Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Principais conclusões
- Os sistemas Linux não estão imunes ao ransomware — os ataques estão aumentando, especialmente contra servidores, ambientes em nuvem e infraestrutura corporativa.
- O ransomware para Linux costuma utilizare de alto impacto, como dupla extorsão e interrupção de serviços, o que torna a recuperação complexa sem estratégias de defesa robustas.
- Ferramentas como KernelCare Enterprise reduzem significativamente a vulnerabilidade a ataques ao preencher lacunas críticas de segurança em tempo real.
“Chamava-se tributo antes da batalha e resgate depois”.
Essa famosa citação do autor inglês T.H. White representa o delicado equilíbrio necessário para manter os ciberataques sob controle. Sua empresa valoriza ao máximo a equipe de segurança, o departamento de TI e os fornecedores de soluções antimalware para manter seus servidores Linux protegidos.
Enquanto isso, os criminosos identificam sua empresa como um alvo para atingir seu objetivo de obter grandes somas de dinheiro. É feito um reconhecimento, ameaças se espalham lateralmente pela sua rede, ocorre a exfiltração de dados, até que você descobre que seu sistema Linux foi invadido de forma inesperada. Seus dados estão criptografados e uma nota de resgate exige o pagamento de um resgate.
Neste artigo, exploramos o ransomware, especificamente a maneira única como ele ataca sistemas baseados em Linux.
Uma breve visão geral sobre o que é o ransomware no Linux
O ransomware para Linux é um tipo de malware que tem como alvo sistemas baseados em Linux e exige o pagamento de resgate para a descriptografia.
Embora as camadas de fortificação e de permissões impeçam os usuários de realizar ações que afetem os dados em todo o sistema, é importante saber que os ataques de ransomware em redes Linux são realizados por meios mais subversivos. Não se trata do mesmo tipo de ataque que ocorre em um sistema baseado no Windows.
Em vez disso, os agentes mal-intencionados procuram vulnerabilidades em componentes dos sistemas Linux, como servidores web. Sua abordagem direcionada envolve o desenvolvimento de código personalizado para explorar essas vulnerabilidades, atacando, por fim, um componente como o kernel do Linux ou uma biblioteca compartilhada.
Por que os usuários do Linux devem se preocupar com ataques de ransomware
A segurança e a proteção dos seus dados ficam nas mãos de um invasor desconhecido que exige pagamento na elusiva moeda Bitcoin; caso contrário, sua organização sofrerá as consequências financeiras e de reputação — pois esse criminoso ficará com o seu dinheiro e, mesmo assim, decidirá exibir seus dados como um troféu de guerra em um“Mural da Vergonha”ou algo semelhante.
O valor médio pago em resgate atingiu a impressionante marca de US$ 2 milhões em 2024, um aumento de 500% em relação aos US$ 400.000 registrados em 2023. Além disso, um número preocupante de 63% das exigências de resgate em 2024 foi de US$ 1 milhão ou mais, com quase metade (46%) das organizações com receita inferior a US$ 50 milhões enfrentando exigências na casa dos sete dígitos. (Sophos)
Fonte da imagem: Akamai
O ransomware no Linux causa prejuízos financeiros, intelectuais e físicos a uma empresa, manchando sua reputação e imagem. Os arquivos criptografados ficam indisponíveis para funcionários e clientes, reduzindo a produtividade e as fontes de receita, além de gerar um prejuízo financeiro com o pagamento do resgate. Arquivos que contêm propriedade intelectual podem ser divulgados publicamente, trazendo o risco de descumprimento de regulamentações como o GDPR e a HIPAA.
Não se trata apenas de arquivos criptografados, mas também de uma ameaça à vida humana.
Os hospitais costumam ser os primeiros alvos porque as instituições de saúde fazem parte de um setor conhecido por possuir grandes recursos financeiros e protocolos de segurança deficientes. Um estudo revelou que, após uma violação de segurança, a incidência de mortes por ataques cardíacos aumenta. Um ataque impediu que um hospital alemão admitisse uma paciente que precisava de atendimento de urgência, o que resultou na morte dela.
