Hoe detecteert machine learning malware? De stap-voor-stap uitleg

De korte versie: signatuurgebaseerde antivirussoftware is als een uitsmijter met een fotoboek — staat je gezicht er niet in, dan kom je gewoon binnen. Machine learning-detectie is als een uitsmijter die duizenden vechtpartijen heeft bestudeerd en geleerd heeft lichaamstaal te lezen — zelfs als je een onbekende bent, verraadt je houding je. Dat onderscheid is wat "we hebben het virus van gisteren gevangen" scheidt van "we hebben een zero-day-aanval gevangen die nog niemand had gecatalogiseerd." Hieronder: wat signaturen eigenlijk doen, waarom ze niet voldoende zijn, hoe ML-classifiers werken, de drie belangrijkste benaderingen, wat Casper's Cloak doet op de netwerklaag specifiek, en de eerlijke beperkingen.

Signatuurgebaseerde vs. ML-gebaseerde detectie in één oogopslag

Voordat we ingaan op de mechanismen, hier de vergelijking op hoog niveau. Beide benaderingen hebben hun plaats; de vraag is welke bedreigingen elk goed aanpakt.

Het antwoord in de praktijk is "gebruik beide." Signaturen zijn snel en nauwkeurig voor bekende bedreigingen; ML pakt de nieuwe op. De meeste moderne beveiligingsproducten combineren ze. De interessante vraag is hoe het ML-gedeelte werkt — en dat is waar we de rest van dit artikel aan besteden.

Wat signatuurgebaseerde detectie doet (en waarom het niet voldoende is)

Signatuurgebaseerde detectie is conceptueel eenvoudig: een beveiligingsonderzoeker analyseert een nieuw stuk malware, extraheert een unieke bytereeks (de "signatuur"), en voegt die toe aan een database. Elk bestand dat je antivirusprogramma scant, wordt vergeleken met die database. Overeenkomst gevonden? In quarantaine. Geen overeenkomst? Schoon.

Dit model werkte goed tot in de vroege jaren 2000, toen er tientallen nieuwe malware per dag verschenen en menselijke analisten dat konden bijhouden. Het AV-TEST Instituut registreert nu meer dan 450.000 nieuwe malware en potentieel ongewenste applicaties per dag. Geen team van menselijke analisten schrijft 450.000 signaturen per dag. Zelfs geautomatiseerde signatuurgeneratie kan het tempo niet bijhouden, omdat malware-auteurs polymorfisme gebruiken — ze veranderen de bytereeks van de code bij elke distributie terwijl het gedrag bewaard blijft. Een polymorfe virus heeft mogelijk duizend varianten, elk met een andere hash, elk vereist een andere signatuur. Het spel is gerigged tegen statische patroonvergelijking.

Het tweede probleem is het blootstellingsvenster. Tussen het moment dat nieuwe malware in het wild verschijnt en het moment dat een signatuur ervoor op je apparaat terechtkomt, is er een gat. Dat gat bedroeg gemiddeld 24–48 uur in 2020; met snellere pipeline-automatisering is het nu korter, maar het is nooit nul. Tijdens dat gat is je signatuurgebaseerde antivirussoftware volledig blind voor de nieuwe bedreiging. In dat gat leven zero-day-aanvallen.

Het derde probleem is mobiel. Traditioneel signatuurgebaseerd scannen vereist het scannen van elk bestand tegen een grote database — een operatie die de batterij leegtrekt en opslagruimte vraagt voor de signatuur-database zelf. iOS staat apps niet eens toe andere apps hun bestanden te scannen. Op mobiel is een traditionele AV-engine op de achtergrond draaien ofwel onpraktisch (batterijverbruik Android) of architecturaal onmogelijk (iOS-sandboxing). De detectie moet ergens anders plaatsvinden.

Hoe ML-modellen leren hoe "kwaadaardig" eruitziet

Machine learning-detectie hanteert een fundamenteel andere aanpak. In plaats van individuele malware-specimens te memoriseren, train je een model op features — meetbare kenmerken die doorgaans verschillen tussen kwaadaardige en goedaardige software (of kwaadaardig en goedaardig netwerkgedrag). Het model leert een beslissingsgrens: "dingen met deze feature-combinaties zijn waarschijnlijk kwaadaardig; dingen met die combinaties zijn waarschijnlijk veilig."

