Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Wichtigste Erkenntnisse
- Linux-Systeme sind nicht immun gegen Ransomware - Die Zahl der Angriffe nimmt zu, insbesondere auf Server, Cloud-Umgebungen und Unternehmensinfrastrukturen.
- Linux-Ransomware verwendet oft gezielteTaktiken wie doppelte Erpressung und Unterbrechung von Diensten, was die Wiederherstellung ohne starke Verteidigungsstrategien schwierig macht.
- Tools wie KernelCare Enterprise reduzieren die Angriffsfläche erheblich Angriffsfläche, indem sie kritische Sicherheitslücken in Echtzeit schließen.
"Man nannte es Tribut vor einer Schlacht und Lösegeld nach einer Schlacht".
Dieses berühmte Zitat des englischen Schriftstellers T.H. White steht für das empfindliche Gleichgewicht, das erforderlich ist, um Cyberangreifer in Schach zu halten. Ihr Unternehmen muss Sicherheitspersonal, eine IT-Abteilung und Anti-Malware-Anbieter so weit wie möglich unterstützen, damit Ihre Linux-Server sicher bleiben.
In der Zwischenzeit identifizieren Kriminelle Ihr Unternehmen als Ziel, um große Geldsummen zu erbeuten. Es kommt zur Aufklärung, böse Dinge bewegen sich seitlich in Ihrem Netzwerk, es findet eine Datenexfiltration statt, bis Sie feststellen, dass Ihr Linux-System auf unerwartete Weise übernommen wurde. Ihre Daten sind verschlüsselt, und in einer Lösegeldforderung wird eine Zahlung gefordert.
In diesem Artikel befassen wir uns mit Ransomware, insbesondere mit der einzigartigen Art und Weise, wie sie Linux-basierte Systeme angreift.
Ein kurzer Überblick darüber, was Linux-Ransomware ist
Linux-Ransomware ist eine Art von Malware, die auf Linux-basierte Systeme abzielt und Lösegeld für die Entschlüsselung verlangt.
Während Härtung und Berechtigungsebenen Benutzer daran hindern, Aktionen durchzuführen, die systemweite Daten betreffen, ist es wichtig zu wissen, dass Ransomware-Angriffe auf Linux-Netzwerke mit subversiveren Mitteln durchgeführt werden. Es ist nicht dasselbe wie ein Angriff auf ein Windows-basiertes System.
Stattdessen untersuchen böswillige Akteure Komponenten von Linux-Systemen, wie Webserver, auf Schwachstellen. Ihr zielgerichteter Ansatz besteht darin, angepassten Code zu entwickeln, um diese Schwachstellen auszunutzen und schließlich eine Komponente wie einen Linux-Kernel oder eine gemeinsam genutzte Bibliothek anzugreifen.
Warum Linux-Benutzer sich über Ransomware-Angriffe Sorgen machen sollten
Die Sicherheit Ihrer Daten fällt in die Hände eines unbekannten Angreifers, der eine Zahlung in der schwer fassbaren Bitcoin-Währung verlangt, oder Ihr Unternehmen wird die finanziellen und rufschädigenden Konsequenzen tragen müssen - denn dieser Kriminelle wird Ihr Geld nehmen und dennoch beschließen, Ihre Daten wie eine Kriegstrophäe auf einer "Wall of Shame" oder ähnlichem zur Schau zu stellen.
Die durchschnittliche Lösegeldzahlung stieg im Jahr 2024 auf schwindelerregende 2 Millionen US-Dollar, ein Anstieg um 500 % im Vergleich zu den 400.000 US-Dollar im Jahr 2023. Darüber hinaus betrugen 63 % der Lösegeldforderungen im Jahr 2024 1 Million US-Dollar oder mehr, wobei fast die Hälfte (46 %) der Unternehmen mit einem Umsatz von weniger als 50 Millionen US-Dollar mit siebenstelligen Forderungen konfrontiert waren.(Sophos)
Bildquelle: © Akamai
Linux-Ransomware schädigt ein Unternehmen in finanzieller, intellektueller und physischer Hinsicht und beeinträchtigt seinen Ruf und sein Image. Verschlüsselte Dateien stehen Mitarbeitern und Kunden nicht zur Verfügung, was die Produktivität und die Umsatzströme beeinträchtigt, und bei der Zahlung des Lösegelds wurde ein finanzieller Schaden verursacht. Dateien, die geistiges Eigentum enthalten, könnten öffentlich zugänglich gemacht werden, wodurch das Risiko der Nichteinhaltung von Vorschriften wie GDPR und HIPAA entsteht.
