Check Point Research (CPR) hat eine umfassende Studie veröffentlicht, in der die Sicherheitsforscher Ransomware-Angriffe auf Linux- und Windows-Systemen analysieren, miteinander vergleichen und die sich entwickelnden Trends bei Cyber-Bedrohungen beleuchten. Die Threat-Intelligence-Abteilung von Check Point Software stellte dabei eine erhebliche Vereinfachung bei den Ransomware-Familien fest, die auf Linux zielen.
Ransomware-Angriffe auf Linux-Systeme, insbesondere auf ESXi-Systeme, haben in den letzten Jahren stark zugenommen. Aus diesem Grund geht CPR auf die Feinheiten dieser Vorfälle ein und zieht Vergleiche zu ihren Windows-Pendants. In der Vergangenheit waren Ransomware-Bedrohungen vor allem auf Windows-Umgebungen ausgerichtet. Die Malware, die die Verschlüsselung der Daten ihrer Opfer zum Ziel hat, die die Angreifer dann meist erst gegen hohe Lösegeldsummen wieder freigeben, entwickelt sich jedoch stetig weiter. Ransomware, die auf Linux ausgerichtet ist, gewinnt dabei zunehmend an Bedeutung. Die CPR-Studie analysiert 12 bekannte Ransomware-Familien, die entweder direkt auf Linux-Systeme abzielen oder über plattformübergreifende Fähigkeiten verfügen, die es ihnen ermöglichen, sowohl Windows als auch Linux wahllos zu infizieren.
Starker Anstieg von Ransomware-Angriffen auf Linux-Systeme seit 2021
Die Veröffentlichung des Babuk-Quellcodes im Jahr 2021 hat eine entscheidende Rolle bei der Verbreitung verschiedener Ransomware-Familien gespielt. Auf Linux abzielende zeichnen sich dabei durch ihre relative Einfachheit im Vergleich zu ihren Windows-Pendants aus. Viele dieser auf Linux ausgerichteten Bedrohungen stützen sich stark auf die OpenSSL-Bibliothek, wobei sich ChaCha20/RSA und AES/RSA als die häufigsten Verschlüsselungsalgorithmen in den analysierten Beispielen herausstellten.
Ein Blick auf die historische Entwicklung zeigt, dass das erste identifizierbare Beispiel von Ransomware auf das Jahr 1989 zurückgeht und Windows-Systeme betraf. Erst im Jahr 2015, mit Linux.Encoder.1, gewann Linux-spezifische Ransomware an Bedeutung. Trotz der Ausgereiftheit von Ransomware in Windows-Systemen wurden die Fähigkeiten erst in den letzten Jahren direkt auf Linux übertragen, was sich in einem deutlichen Anstieg der Angriffe seit 2020 zeigt.
Die CPR-Studie deckt einen Trend zur Vereinfachung bei Ransomware-Familien auf, die auf Linux abzielen. Die Kernfunktionen beschränken sich oft auf einfache Verschlüsselungsprozesse, die sich stark auf externe Konfigurationen und Skripte stützen, wodurch sie schwer zu erkennen sind. Die Studie hebt auch besondere Strategien hervor, die sich vor allem auf ESXi-Systeme konzentrieren, und identifiziert Schwachstellen in exponierten Diensten als primäre Einstiegsvektoren.
Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten
In Bezug auf die Ziel- und Opfertypologie unterscheidet sich Linux-Ransomware erheblich von ihren Windows-Pendants. Während Windows vor allem auf Personal-Computern und User-Workstations eingesetzt wird, dominiert Linux bei bestimmten Serverimplementierungen. Linux-Ransomware konzentriert sich in erster Linie auf exponierte Server oder solche innerhalb des internen Netzwerks, auf die durch Abzweigungen von Windows-Infektionen zugegriffen wird. Diese Ausrichtung deutet auf einen klaren Trend hin: Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten, im Gegensatz zu den allgemeineren Bedrohungen, die von Windows-Ransomware ausgehen. Die unterschiedlichen internen Strukturen beider Systeme beeinflussen auch die Vorgehensweise der Angreifer bei der Auswahl von Ordnern und Dateien für die Verschlüsselung. Linux-orientierte Beispiele meiden dabei häufig kritische Verzeichnisse, um eine Beschädigung des Systems zu verhindern. Dies unterstreicht die gezielte und ausgefeilte Natur von Linux-Ransomware im Vergleich zu ihren Windows-Pendants.
Vergleicht man die Verschlüsselungstechniken von Windows- und Linux-Systemen, so stellt CPR eine Tendenz zu OpenSSL in Linux-Ransomware fest, mit AES (Advanced Encryption Standard) als gemeinsamen Verschlüsselungsgrundstein und RSA (Rivest–Shamir–Adleman) als primäre asymmetrische Wahl. Diese Einheitlichkeit zwischen verschiedenen Bedrohungsakteuren unterstreicht die sich entwickelnde Landschaft der Cyber-Bedrohungen.
Info: Detailliertere Untersuchung der vergleichenden Studie über Ransomware-Angriffe auf Linux und Windows: https://research.checkpoint.com/2023/the-platform-matters-a-comparative-study-on-linux-and-windows-ransomware-attacks/
#CheckPoint