Alvos do ransomware: quais dispositivos Linux estão em risco?
Embora qualquer sistema Linux vulnerável possa ser alvo de ransomware, certos tipos de dispositivos apresentam um risco maior devido à sua função e às falhas de segurança comuns:
Servidores corporativos: Empresas que utilizam servidores baseados em Linux para bancos de dados, aplicativos e armazenamento são alvos prioritários. Os invasores exploram vulnerabilidades do SSH, softwares sem atualizações e configurações incorretas.
Ambientes em nuvem: Máquinas virtuais, contêineres e serviços de armazenamento em nuvem rodando no Linux são frequentemente alvo de ataques, especialmente se não possuírem controles de acesso adequados.
Servidores de hospedagem na web: Muitos sites e serviços on-line são executados no Linux. O ransomware pode se espalhar por meio de plataformas CMS comprometidas, plug-ins desatualizados ou credenciais de administrador fracas.
Dispositivos de armazenamento conectados à rede (NAS): Os dispositivos NAS geralmente rodam um sistema operacional baseado em Linux e armazenam backups críticos, o que os torna alvos valiosos.
Dispositivos de IoT (Internet das Coisas): Além da infraestrutura tradicional de servidores e nuvem, um número crescente de dispositivos de IoT baseados em Linux também são alvos em potencial.
Ransomwares comuns no Linux
O cenário dos ransomwares para Linux está em constante evolução, com diversas famílias empregando vetores de ataque distintos e visando aspectos específicos dos ambientes Linux. Abaixo estão alguns dos mais notáveis que afetam servidores, ambientes em nuvem e empresas.
RansomEXX
O RansomEXX é uma família de ransomware de grande repercussão que tem como alvo servidores Linux. Inicialmente uma ameaça ao Windows, ela se expandiu para o Linux, infiltrando-se nos sistemas por meio de credenciais SSH roubadas ou vulnerabilidades não corrigidas. Uma vez dentro do sistema, ela bloqueia arquivos críticos, paralisando tudo, desde sistemas governamentais até infraestruturas em nuvem. Entre as vítimas de destaque estão a Konica Minolta e o Departamento de Transportes do Texas.
Fonte da imagem: SecureList
LockBit
O LockBit é um ransomware como serviço(RaaS) que tem como alvo servidores Linux, frequentemente utilizado em ataques automatizados contra empresas. Por ser um RaaS, trata-se de um modelo de franquia no qual os afiliados implantam o ransomware. Ele se propaga por meio de ataques de força bruta ao SSH, credenciais comprometidas ou e-mails de phishing. O algoritmo de criptografia rápido do LockBit torna a recuperação dos dados praticamente impossível sem um backup.
DarkSide
O grupo de ransomware DarkSide ganhou destaque por atacar grandes empresas e infraestruturas críticas. Ele se infiltra em sistemas Linux por meio de vulnerabilidades de acesso remoto e extrai dados antes de criptografá-los, recorrendo à dupla extorsão. As vítimas são pressionadas a pagar o resgate ou correm o risco de que seus dados sejam vazados publicamente.
Colmeia
O ransomware Hive tem como alvo ambientes Linux e baseados em nuvem, utilizando técnicas de criptografia altamente eficientes. Os invasores exploram VPNs vulneráveis, serviços RDP e painéis de administração expostos. Assim como o DarkSide, o Hive rouba dados confidenciais antes de criptografá-los, forçando as vítimas a pagar sob a ameaça de exposição dos dados.
Lilocked (Lilu)
O Lilocked tem como alvo principal servidores web baseados em Linux, criptografando arquivos e acrescentando um .lilocked extensão. Ela se espalha explorando softwares desatualizados e painéis de administração mal configurados, afetando plataformas de comércio eletrônico, blogs e sites corporativos. Como não criptografa os arquivos do sistema, o sistema operacional continua operacional, mas os dados do site ficam bloqueados.