Nicht nur verschlüsselte Dateien, sondern auch eine Bedrohung für Menschenleben.
Krankenhäuser sind oft die ersten Zielscheiben, da Gesundheitseinrichtungen in einer Branche angesiedelt sind, die für tiefe Taschen und schlechte Sicherheitsprotokolle bekannt ist. Eine Studie ergab, dass nach einer Sicherheitsverletzung die Zahl der Todesfälle durch Herzinfarkte steigt. Bei einem Angriff wurde ein deutsches Krankenhaus daran gehindert, eine Patientin aufzunehmen, die eine dringende Behandlung benötigte, woran sie starb.
Ransomware-Ziele: Welche Linux-Geräte sind gefährdet?
Zwar kann jedes anfällige Linux-System ein Ziel für Ransomware sein, doch bestimmte Gerätetypen stellen aufgrund ihrer Funktion und allgemeiner Sicherheitslücken ein höheres Risiko dar:
Unternehmensserver: Unternehmen, die Linux-basierte Server für Datenbanken, Anwendungen und Speicher einsetzen, sind ein bevorzugtes Ziel. Angreifer nutzen SSH-Schwachstellen, ungepatchte Software und Fehlkonfigurationen aus.
Cloud-Umgebungen: Virtuelle Maschinen, Container und Cloud-Speicherdienste, die unter Linux laufen, sind häufig Ziel von Angriffen, vor allem, wenn sie nicht über angemessene Zugangskontrollen verfügen.
Webhosting-Server: Viele Websites und Online-Dienste laufen unter Linux. Ransomware kann sich über kompromittierte CMS-Plattformen, veraltete Plugins oder schwache Admin-Anmeldedaten verbreiten.
NAS-Geräte (Network-Attached Storage): NAS-Geräte laufen oft mit einem Linux-basierten Betriebssystem und speichern wichtige Backups, was sie zu wertvollen Zielen macht.
IoT-Geräte (Internet der Dinge): Neben der traditionellen Server- und Cloud-Infrastruktur sind auch immer mehr Linux-basierte IoT-Geräte ein potenzielles Ziel.
Verbreitete Linux-Ransomware
Die Landschaft der Linux-Ransomware entwickelt sich ständig weiter, wobei verschiedene Familien unterschiedliche Angriffsvektoren nutzen und auf bestimmte Aspekte von Linux-Umgebungen abzielen. Im Folgenden werden einige der bekanntesten Ransomware-Familien vorgestellt, die Server, Cloud-Umgebungen und Unternehmen betreffen.
RansomEXX
RansomEXX ist eine bekannte Ransomware-Familie, die es auf Linux-Server abgesehen hat. Ursprünglich eine Windows-Bedrohung, breitete sie sich auf Linux aus und infiltriert Systeme über gestohlene SSH-Anmeldeinformationen oder ungepatchte Sicherheitslücken. Sobald die Ransomware eingedrungen ist, sperrt sie kritische Dateien und legt alles lahm, von Regierungssystemen bis hin zu Cloud-Infrastrukturen. Zu den bekannten Opfern gehören Konica Minolta und das Texas Department of Transportation.
Bildquelle: SecureList
LockBit
LockBit ist eine Ransomware-as-a-Service(RaaS), die auf Linux-Server abzielt und häufig bei automatisierten Angriffen auf Unternehmen eingesetzt wird. Als RaaS handelt es sich um ein Franchise-Modell, bei dem Partner die Ransomware bereitstellen. Sie verbreitet sich durch Brute-Force-Angriffe auf SSH, kompromittierte Anmeldedaten oder Phishing-E-Mails. Der schnelle Verschlüsselungsalgorithmus von LockBit macht eine Datenwiederherstellung ohne Backup nahezu unmöglich.