Stap 1: Verzamel een trainingsset

Je hebt gelabelde voorbeelden nodig — bekende kwaadaardige samples en bekende goedaardige samples. Voor bestandsgebaseerde ML betekent dit doorgaans miljoenen PE (Portable Executable)-bestanden uit threat intelligence-feeds, publieke repositories zoals VirusTotal, zakelijke honeypots en malware-uitwisselingsconsortia. Voor netwerkgebaseerde ML betekent dit gelabelde DNS-querylogs, netwerk-flow-records en domeinregistratiemetadata — miljoenen bekende kwaadaardige domeinen en miljoenen bekende goedaardige.

Stap 2: Extraheer features

Ruwe data is niet direct bruikbaar voor een classifier. Je transformeert elk sample naar een feature-vector — een lijst van getallen die de kenmerken ervan beschrijft. Voor een Windows-uitvoerbaar bestand kunnen features zijn: de entropie van elke codesectie (verpakte/versleutelde code heeft hogere entropie), geïmporteerde API-aanroepen (malware importeert doorgaans API's voor procesinjectie en registerbewerking), de verhouding van lees-schrijf tot alleen-lezen secties, of het bestand een geldige digitale handtekening heeft, stringpatronen in de binary. Voor een domeinnaam kunnen features zijn: domeinleeftijd, registrar, WHOIS-privacystatus, TLS-certificaatattributen, DNS-recordgeschiedenis, lexicale structuur van de domeinnaam zelf.

Stap 3: Train een classifier

Met gelabelde feature-vectoren in de hand train je een machine learning-model — gradient-boosted trees (XGBoost, LightGBM), random forests, diepe neurale netwerken, of ensemblecombinaties van meerdere. Het model leert welke feature-combinaties correleren met "kwaadaardig" en welke met "goedaardig." Kruisvalidatie en holdout-testsets zorgen ervoor dat het model generaliseert naar ongeziene samples in plaats van de trainingsset te memoriseren.

Stap 4: Implementeer voor inferentie

Het getrainde model wordt geïmplementeerd waar het nieuwe samples in realtime kan beoordelen. Voor bestandsgebaseerde detectie is dat doorgaans een endpoint-agent op het apparaat van de gebruiker of een cloud-sandbox. Voor netwerkgebaseerde detectie is het een classifier die inline zit op de DNS-resolver of netwerkproxy. Een nieuw sample arriveert, features worden geëxtraheerd, het model beoordeelt het (doorgaans als een kans tussen 0.0 en 1.0), en een drempelwaarde bepaalt de actie — blokkeren, toestaan of markeren voor menselijke beoordeling.

Het cruciale verschil met signaturen: het model heeft dit specifieke sample nooit eerder gezien, maar het herkent het patroon. Een nieuwe polymorfe variant van bestaande ransomware verandert zijn bytereeks maar importeert nog steeds dezelfde versleuteling-API's, heeft nog steeds hoge-entropie-secties, heeft nog steeds geen geldig certificaat — het model pakt het op omdat de features overeenkomen met het kwaadaardige patroon, ook al heeft geen mens een regel geschreven voor deze variant.

De drie belangrijkste ML-benaderingen voor malwaredetectie

ML-gebaseerde detectie is niet één ding — het zijn minstens drie verschillende benaderingen, elk werkend op een andere laag van de stack en verschillende categorieën bedreigingen opvangend.

1. Statische analyse: het bestand inspecteren zonder het uit te voeren

Statische ML-modellen analyseren de structuur, metadata en inhoud van het bestand zonder het uit te voeren. Features zijn onder meer PE-headerattributen, sectie-entropie, importtabellen, ingebedde strings, resourcemetadata, packeridentificatie, en in toenemende mate ruwe bytereeksen gevoerd in convolutionele neurale netwerken die hun eigen features rechtstreeks uit de binary leren.