Como prevenir ransomware no Linux
A prevenção contra ransomware exige medidas de segurança proativas. Aqui estão algumas dicas essenciais para proteger seus sistemas Linux contra ataques de ransomware:
Mantenha o software atualizado e com os patches instalados
O ransomware costuma explorar vulnerabilidades não corrigidas para obter acesso e ampliar seus privilégios em distribuições Linux. Portanto, atualizações regulares do sistema e a correção de vulnerabilidades são fundamentais para reduzir possíveis ataques.
Você pode instalar atualizações usando o gerenciador de pacotes da sua distribuição.
Para distribuições baseadas no Debian, você pode usar:
sudo apt update && sudo apt upgrade -y
Para distribuições baseadas no RHEL, você pode usar:
sudo dnf update -y
Além disso, certifique-se de que as atualizações de segurança sejam instaladas automaticamente. Ferramentas como o KernelCare Enterprise ajudam a automatizar a aplicação de correções de vulnerabilidades nos kernels do Linux sem a necessidade de reiniciar o sistema.
Implementar políticas de senhas robustas e segurança SSH
Exija senhas fortes e exclusivas para todas as contas de usuário, especialmente aquelas com privilégios administrativos. Desative o login via SSH com senha e utilize chaves SSH para autenticação. Limite o acesso via SSH aos usuários necessários e considere o uso de “port knocking” ou outras medidas de segurança, como a Autenticação Multifatorial (MFA), para restringir ainda mais o acesso.
Restringir privilégios do usuário
Limite quem pode executar comandos críticos. Aplique o princípio do privilégio mínimo (PoLP) para que apenas os usuários necessários tenham acesso como root ou via sudo. Isso limita os danos potenciais caso uma conta ou um aplicativo seja comprometido por ransomware.
Você pode verificar as permissões do usuário usando o seguinte comando:
sudo cat/etc/sudoers
Para um controle mais detalhado, saiba mais sobre a diferença entre o SELinux e o AppArmor para entender como cada ferramenta restringe ações não autorizadas.
Faça backups regulares dos seus dados
Faça backup dos seus dados e mantenha versões dos backups, para que a versão anterior esteja disponível para recuperação.
Ter backups frequentes, seguros e isolados garante que você possa recuperar arquivos sem precisar pagar resgate. Considere armazenar os backups offline e em um local separado, que não seja diretamente acessível a partir dos seus sistemas Linux.
Além disso, automatize os backups, se possível, e teste os procedimentos de restauração regularmente para garantir que funcionem quando necessário. Caso seu sistema seja infectado, interrompa imediatamente os backups programados para evitar que dados corrompidos sobrescrevam pontos de restauração válidos.
Implementar a segmentação de rede
Divida sua rede em segmentos isolados para limitar a propagação lateral do ransomware. Se um segmento for comprometido, a segmentação pode impedir que a infecção se espalhe para outras partes críticas da sua infraestrutura.
Ransomware no Linux x Windows: quais são as diferenças?
Embora a ameaça do ransomware paira tanto sobre os sistemas Linux quanto sobre os Windows, o panorama dos ataques, alvos e consequências varia consideravelmente. O ransomware para Linux costuma ter como alvo principal servidores e infraestrutura em nuvem, enquanto o ransomware para Windows tem um alcance mais amplo, afetando dispositivos individuais e terminais corporativos.
Vetores de ataque
O ransomware para Windows possui uma superfície de ataque mais ampla, geralmente visando dispositivos de usuários individuais e estações de trabalho corporativas por meio de e-mails de phishing, downloads maliciosos e kits de exploração, o que deixa uma ampla gama de usuários e organizações vulneráveis.
O ransomware para Linux explora vulnerabilidades do SSH, softwares sem atualizações e serviços em nuvem mal configurados, concentrando-se em alvos de alto valor, como servidores corporativos e plataformas de hospedagem, que muitas vezes abrigam dados e serviços críticos.