DarkSide
Die DarkSide-Ransomware-Gruppe machte durch Angriffe auf große Unternehmen und kritische Infrastrukturen auf sich aufmerksam. Sie infiltriert Linux-Systeme über Schwachstellen im Fernzugriff und exfiltriert Daten vor der Verschlüsselung, wobei sie eine doppelte Erpressung anwendet. Die Opfer werden unter Druck gesetzt, das Lösegeld zu zahlen oder ein öffentliches Datenleck zu riskieren.
Bienenstock
Die Ransomware Hive zielt auf Linux- und Cloud-basierte Umgebungen ab und nutzt hocheffiziente Verschlüsselungstechniken. Die Angreifer nutzen anfällige VPNs, RDP-Dienste und ungeschützte Admin-Panels aus. Wie DarkSide stiehlt auch Hive sensible Daten, bevor sie verschlüsselt werden, und zwingt die Opfer unter Androhung der Datenpreisgabe zur Zahlung.
Lilocked (Lilu)
Lilocked zielt in erster Linie auf Linux-basierte Webserver ab, verschlüsselt Dateien und fügt eine .lilocked Erweiterung. Er verbreitet sich, indem er veraltete Software und falsch konfigurierte Administrationspanels ausnutzt und E-Commerce-Plattformen, Blogs und Unternehmenswebsites befällt. Da er die Systemdateien nicht verschlüsselt, bleibt das Betriebssystem funktionsfähig, aber die Daten der Website sind gesperrt.
Wie man Ransomware unter Linux verhindert
Die Verhinderung von Ransomware erfordert proaktive Sicherheitsmaßnahmen. Hier sind einige wichtige Tipps zum Schutz Ihrer Linux-Systeme vor Ransomware-Angriffen:
Software auf dem neuesten Stand halten und patchen
Ransomware nutzt häufig ungepatchte Schwachstellen aus, um sich Zugang zu Linux-Distributionen zu verschaffen und deren Rechte zu erweitern. Daher sind regelmäßige Systemaktualisierungen und das Schließen von Schwachstellen von entscheidender Bedeutung, um potenzielle Angriffe zu reduzieren.
Sie können Aktualisierungen über den Paketmanager Ihrer Distribution vornehmen.
Für Debian-basierte Distributionen können Sie verwenden:
sudo apt update && sudo apt upgrade -y
Für RHEL-basierte Distributionen können Sie verwenden:
sudo dnf update -y
Stellen Sie außerdem sicher, dass Sicherheitsupdates automatisch installiert werden. Tools wie KernelCare Enterprise helfen bei der Automatisierung von Schwachstellen-Patches für Linux-Kernel, ohne dass ein Neustart des Systems erforderlich ist.
Implementierung starker Passwortrichtlinien und SSH-Sicherheit
Erzwingen Sie starke, eindeutige Passwörter für alle Benutzerkonten, insbesondere für solche mit administrativen Rechten. Deaktivieren Sie die passwortbasierte SSH-Anmeldung und verwenden Sie SSH-Schlüssel zur Authentifizierung. Beschränken Sie den SSH-Zugang auf notwendige Benutzer und erwägen Sie die Verwendung von Port-Knocking oder anderen Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA), um den Zugang weiter einzuschränken.
Benutzerprivilegien einschränken
Beschränken Sie, wer kritische Befehle ausführen darf. Verwenden Sie das Prinzip der geringsten Privilegien (PoLP), so dass nur notwendige Benutzer Root- oder sudo-Zugriff haben. Dies begrenzt den potenziellen Schaden, wenn ein Konto oder eine Anwendung durch Ransomware kompromittiert wird.
Sie können die Benutzerberechtigungen mit dem folgenden Befehl überprüfen:
sudo cat /etc/sudoers
Wenn Sie eine genauere Kontrolle wünschen, erfahren Sie mehr über den Unterschied zwischen SELinux und AppArmor, um zu verstehen, wie jedes Tool nicht autorisierte Aktionen einschränkt.
