaats van te vragen "is dit programma slecht?", wordt gevraagd "staat dit programma op de toegestane lijst voor het aanraken van uw belangrijke mappen?" Documenten, afbeeldingen, video's, muziek en bureaublad zijn standaard beveiligd en u kunt uw eigen werkmappen toevoegen. Elk programma dat niet wordt vertrouwd en bestanden in die mappen probeert te wijzigen, wordt geblokkeerd, inclusief een gloednieuwe encryptor die de lagen 1 tot en met 3 nog nooit hebben gezien.

Dit is de valkuil die de meeste uitkomsten in de praktijk bepaalt: Gecontroleerde maptoegang is standaard UIT bij een normale Windows-installatie, omdat een te strikte beveiliging af en toe een legitiem programma kan blokkeren. U schakelt dit in via Windows-beveiliging > Bescherming tegen virussen en bedreigingen > Bescherming tegen ransomware > Bescherming tegen ransomware beheren. Van alle instellingen in deze handleiding is dit de instelling die op de meeste thuis-pc's ontbreekt.

Sabotagebescherming - de bewaker van de bewakers

Elke laag hierboven is afhankelijk van het feit of de instellingen ingeschakeld blijven. Moderne malware weet dit en een van de eerste stappen is vaak het stilletjes uitschakelen van Defender. Tamper Protection is er om precies dat te stoppen: als deze optie is ingeschakeld, kunnen de belangrijkste instellingen van Defender niet worden gewijzigd door apps of scripts - alleen door u, in de Windows Security-app. Het bevindt zich op dezelfde pagina Instellingen beheren als de cloud schakelt in stap 3.

In een test (en bij een echt incident) is dit het verschil tussen verdedigingen die terugvechten en verdedigingen die stilletjes werden verwijderd voordat het gevecht begon. Controleer of deze aanstaat; het duurt tien seconden.

De laag buiten Windows: uw offline back-up

Elke laag erboven probeert de aanval te stoppen. De back-uplaag gaat ervan uit dat de aanval is geslaagd - en maakt dat niet uit. Ransomware kan een kopie niet versleutelen waar hij niet bij kan, dus één back-upkopie moet zich ergens bevinden waar de geïnfecteerde pc niet naar kan schrijven: een externe schijf die na de back-up wordt losgekoppeld, of cloudopslag met de juiste versiegeschiedenis.

Het oordeel - een checklist, geen score

Een laboratoriumtest laat zien hoe deze lagen zich gedragen ten opzichte van de monsters die op die dag met die instellingen zijn gekozen. Het is niet voor altijd een winnaar: aanvallers veranderen voortdurend van verpakking en trucs, en Microsoft werkt de informatie voortdurend bij. Windows 11 25H2 zet hetzelfde gelaagde model voort in plaats van het te vervangen. Het praktische verschil voor de meeste gebruikers is de up-to-date intelligentie en standaardinstellingen, en niet een gloednieuw schild.

Het eerlijke resultaat van de test is dus een checklist, geen score. Als u deze vijf goed heeft, heeft u het sterkste deel van elk testresultaat op uw eigen pc gereproduceerd: (1) respecteer de SmartScreen-waarschuwing, (2) door de cloud geleverde beveiliging aan, (3) Sabotagebeveiliging aan, (4) Gecontroleerde maptoegang ingeschakeld, (5) één back-up offline gehouden. Bekijk de volledige video hierboven om de test zelf te zien en pas vervolgens de instellingen toe.