Objetivos de criptografia
O ransomware para Windows geralmente criptografa todos os arquivos do usuário, bloqueando o acesso a dados pessoais, documentos e aplicativos. Muitas variantes também desativam as opções de recuperação do sistema, dificultando a descriptografia.
O ransomware para Linux concentra-se estrategicamente em arquivos críticos do sistema, configurações de servidores web e diretórios de bancos de dados para interromper operações essenciais dos negócios, em vez de afetar os fluxos de trabalho de usuários individuais. Algumas variantes de ransomware têm como alvo específico ambientes Docker e Kubernetes.
Pagamento de resgate e métodos de extorsão
Os ransomwares para Windows costumam se espalhar amplamente e exigem resgates menores de um grande número de vítimas. No entanto, grupos sofisticados de ransomware para Windows também têm como alvo grandes empresas, exigindo resgates na casa de vários milhões de dólares.
O ransomware para Linux é mais direcionado e oneroso, envolvendo frequentemente a “dupla extorsão” — em que os invasores roubam os dados antes de criptografá-los, ameaçando vazar informações confidenciais caso o resgate não seja pago.
Disponibilidade de ferramentas de recuperação
Existem ferramentas de descriptografia de ransomware do Windows para algumas variantes, graças aos pesquisadores de segurança e aos esforços das autoridades. Os pontos de restauração do sistema do Windows também ajudam alguns usuários a recuperar dados em determinadas situações.
O ransomware para Linux, no entanto, raramente conta com ferramentas públicas de descriptografia. Consequentemente, a recuperação após ataques de ransomware no Linux depende quase inteiramente da existência de estratégias robustas e regularmente testadas de backup e recuperação de desastres.
Principais diferenças entre o ransomware antigo e o novo
Uma pesquisa do SecureList.com, da Kaspersky, classifica as versões atuais como Ransomware 2.0, uma distinção importante entre as antigas ameaças que conhecemos e as novas de hoje.
Os ransomwares mais antigos utilizam um algoritmo robusto para criptografar dados em um sistema de forma maliciosa, armazenando a chave de descriptografia em um sistema controlado pelo invasor. Em seguida, os invasores exigem um resgate para restabelecer o acesso aos dados.
As versões atuais de ransomware (“2.0”) extraem dados de sistemas internos e exigem dinheiro em troca do acesso a esses dados, pressionando a vítima a pagar para impedir que os invasores publiquem tudo na internet.
É de se esperar que as versões atuais contornem a proteção antimalware tradicional dos servidores Linux, explorando vulnerabilidades no kernel, nas bibliotecas compartilhadas ou até mesmo nos aplicativos do espaço do usuário.
Expansão dos vetores de ataque em todas as plataformas
Os invasores também estão se concentrando em recursos multiplataforma, o que lhes permite transitar entre sistemas Windows e Linux em redes híbridas.
Outra preocupação é o desenvolvimento de ransomwares altamente direcionados, criados sob medida para serem usados contra empresas específicas. Os pesquisadores estão analisando como essas situações expõem vulnerabilidades ocultas em softwares de código aberto.
A maioria das empresas e organizações governamentais infectadas por novas variantes de ransomware utiliza programas antivírus atualizados, o que comprova que mesmo a versão mais recente de proteção de terminais não é suficiente para impedir novas ameaças.
Como reagir a um ataque de ransomware no Linux
Se o seu sistema Linux for atacado por um ransomware, a rapidez e a precisão são fundamentais. As etapas a seguir ajudam a conter os danos, preservar as evidências e recuperar seus dados — se possível.
Passo 1: Isole imediatamente o sistema infectado
Desconecte o computador infectado da rede para impedir que o ransomware se espalhe para outros dispositivos. Desative o Wi-Fi, desconecte os cabos Ethernet ou desative as interfaces de rede (por exemplo, sudo ip link set eth0 down, sudo ifconfig wlan0 down).