Sichern Sie regelmäßig Ihre Daten
Sichern Sie Ihre Daten und die Versionen Ihrer Sicherungen, damit die vorherige Version für die Wiederherstellung verfügbar ist.
Häufige, sichere und isolierte Backups gewährleisten, dass Sie Dateien wiederherstellen können, ohne Lösegeld zu zahlen. Ziehen Sie in Erwägung, Backups offline und an einem separaten Ort zu speichern, der nicht direkt von Ihren Linux-Systemen aus zugänglich ist.
Automatisieren Sie außerdem nach Möglichkeit Sicherungen und testen Sie Wiederherstellungsvorgänge regelmäßig, um sicherzustellen, dass sie bei Bedarf funktionieren. Falls Sie doch infiziert werden, stoppen Sie geplante Sicherungen sofort, um zu verhindern, dass schlechte Daten gute Wiederherstellungspunkte überschreiben.
Netzwerksegmentierung implementieren
Unterteilen Sie Ihr Netzwerk in isolierte Segmente, um die seitliche Ausbreitung von Ransomware einzuschränken. Wenn ein Segment kompromittiert wird, kann die Segmentierung verhindern, dass sich die Infektion auf andere wichtige Teile Ihrer Infrastruktur ausbreitet.
Linux vs. Windows Ransomware: Was sind die Unterschiede?
Obwohl die Bedrohung durch Ransomware sowohl für Linux- als auch für Windows-Systeme besteht, unterscheiden sich die Angriffe, Ziele und Folgen erheblich. Linux-Ransomware zielt in der Regel auf Server und Cloud-Infrastrukturen ab, während Windows-Ransomware eine größere Reichweite hat und sich auf einzelne Geräte und Unternehmensendpunkte auswirkt.
Angriffsvektoren
Windows-Ransomware verfügt über eine breitere Angriffsfläche, da sie in der Regel über Phishing-E-Mails, bösartige Downloads und Exploit-Kits auf einzelne Benutzergeräte und Unternehmens-Workstations abzielt, wodurch sie für eine Vielzahl von Benutzern und Unternehmen angreifbar ist.
Linux-Ransomware nutzt SSH-Schwachstellen, ungepatchte Software und falsch konfigurierte Cloud-Dienste aus und konzentriert sich auf hochwertige Ziele wie Unternehmensserver und Hosting-Plattformen, auf denen häufig wichtige Daten und Dienste gespeichert sind.
Ziele der Verschlüsselung
Windows-Ransomware verschlüsselt in der Regel alle Benutzerdateien und sperrt persönliche Daten, Dokumente und Anwendungen. Viele Varianten deaktivieren auch die Optionen zur Systemwiederherstellung, was die Entschlüsselung erschwert.
Linux-Ransomware konzentriert sich strategisch auf kritische Systemdateien, Webserverkonfigurationen und Datenbankverzeichnisse, um wichtige Geschäftsabläufe und nicht die Arbeitsabläufe einzelner Benutzer zu stören. Einige Ransomware-Varianten zielen speziell auf Docker- und Kubernetes-Umgebungen ab.
Lösegeldzahlungen und Erpressungsmethoden
Windows-Ransomware ist oft weit verbreitet und verlangt von einer großen Anzahl von Opfern kleinere Lösegelder. Ausgeklügelte Windows-Ransomware-Gruppen haben es jedoch auch auf große Unternehmen abgesehen und fordern Lösegelder in Höhe von mehreren Millionen Dollar.
Linux-Ransomware ist gezielter und kostspieliger und beinhaltet oft eine doppelte Erpressung, bei der die Angreifer Daten stehlen, bevor sie sie verschlüsseln, und damit drohen, sensible Informationen preiszugeben, wenn das Lösegeld nicht bezahlt wird.
Verfügbarkeit von Recovery Tools
Dank der Bemühungen von Sicherheitsforschern und Strafverfolgungsbehörden gibt es für einige Varianten von Windows-Ransomware Entschlüsselungstools. Auch Windows-Systemwiederherstellungspunkte helfen einigen Benutzern in bestimmten Situationen bei der Wiederherstellung von Daten.