Sterke punten: snel (geen sandbox-uitvoering nodig), schaalt naar miljoenen bestanden, vangt veel standaard bedreigingen op. Zwakke punten: kan worden ontdoken door obfuscatie, packing of metamorfe code die zichzelf herstructureert. Een voldoende gemotiveerde aanvaller kan zijn binary transformeren totdat de statische features er goedaardig uitzien. Het MITRE ATT&CK-framework documenteert deze ontwijkingstechnieken onder Defense Evasion (TA0005).

2. Dynamische/gedragsmatige analyse: het bestand uitvoeren en kijken wat het doet

Dynamische analyse voert het verdachte bestand uit in een sandbox (een geïnstrumenteerde virtuele machine) en registreert het runtimegedrag: welke bestanden het leest en schrijft, welke registersleutels het aanpast, welke netwerkverbindingen het opent, welke processen het spawnt, welke systeemaanroepen het doet. Een ML-model getraind op deze gedragssporen kan het sample classificeren op basis van wat het doet, niet hoe het eruitziet.

Sterke punten: veel moeilijker te ontwijken — zelfs als de binary geobfusceerd is, moet het gedrag zich ontvouwen zodat de malware zijn doel bereikt. Ransomware moet bestanden versleutelen; een keylogger moet het toetsenbord koppelen; een C2-beacon moet thuis bellen. Het gedrag is de grondwaarheid. Zwakke punten: traag (sandbox-uitvoering duurt seconden tot minuten), duur (VM's verbruiken rekenkracht), en sommige malware detecteert sandboxen en weigert uit te voeren. Sandbox-ontwijking is zijn eigen kat-en-muisspel.

3. Netwerkverkeersanalyse: verbindingen classificeren zonder payloads te inspecteren

Netwerk-niveau ML werkt op de metadata van netwerkverbindingen — DNS-query's, TLS-handshake-attributen, flow-statistieken, domeinregistratiepatronen — zonder de daadwerkelijke payload te ontsleutelen of te inspecteren. Dit is de benadering die het meest relevant is voor mobiele consumentbeveiliging, en het is waar Casper's Cloak opereert.

Sterke punten: werkt op elk apparaat zonder een endpoint-agent te installeren die bestanden scant, verwerkt versleuteld verkeer zonder de versleuteling te verbreken, schaalt naar miljoenen DNS-query's per seconde, onderschept phishing- en C2-infrastructuur op het niveau van domeinregistratie voordat de malware het apparaat van de gebruiker zelfs maar bereikt. Zwakke punten: kan niet zien wat er in de versleutelde payload zit, kan geen malware detecteren die geen netwerkverbindingen maakt, en is afhankelijk van de kwaliteit van domein/netwerkfeatures.

Welke features bekijkt het model eigenlijk?

Dit is waar het abstracte "ML detecteert patronen" concreet wordt. Voor netwerk-niveau ML-classificatie — de benadering die het meest relevant is voor Casper — vallen de features in zes categorieën:

