Studie vergleicht Ransomware-Angriffe auf Linux und Windows

Check Point Research (CPR) hat eine umfassende Studie veröffentlicht, in der die Sicherheitsforscher Ransomware-Angriffe auf Linux- und Windows-Systemen analysieren, miteinander vergleichen  und die sich entwickelnden Trends bei Cyber-Bedrohungen beleuchten. Die Threat-Intelligence-Abteilung von  Check Point Software stellte dabei eine erhebliche Vereinfachung bei  den Ransomware-Familien fest, die auf Linux zielen. 

Ransomware-Angriffe auf Linux-Systeme, insbesondere auf ESXi-Systeme, haben in den letzten Jahren stark zugenommen. Aus diesem Grund  geht CPR auf die Feinheiten dieser Vorfälle ein und zieht Vergleiche zu ihren Windows-Pendants. In der Vergangenheit waren Ransomware-Bedrohungen vor allem auf Windows-Umgebungen ausgerichtet. Die  Malware, die die Verschlüsselung der Daten ihrer Opfer zum Ziel hat, die die Angreifer dann meist erst gegen hohe Lösegeldsummen wieder freigeben,  entwickelt sich jedoch stetig weiter. Ransomware, die auf Linux ausgerichtet ist, gewinnt  dabei zunehmend an Bedeutung. Die CPR-Studie analysiert 12 bekannte Ransomware-Familien, die entweder direkt auf Linux-Systeme abzielen oder über plattformübergreifende Fähigkeiten verfügen, die es ihnen ermöglichen, sowohl Windows als auch Linux wahllos zu infizieren.  

 

Starker Anstieg von Ransomware-Angriffen auf Linux-Systeme seit 2021  

Die Veröffentlichung des Babuk-Quellcodes im Jahr 2021 hat eine entscheidende Rolle bei der Verbreitung verschiedener Ransomware-Familien gespielt.  Auf Linux abzielende zeichnen sich dabei durch ihre relative Einfachheit im Vergleich zu ihren Windows-Pendants aus. Viele dieser auf Linux ausgerichteten Bedrohungen stützen sich stark auf die OpenSSL-Bibliothek, wobei sich ChaCha20/RSA und AES/RSA als die häufigsten Verschlüsselungsalgorithmen in den analysierten Beispielen herausstellten.  

Ein Blick auf die historische Entwicklung zeigt, dass das erste identifizierbare Beispiel von Ransomware auf das Jahr 1989 zurückgeht und Windows-Systeme betraf. Erst im Jahr 2015, mit Linux.Encoder.1, gewann Linux-spezifische Ransomware an Bedeutung. Trotz der Ausgereiftheit von Ransomware in Windows-Systemen wurden die Fähigkeiten erst in den letzten Jahren direkt auf Linux übertragen, was sich in einem deutlichen Anstieg der Angriffe seit 2020 zeigt.  

Linux-Ransomware-Familien (Quelle Check Point 2023)
Windows-Ransomware-Familien (Quelle Check Point 2023)

 Die CPR-Studie deckt einen Trend zur Vereinfachung bei Ransomware-Familien auf, die auf Linux abzielen. Die Kernfunktionen beschränken sich oft auf einfache Verschlüsselungsprozesse, die sich stark auf externe Konfigurationen und Skripte stützen, wodurch sie schwer zu erkennen sind. Die Studie hebt auch besondere Strategien hervor, die sich vor allem auf  ESXi-Systeme konzentrieren, und identifiziert Schwachstellen in exponierten Diensten als primäre Einstiegsvektoren.  

 

Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten 

In Bezug auf die Ziel- und Opfertypologie unterscheidet sich Linux-Ransomware erheblich von ihren Windows-Pendants. Während Windows vor allem auf Personal-Computern und User-Workstations eingesetzt wird, dominiert Linux bei bestimmten Serverimplementierungen. Linux-Ransomware konzentriert sich in erster Linie auf exponierte Server oder solche innerhalb des internen Netzwerks, auf die durch Abzweigungen  von Windows-Infektionen zugegriffen wird. Diese Ausrichtung deutet auf einen klaren Trend hin: Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten, im Gegensatz zu den allgemeineren Bedrohungen, die von Windows-Ransomware ausgehen. Die unterschiedlichen internen Strukturen beider Systeme beeinflussen auch die Vorgehensweise der Angreifer bei der Auswahl von Ordnern und Dateien für die Verschlüsselung.  Linux-orientierte Beispiele  meiden dabei häufig kritische Verzeichnisse, um eine Beschädigung des Systems zu verhindern. Dies unterstreicht die gezielte und ausgefeilte Natur von Linux-Ransomware im Vergleich zu ihren Windows-Pendants.

Vergleicht man die Verschlüsselungstechniken von Windows- und Linux-Systemen, so stellt CPR eine Tendenz zu OpenSSL in Linux-Ransomware  fest, mit AES (Advanced Encryption Standard)  als gemeinsamen Verschlüsselungsgrundstein und RSA (Rivest–Shamir–Adleman) als primäre asymmetrische Wahl. Diese Einheitlichkeit zwischen verschiedenen Bedrohungsakteuren unterstreicht die sich entwickelnde Landschaft der Cyber-Bedrohungen.  

Info: Detailliertere Untersuchung der vergleichenden Studie über Ransomware-Angriffe auf Linux und Windows:  https://research.checkpoint.com/2023/the-platform-matters-a-comparative-study-on-linux-and-windows-ransomware-attacks/ 

#CheckPoint