Linux-Ransomware verfügt jedoch nur selten über öffentliche Entschlüsselungswerkzeuge. Folglich hängt die Rettung vor Linux-Ransomware-Angriffen fast ausschließlich davon ab, dass robuste und regelmäßig getestete Sicherungs- und Notfallwiederherstellungsstrategien vorhanden sind.
Hauptunterschiede zwischen alter und neuer Ransomware
Untersuchungen von Kaspersky's SecureList.com nennen die heutigen Versionen Ransomware 2.0, ein wichtiger Unterschied zwischen den alten Bedrohungen, die wir kennen, und den neuen von heute.
Alte Ransomware verwendet einen starken Algorithmus, um Daten auf einem System böswillig zu verschlüsseln und den Entschlüsselungsschlüssel auf einem vom Angreifer kontrollierten System zu speichern. Die Angreifer fordern dann ein Lösegeld, um den Zugriff auf die Daten wiederherzustellen.
Aktuelle Ransomware-Versionen ("2.0") exfiltrieren Daten aus internen Systemen und erpressen Geld für den Datenzugriff, indem sie das Opfer zur Zahlung zwingen, damit die Angreifer nicht alles online veröffentlichen.
Es ist zu erwarten, dass aktuelle Versionen den herkömmlichen Malwareschutz von Linux-Servern umgehen, indem sie Schwachstellen im Kernel, in gemeinsam genutzten Bibliotheken oder sogar in Userland-Anwendungen ausnutzen.
Ausweitung der Angriffsvektoren über verschiedene Plattformen hinweg
Angreifer konzentrieren sich auch auf plattformübergreifende Fähigkeiten, die es ihnen ermöglichen, in hybriden Netzwerken zwischen Windows- und Linux-Systemen zu wechseln.
Ein weiteres Problem ist die Entwicklung hochgradig zielgerichteter Ransomware, die auf den Einsatz gegen bestimmte Unternehmen zugeschnitten ist. Forscher untersuchen, wie diese Situationen versteckte Schwachstellen in Open-Source-Software aufdecken.
Die meisten Unternehmen und Behörden, die von neuen Ransomware-Varianten infiziert werden, verwenden aktuelle Antivirenprogramme, was zeigt, dass selbst die neueste Version des Endpunktschutzes nicht ausreicht, um neue Bedrohungen zu verhindern.
Wie man auf einen Linux-Ransomware-Angriff reagiert
Wenn Ihr Linux-System von Ransomware betroffen ist, kommt es auf Schnelligkeit und Präzision an. Die folgenden Schritte helfen, den Schaden einzudämmen, Beweise zu sichern und Ihre Daten wiederherzustellen - falls möglich.
Schritt 1: Isolieren Sie das infizierte System sofort
Trennen Sie den angegriffenen Computer vom Netzwerk, um zu verhindern, dass sich die Ransomware auf andere Geräte ausbreitet. Deaktivieren Sie Wi-Fi, ziehen Sie Ethernet-Kabel ab oder schalten Sie Netzwerkschnittstellen ab (z. B., sudo ip link set eth0 down, sudo ifconfig wlan0 down).
Vermeiden Sie einen Neustart oder das Löschen von Dateien - dies kann forensische Beweise zerstören und die Wiederherstellungsmöglichkeiten einschränken.
Schritt 2: Bewertung des Umfangs des Angriffs
Stellen Sie fest, welche Systeme, Dateien und Dienste betroffen waren. Suchen Sie nach Anzeichen für eine Dateiverschlüsselung (z. B. ungewöhnliche Erweiterungen oder Lösegeldforderungen) und überprüfen Sie die Protokolle auf verdächtige Aktivitäten:
sudo journalctl -xe
Dokumentieren Sie außerdem alles - Sie brauchen es für die Berichterstattung über den Vorfall und für künftige Analysen. Seien Sie sich bewusst, dass einige forensische Beweise flüchtig sind und schnell gesichert werden sollten, wenn eine gründliche Untersuchung geplant ist.
