Marcus Hutchins wordt in de cybersecuritywereld vaak een “hacker” genoemd, maar hij ziet zichzelf niet zo. In een interviewreeks vertelt hij hoe zijn fascinatie voor technologie hem van de rand van cybercrime naar een legitieme rol als securityonderzoeker bracht—met als kantelpunt de grote WannaCry-uitbraak en de zogeheten WannaCry kill switch.
Wat opvalt aan zijn verhaal is de combinatie van technische nieuwsgierigheid, morele ontwikkeling en de harde realiteit van justitie. Daarbij laat hij zien dat cybersecurity niet alleen draait om code, maar ook om verantwoordelijkheid.
Van nieuwsgierigheid naar diepe technische focus
Hutchins is geboren in Ascot (Engeland). In 2017 was hij, toen hij 22 was, werkzaam als cyber threat analyst bij een cybersecuritybedrijf in Los Angeles. Daar bereikte hij wereldwijde bekendheid door het vinden van een mechanisme dat de WannaCry-verspreiding kon afremmen.
Hij wijkt af van het stereotype beeld van een “hacker” doordat hij niet primair zoekt om iets kapot te maken. Zijn kernmotief is begrip: “Hoe werkt het?” lijkt de vraag die hem continu aanstuurt. Volgens hem leidt dat tot extreem geconcentreerd werk—op het ene onderwerp kan hij heel snel diep gaan, terwijl andere taken juist weinig aandacht krijgen.
Die intensiteit begon al op jonge leeftijd. Op 13 kreeg hij zijn eerste computer. In de jaren daarna leerde hij zichzelf onder meer VB, PHP, C, C++ en assembly. Tegelijkertijd ging dat ten koste van schoolresultaten; hij omschrijft zichzelf als iemand die vooral code schreef, zonder duidelijk “productief” studietraject.
Werk aan malware: geen zwart-wit verhaal
Hutchins raakte vroeg betrokken bij cybercrimeforums. Zijn sterke kant lag bij coderen, waardoor hij eerder “hacks” ontwikkelde en verkocht dan zelf actief deelnam aan aanvallen. Hij beschrijft dat hij software leverde aan criminelen: code om aanvallen te ondersteunen en om beveiligingen te omzeilen.
Daarmee werd hij onderdeel van een cybercrimegroep, waar hij in feite als malwareontwikkelaar fungeerde. Zijn taken betroffen onder meer het onderhouden van backdoors en code die antivirussystemen moest verstoren.
Een belangrijk aspect in zijn verhaal is hoe hij destijds afstand hield van de gevolgen. Hij verkocht code, maar zag lange tijd niet concreet wat er daarna met die code gebeurde. Daardoor ontstond er volgens hem een psychologische drempel: niet de acties door hemzelf, maar het “niet direct weten wat ermee gedaan wordt” maakte het emotioneel minder belastend.
Na verloop van tijd groeide die afstand niet langer. Hij raakte betrokken bij organisaties die zijn code gebruikten en zag daardoor meer van de schade. Dat was voor hem het moment om banden te verbreken en naar een legitieme baan te zoeken.
WannaCry en de EternalBlue-keten
Wanneer Hutchins later professioneel met cybersecurity bezig is, komt WannaCry opnieuw op zijn pad. De uitbraak was destijds een groot en onverklaarbaar probleem: onafhankelijke organisaties vielen tegelijk om, terwijl niemand direct wist waarom.
De achtergrond van WannaCry bestond uit een gelekte NSA-exploit, bekend als EternalBlue, die op zoek ging naar systemen met een open SMB-poort. Via een extra component—DoublePulsar—konden aanvallers vervolgens doelen vinden en ransomware afleveren.
Volgens het interview werkt WannaCry als een worm-achtige keten: de ransomware kopieert zichzelf van computer naar computer zonder dat er continu handmatige stappen nodig zijn. Daardoor verspreidt het zich snel over netwerken en daarbuiten.
Er is bovendien een extra wrange draai: de encryptie werkte wel, maar de decryption bleek niet te werken. Hutchins beschrijft het effect daardoor als een combinatie van ransomware- en wiper-gedrag: files werden versleuteld, maar herstel was niet mogelijk.
De WannaCry kill switch: waarom één domein het verschil maakte
Het verhaal van de WannaCry kill switch begint bij iets wat voor onderzoekers vaak “opvallend” is: een domein dat niet geregistreerd was in de malwarecode. Dergelijke domeinen komen vaker voor, omdat onderzoekers ze gebruiken om gedrag te monitoren of inzicht te krijgen in de werking van malware.
Hutchins registreerde het specifieke domein dat in de code stond. Dat deed hij voor een relatief laag bedrag. Daarna merkte hij dat het webverkeer op gang kwam: het domein kreeg zeer veel verzoeken per tijdseenheid. Dat betekende dat de malware zelf dit adres bleef aanroepen.