• Domeinleeftijd en registratiepatronen. Kwaadaardige domeinen zijn overweldigend jong — dagen of uren voor gebruik geregistreerd, vaak in bulk via geautomatiseerde registrars. Een domein dat 72 uur geleden is geregistreerd via een privacy-WHOIS-registrar die ook 200 andere domeinen in dezelfde batch registreerde, is statistisch gezien veel waarschijnlijker kwaadaardig dan een domein dat acht jaar geleden is geregistreerd met een consistent WHOIS-record. De classifier weegt domeinleeftijd zwaar, en terecht: NIST's Cybersecurity Framework identificeert assetbeheer en supply-chain-risico (inclusief domeinherkomst) als kerncontroles in de identificatiefunctie.
• TLS-certificaatattributen. Legitieme sites gebruiken steeds vaker certificaten van gevestigde CA's met organisatievalidatie. Phishing- en malware-infrastructuur leunt op gratis, automatisch uitgegeven DV-certificaten (Domain Validation) — specifiek een groot volume Let's Encrypt-certificaten snel achter elkaar uitgegeven voor domeinen zonder eerdere webpresence. De classifier onderzoekt de certificaatuitgever, geldigheidsperiode, SAN-vermeldingen (Subject Alternative Name) en of de certificaatketen overeenkomt met het ogenschijnlijke doel van het domein.
• DNS-gedrag. Malware C2-infrastructuur gebruikt vaak fast-flux DNS (snel roterende IP-adressen achter één domein), DGA-gegenereerde domeinnamen (algoritmisch gegenereerde strings zoals xk3j7mq9.net), of ongebruikelijke recordtypes (TXT-records gebruikt voor data-exfiltratie). De classifier kijkt naar TTL-waarden, het aantal geretourneerde IP-adressen, geografische diversiteit van opgeloste IP's en lexicale entropie van de domeinnaam zelf.
• Hostinginfrastructuur. Bulletproof hosting-providers en specifieke ASN's (Autonomous System Numbers) zijn onevenredig vaak geassocieerd met malware-infrastructuur. Het model leert welke hostingomgevingen correleren met kwaadaardige activiteit — niet als een blocklist, maar als een gewogen feature naast alle andere.
• Verzoekpatronen. Malware C2-beacons produceren doorgaans kenmerkende verkeerspatronen: regelmatige callbacks op vaste intervallen, kleine payloads in beide richtingen, verbindingen met infrastructuur zonder legitieme webinhoud. De classifier kan deze patronen identificeren uit flow-metadata (timing, grootte, richting) zonder de versleutelde inhoud te inspecteren.
• Lexicale en structurele analyse van de domeinnaam. DGA-domeinen hebben hoge entropie en lage uitsprekbaarheid. Phishingdomeinen imiteren bekende merken met tekenvervanging (paypa1.com, arnazon-security.com). Op NLP gebaseerde features meten bewerkingsafstand tot bekende merken, karakter-n-gram-distributies en of het domein de structurele patronen van legitieme registraties volgt.

Geen enkele feature is doorslaggevend — genoeg legitieme domeinen zijn nieuw, gebruiken Let's Encrypt of zijn gehost op gedeelde infrastructuur. De taak van de classifier is om alle features tegelijkertijd af te wegen en een risicoscore te produceren. Een nieuw domein alleen scoort misschien 0.3; een nieuw domein met een DGA-achtige naam, een 48 uur oud Let's Encrypt-certificaat, gehost op een bekend misbruikt ASN, zonder webinhoud? Dat scoort 0.95+.

Hoe Casper's Cloak netwerk-niveau ML-detectie gebruikt

Casper's bedreigingsbeveiliging werkt op de DNS-resolutielaag. Wanneer je apparaat een DNS-query doet — elke app, elke verbinding — gaat de query door Casper's resolver voordat een IP-adres wordt teruggegeven. Dit is wat er gebeurt in de milliseconden tussen query en respons:

1. De DNS-query arriveert bij Casper's resolver. Je telefoon vraagt "wat is het IP voor suspicious-domain.com?" De query reist door de versleutelde VPN-tunnel, zodat niemand op het lokale netwerk (koffiezaak-wifi, ISP) het kan zien.
2. Statische blocklist-controle. Eerst een snelle lookup in gecureerde blocklists — bekende phishingdomeinen, bekende malware C2-domeinen, bekende trackerdomeinen. Dit is het equivalent van de signatuurcontrole: nauwkeurig, snel en beperkt tot bekende bedreigingen. Als er een overeenkomst is, wordt het domein onmiddellijk geblokkeerd.
3. ML-classifier scoring. Als het domein niet op een statische lijst staat, extraheert de classifier features: domeinleeftijd, registrar, certificaatmetadata, DNS-recordgeschiedenis, lexicale analyse, hostinginfrastructuur en recente querypatronen voor dit domein over alle Casper-gebruikers (geanonimiseerd en geaggregeerd). Het model beoordeelt het risico van het domein.
4. Drempelwaarde-gebaseerde beslissing. Als de risicoscore de geconfigureerde drempelwaarde overschrijdt, wordt het domein geblokkeerd (de resolver geeft NXDOMAIN terug). Als het eronder valt, wordt het legitieme IP teruggegeven. Grensscores kunnen een "zachte blokkering" activeren — de gebruiker ziet een waarschuwingsinterstitieel in plaats van een harde blokkering, met de optie om door te gaan.
5. Het hele proces is voltooid voordat de verbinding wordt opgezet. De classificatie vindt plaats op het moment van DNS-resolutie — vóór de TCP-handshake, vóór de TLS-onderhandeling, vóór er gegevens worden uitgewisseld. De kwaadaardige verbinding wordt nooit geopend.