Schritt 3: Benachrichtigen Sie Ihre IT- und Sicherheitsteams
Alarmieren Sie interne Beteiligte und Ihr Reaktionsteam. Wenn Sie ein Unternehmen sind, beziehen Sie auch Ihre Rechts- und Compliance-Teams ein.
Ziehen Sie auch in Erwägung, sich an Cybersicherheitsunternehmen zu wenden, die sich auf die Bekämpfung von Ransomware spezialisiert haben. Wenn sensible Daten betroffen sind, müssen Sie die Sicherheitsverletzung möglicherweise an Aufsichtsbehörden oder betroffene Kunden melden.
Schritt 4: Vermeiden Sie die Zahlung des Lösegelds
Das Bezahlen ist keine Garantie dafür, dass Sie Ihre Daten zurückbekommen - und es finanziert kriminelle Aktivitäten. Das FBI rät von das Lösegeld zu zahlen. Melden Sie es stattdessen wie folgt:
- Wenden Sie sich an Ihre örtliche FBI-Außenstelle oder eine entsprechende Strafverfolgungsbehörde.
- Geben Sie online einen Tipp ab.
- Melden Sie es dem Internet Crime Complaint Center (IC3).
Schritt 5: Wiederherstellung aus Backups und Neuaufbau
Wenn Sicherungen vorhanden sind, löschen Sie das infizierte System und führen Sie eine saubere Betriebssysteminstallation durch, bevor Sie Daten wiederherstellen. Vergewissern Sie sich, dass das Backup von vor der Infektion stammt, und scannen Sie die Backup-Dateien nach Möglichkeit, um eine erneute Infektion zu vermeiden.
Konfigurieren Sie dann die Dienste mit aktualisierten und abgesicherten Konfigurationen neu. Führen Sie nach dem Neuaufbau einen umfassenden Sicherheitsscan durch, um sicherzustellen, dass keine Reste der Malware oder neue Schwachstellen vorhanden sind.
Schritt 6: Durchführung einer vollständigen Überprüfung nach dem Vorfall
Sobald die Wiederherstellung abgeschlossen ist, führen Sie eine Ursachenanalyse durch:
- Wie konnte die Ransomware eindringen?
- Welche Schwachstellen wurden ausgenutzt (z. B. ungepatchte Software, schwache Anmeldedaten, Fehlkonfigurationen)?
- Wurden die Sicherheitsrichtlinien eingehalten?
Nutzen Sie die Ergebnisse, um Ihre Sicherheitslage zu verbessern und zukünftige Angriffe zu verhindern. Machen Sie außerdem das Sicherheitsbewusstsein zu einem Teil Ihres Alltags, denn das schwächste Glied in jedem Cyber-Abwehrsystem ist der Mensch.
Sichern Sie Ihr Linux-System gegen Ransomware mit TuxCare
Die Realität ist eindeutig: Ransomware zielt jetzt aktiv auf Linux-Systeme ab, insbesondere auf solche, die Unternehmensabläufe, Cloud-Infrastrukturen und Webdienste betreiben. Die Umsetzung der in diesem Leitfaden beschriebenen Präventionsstrategien ist entscheidend für die Minimierung Ihres Risikos.
Eine umfassende Verteidigung erfordert jedoch auch Echtzeitschutz vor neuen Bedrohungen, einschließlich solcher, die auf ungepatchte Schwachstellen abzielen. KernelCare Enterprise von TuxCare bietet automatisiertes Live-Patching für Linux-Kernel und sorgt dafür, dass Ihre Server sicher bleiben, ohne dass störende Neustarts erforderlich sind.
KernelCare verkürzt die Zeit, in der ein System nicht gepatcht ist, wodurch das Angriffsfenster effektiv verkleinert und die Infektionsrate durch Ransomware gesenkt wird. Es ist ein kleiner Tribut, den Sie in Ihrem Kampf gegen das Lösegeld zahlen müssen.
Lassen Sie Ihre Linux-Systeme nicht verwundbar. Informieren Sie sich über die Lösungen von TuxCare für das Linux-Schwachstellenmanagement und ergreifen Sie noch heute proaktive Maßnahmen zur Absicherung Ihres Linux-Systems und Ihrer Verteidigung.