Wat daarbij de kern vormt: WannaCry stopte met verspreiden. De logica daarachter was dat het domein fungeerde als kill switch. De malware controleerde kennelijk of het internetadres “antwoordde”. Wanneer het webserververkeer binnenkwam en met succes werd teruggekoppeld, schakelde WannaCry zichzelf uit.
De conclusie is simpel, maar technisch krachtig: als je een webserver beschikbaar houdt op dat adres—zolang die server bereikbaar is—kan de worm zich niet verder voortplanten. De precieze reden waarom de malware juist zo is gecodeerd, blijft onderwerp van theorieën. Voor het stoppen van de uitbraak maakt de “waarom”-laag minder uit dan het “wat”-effect.
Van heldenstatus naar strafrechtelijke zaak
Slechts enkele maanden na WannaCry werd Hutchins gearresteerd door de FBI. In zijn uitleg kwam dat neer op vervolging voor activiteiten uit het verleden, die al lang waren gestopt. Hij beschrijft dat men zijn naam achteraf koppelde aan eerdere activiteiten, waardoor er alsnog een zaak volgde.
Hij belandde in de Amerikaanse detentie, waar hij na één week weer vrijkwam dankzij borgtocht die door een derde partij werd geregeld. Vervolgens liep er een traject via het Amerikaanse rechtssysteem.
Het juridische proces duurde in totaal twee jaar en eindigde met een schuldigpleidooi op onder meer computer hacking en het adverteren van een wiretapping device. De rechter koos er volgens hem voor om rekening te houden met zijn rehabilitatie en legde uiteindelijk een proeftijd van één jaar op.
Na die proeftijd besloot hij in de Verenigde Staten te blijven.
Waarom zijn verhaal in security blijft hangen
Er zijn maar weinig gevallen waarin iemand zo’n traject doorloopt: van verdachte of “grijze” activiteiten naar een duidelijke rol in de verdediging van systemen. Hutchins’ geschiedenis wijkt af van het gangbare idee dat “geen goed deed ongestraft blijft”. In zijn geval klopt de variant bijna letterlijk: niet alleen werd de WannaCry-rol zichtbaar, maar het verleden bleef juridische gevolgen hebben.
Tegelijkertijd verklaart hij ook de andere kant: zijn publiciteit rond WannaCry maakte het mogelijk dat zijn pseudoniem of eerdere activiteiten beter aan hem konden worden gekoppeld. Daardoor kon een eerder anonieme blog—MalwareTech—worden herleid.
De blog bestaat nog steeds. Volgens zijn update is de focus verschoven: van malware-achtige publicaties en criminaliteit naar cybersecurity en onderzoek. Anders gezegd: dezelfde nieuwsgierigheid, maar nu met een andere richting en intentie.
Wat je als organisatie kunt leren van dit soort incidenten
Hoewel Hutchins’ persoonlijke pad uniek is, zitten er voor organisaties lessen in zijn verhaal. De belangrijkste is dat malwaregedrag soms te beïnvloeden is met onverwachte “knoppen” in de code. Onderzoekers die dergelijke signalen vroeg vinden, kunnen daardoor tijd winnen en verspreiding beperken.
Daarnaast toont het verhaal dat security niet stopt bij technische analyse. Zodra er sprake is van brede uitbraken, spelen ook registratie van indicatoren, het beschikbaar houden van infrastructuur en het doorvertalen van bevindingen naar respons een rol.
Wil je verder lezen over hoe onderzoekers en organisaties omgaan met kwetsbaarheden en aanvallen die via infrastructuurketens ontstaan? Dan sluiten deze onderwerpen goed aan:
- BdThemes supply chain aanval via JSON: wat je moet weten
- Metabase SQL-injectie: zero-day gepatcht
- Mozilla vervangt Firefox GPG-key na exposure
Conclusie: begrip, verantwoordelijkheid en de lange nasleep
De WannaCry kill switch is het voorbeeld bij uitstek van hoe één detail in malware kan bepalen of een uitbraak doorschiet of juist afremt. Marcus Hutchins speelde daarin een rol door het betreffende domein te registreren en zo de werking van het kill-mechanisme zichtbaar te maken.
Maar zijn verhaal stopt niet bij techniek. Het laat ook zien hoe eerdere keuzes later alsnog kunnen terugkomen, en hoe rehabilitatie en werk in legitieme cybersecurity mogelijk zijn. Voor securityteams is het vooral een herinnering: cyberincidenten zijn technisch én menselijk—en beide kanten vragen om aandacht.
Bron: https://www.securityweek.com/hacker-conversations-marcus-hutchins/