Dit is wat DNS-laag ML-detectie bijzonder geschikt maakt voor mobiel: het beschermt elke app op het apparaat, vereist geen scanning op het apparaat zelf (het model draait op onze resolver-infrastructuur), trekt de batterij niet leeg, en werkt op zowel iOS als Android zonder de architecturale beperkingen die traditionele antivirussoftware verhinderen te functioneren op mobiel. We behandelden de phishingkant hiervan uitgebreid in onze analyse van drie echte phishingcampagnes.

Wat Casper's netwerk-laag ML niet doet: het scant geen bestanden op je apparaat. Het inspecteert de inhoud van versleutelde verbindingen niet. Het bewaakt app-gedrag niet op het apparaat. Als een kwaadaardig bestand al op je apparaat staat en alleen communiceert via IP-adres (geen DNS-lookup), zal Casper's DNS-laag-classifier het niet zien. Dit is de eerlijke grens van netwerk-niveau detectie — het is buitengewoon effectief bij het opvangen van bedreigingen die domeingebaseerde infrastructuur betreffen (wat de overgrote meerderheid van phishing, malware-distributie en C2-communicatie is), maar het is geen vervanging voor on-device endpointbeveiliging in enterprise-omgevingen waar gerichte, geavanceerde aanvallers mogelijk IP-only C2-kanalen gebruiken.

Beperkingen en eerlijke kanttekeningen

ML-gebaseerde malwaredetectie is een echte verbetering ten opzichte van signaturen alleen, maar het heeft echte beperkingen die elke eerlijke bespreking moet benoemen.

Valse positieven zijn een echte kostenpost

Probabilistische classificatie betekent dat het model soms legitieme domeinen als kwaadaardig markeert. Een gloednieuwe startup met een recent geregistreerd domein, een Let's Encrypt-certificaat en hosting bij een budget-provider kan dezelfde features activeren als malware-infrastructuur. Het percentage valse positieven voor een goed afgestelde DNS-classifier ligt doorgaans in het bereik van 0,01–0,1% — laag in procentuele termen, maar als je miljoenen query's per dag verwerkt, betekent zelfs 0,01% duizenden gemarkeerde legitieme query's. Het technische werk zit in het afstellen van de drempelwaarde, het bouwen van snelle allowlisting-mechanismen en het continu hertrainen op valse-positief-feedback om het percentage te verlagen.

Adversarieel ML is een echte discipline

Aanvallers die ML-classifiers begrijpen, kunnen hun infrastructuur zo opzetten dat ze die ontwijken — domeinen vooraf ouder laten worden, EV-certificaten verkrijgen, hosten bij gerenommeerde providers, legitiem ogende domeinnamen gebruiken. Dit wordt adversarieel machine learning genoemd, en het is een actief onderzoeksgebied in de academische wereld en een echte kat-en-muissituatie in de praktijk. Het MITRE ATLAS-framework (Adversarial Threat Landscape for AI Systems) catalogiseert bekende adversariële ML-technieken specifiek voor dit domein.

Het voordeel van de verdediger: één feature ontwijken is eenvoudig; alle features tegelijkertijd ontwijken is duur. Een domein ouder laten worden kost tijd (en tijd is geld voor aanvalscampagnes). Een EV-certificaat verkrijgen vereist identiteitsverificatie van de organisatie. Hosten bij gerenommeerde providers betekent hun misbruikreactieprocessen accepteren. De ML-classifier hoeft niet elke feature individueel onoverwinnelijk te maken — het heeft de combinatie nodig om duur genoeg te ontwijken zodat de meeste aanvallers het niet proberen, en degenen die het toch doen worden gepakt op andere features of door de volgende hertrainingscyclus.