Evite reiniciar o computador ou excluir arquivos — isso pode destruir provas forenses e limitar as opções de recuperação.
Etapa 2: Avaliar o alcance do ataque
Identifique quais sistemas, arquivos e serviços foram afetados. Procure por sinais de criptografia de arquivos (por exemplo, extensões incomuns ou notas de resgate) e verifique os registros em busca de atividades suspeitas:
sudo journalctl -xe
Além disso, documente tudo — você precisará dessas informações para relatar incidentes e realizar análises futuras. Esteja ciente de que algumas evidências forenses são voláteis e devem ser coletadas rapidamente caso se pretenda realizar uma investigação completa.
Etapa 3: Notifique suas equipes de TI e de segurança
Alerte as partes interessadas internas e sua equipe de resposta a incidentes. Se você for uma empresa, envolva também suas equipes jurídica e de conformidade.
Além disso, considere entrar em contato com empresas de segurança cibernética especializadas em resposta a ataques de ransomware. Se houver dados confidenciais envolvidos, talvez seja necessário notificar as autoridades reguladoras ou os clientes afetados sobre a violação.
Passo 4: Evite pagar o resgate
Pagar não garante que você recupere seus dados — e ainda financia atividades criminosas. O FBI recomenda que pagar o resgate. Em vez disso, denuncie o caso da seguinte forma:
- Entre em contato com o escritório regional do FBI mais próximo ou com uma agência de segurança pública equivalente.
- Envie uma dica online.
- Denuncie o caso ao Centro de Denúncias de Crimes na Internet (IC3).
Etapa 5: Restaurar a partir de backups e reconstruir
Se houver backups disponíveis, apague todo o conteúdo do sistema infectado e faça uma instalação limpa do sistema operacional antes de restaurar os dados. Certifique-se de que o backup tenha sido feito antes da infecção e, se possível, verifique os arquivos de backup para evitar uma nova infecção.
Em seguida, reconfigure os serviços com configurações atualizadas e reforçadas. Após a reconstrução, realize uma verificação de segurança abrangente para garantir que não haja vestígios do malware nem novas vulnerabilidades.
Etapa 6: Realizar uma análise completa pós-incidente
Assim que a recuperação estiver concluída, realize uma análise da causa raiz:
- Como o ransomware conseguiu entrar?
- Quais vulnerabilidades foram exploradas (por exemplo, software sem atualizações, credenciais fracas, configurações incorretas)?
- As políticas de segurança foram seguidas?
Utilize as conclusões para melhorar sua postura de segurança e prevenir ataques futuros. Além disso, torne a conscientização sobre segurança parte do dia a dia, pois o elo mais fraco em qualquer esquema de defesa cibernética é o ser humano.
Proteja seu sistema Linux contra ransomware com a TuxCare
A realidade é clara: atualmente, o ransomware tem como alvo direto os sistemas Linux, especialmente aqueles que sustentam as operações corporativas, a infraestrutura em nuvem e os serviços da web. A implementação das estratégias preventivas descritas neste guia é fundamental para minimizar o risco.
No entanto, uma defesa abrangente também exige proteção em tempo real contra ameaças emergentes, incluindo aquelas que têm como alvo vulnerabilidades sem patch. O KernelCare Enterprise da TuxCare oferece aplicação automatizada de patches em tempo real para kernels do Linux, garantindo que seus servidores permaneçam seguros sem a necessidade de reinicializações que causem interrupções.
O KernelCare reduz o tempo em que um sistema fica sem patches, diminuindo efetivamente as janelas de ataque e reduzindo a taxa de infecção por ransomware. É um pequeno preço a pagar na sua batalha para evitar o resgate.
Não deixe seus sistemas Linux vulneráveis. Conheça as soluções da TuxCare para gerenciamento de vulnerabilidades no Linux e tome medidas proativas para fortalecer seus sistemas Linux e suas defesas ainda hoje.