Versleutelde payloads zijn ondoorzichtig op de netwerklaag

Netwerk-niveau ML ziet metadata — domeinnamen, certificaatattributen, flow-statistieken — geen payload-inhoud. Als een kwaadaardige payload wordt afgeleverd via HTTPS van een legitiem ogende domein (een gecompromitteerde WordPress-site, een kwaadaardig bestand gehost op de opslag van een grote cloudprovider), markeert de DNS-classifier het misschien niet omdat de features van het domein er schoon uitzien. Dit is waarom netwerk-niveau detectie andere lagen aanvult maar niet vervangt: trackerblokkering op de DNS-laag stopt het data-exfiltratiekanaal; browser- en OS-niveau beschermingen (Google Safe Browsing, Apple's XProtect) behandelen de payload-inspectielaag.

Modeldrift vereist continu hertrainen

Het bedreigingslandschap verandert voortdurend. Aanvallers wisselen van registrar, nemen nieuwe hostingproviders aan, veranderen hun domein-generatie-algoritmen. Een model getraind op 2025-data zal in nauwkeurigheid degraderen over maanden als het niet opnieuw wordt getraind op verse gelabelde data. Continu hertrainen op nieuwe threat intelligence — plus feedbackloops van valse positieven en valse negatieven in productie — is essentieel. Een geïmplementeerde ML-classifier is geen "eenmalig trainen, voor altijd leveren"-artefact; het is een levend systeem dat voortdurende investering vereist.

Wat dit betekent voor je telefoon

Als je dit op een telefoon leest — wat statistisch gezien de meesten van jullie doen — is hier de praktische conclusie:

• Traditionele antivirussoftware werkt niet goed op mobiel. iOS staat het architecturaal niet toe; op Android trekt het de batterij leeg en kan het nog steeds niet de meeste app-data scannen. Het signatuurmodel is gebouwd voor desktopcomputers met volledige bestandssysteemtoegang.
• Netwerk-niveau ML-detectie werkt op elk mobiel platform. Het heeft geen bestandssysteemtoegang nodig, hoeft niet op het apparaat te draaien en beschermt alle apps tegelijkertijd. Wanneer je telefoon een phishingdomein probeert te bereiken, blokkeert de DNS-laag-classifier het voordat de verbinding opent — ongeacht welke app de verbinding initieerde.
• De combinatie van statische blocklists en ML-classificatie dekt zowel bekende als onbekende bedreigingen. Blocklists vangen de domeinen op die al zijn gecatalogiseerd; de ML-classifier vangt de nieuwe op die dat nog niet zijn. Samen zijn ze betekenisvol effectiever dan elk afzonderlijk.
• Geen enkele laag dekt alles. DNS-niveau ML vangt domein-gebaseerde bedreigingen op (phishing, malware-distributie, C2-communicatie, tracking). Het vangt geen first-party gehoste bedreigingen op of bedreigingen die DNS volledig omzeilen. Een gelaagde aanpak — Casper op de netwerklaag, browserbescherming op de inhoudslaag, OS-beveiliging op de systeemlaag — geeft je de breedste dekking.

Het bredere punt: machine learning in beveiliging is geen hype en geen magie. Het is een specifieke technische discipline die patronen in data herkent — en voor het specifieke probleem van "is dit domein waarschijnlijk kwaadaardig?", overtreft de patroonherkenningsbenadering statische lijsten met een grote marge, vooral voor de zero-day-bedreigingen die signaturen nooit op tijd zullen onderscheppen. De vraag is of je beveiligingstools het gebruiken en of ze eerlijk zijn over wat het dekt en wat niet.

Gerelateerd: Phishingteksten in 2026 — anatomie van drie campagnes toont de ML-classifier in actie tegen echte phishinginfrastructuur. Bedreigingsbeveiliging is de functiepagina voor Casper's ML-gebaseerde detectie. Trackerblokkering behandelt de aanvullende DNS-niveau filterlaag. Voor de academische grondslagen catalogiseert het MITRE ATLAS-framework adversariële ML-technieken, en NIST's Cybersecurity Framework biedt de bredere risicobeheercontext waarin deze detectiesystemen opereren.