Check Point Research (CPR) hat eine umfassende Studie veröffentlicht, in der die Sicherheitsforscher Ransomware-Angriffe gegen Linux- und Windows-Systeme analysieren, vergleichen und die Trends der IT-Bedrohungen beleuchten. CPR stellte eine erhebliche Vereinfachung bei den Ransomware-Familien fest, die auf Linux zielen.
Ransomware-Angriffe auf Linux-Systeme, insbesondere auf ESXi-Systeme, haben in den letzten Jahren stark zugenommen. Aus diesem Grund geht CPR auf die Feinheiten dieser Vorfälle ein und zieht Vergleiche zu ihren Windows-Pendants. In der Vergangenheit waren Ransomware-Bedrohungen vor allem auf Windows-Umgebungen ausgerichtet. Ransomware, die auf Linux ausgerichtet ist, gewinnt zunehmend an Bedeutung. Die CPR-Studie analysiert 12 bekannte Ransomware-Familien, die entweder direkt auf Linux-Systeme zielen oder über plattformübergreifende Fähigkeiten verfügen, die es ihnen ermöglichen, sowohl Windows als auch Linux wahllos zu infizieren.
Auf Linux zielende Ransomwares zeichnen sich durch ihre relative Einfachheit im Vergleich zu ihren Windows-Pendants aus. Viele dieser auf Linux ausgerichteten Bedrohungen stützen sich stark auf die OpenSSL-Bibliothek, wobei sich ChaCha20/RSA und AES/RSA als die häufigsten Verschlüsselungsalgorithmen in den analysierten Beispielen herausstellten.
Ein Blick auf die historische Entwicklung zeigt, dass das erste identifizierbare Beispiel von Ransomware auf das Jahr 1989 zurückgeht und Windows-Systeme betraf. Erst im Jahr 2015, mit Linux.Encoder.1, gewann Linux-spezifische Ransomware aber an Bedeutung. Trotz der Ausgereiftheit von Ransomware in Windows-Systemen wurden die Fähigkeiten erst in den letzten Jahren direkt auf Linux übertragen, was sich in einem deutlichen Anstieg der Angriffe seit 2020 zeigt. Die Kernfunktionen beschränken sich oft auf einfache Verschlüsselungsprozesse, die sich stark auf externe Konfigurationen und Skripte stützen, wodurch sie schwer zu erkennen sind. Die Studie hebt auch besondere Strategien hervor, die sich vor allem auf ESXi-Systeme konzentrieren, und identifiziert Schwachstellen in exponierten Diensten als primäre Einstiegsvektoren.
In Bezug auf die Ziel- und Opfertypologie unterscheidet sich Linux-Ransomware erheblich von ihren Windows-Pendants. Während Windows vor allem auf Personal-Computern und User-Workstations eingesetzt wird, dominiert Linux bei bestimmten Serverimplementierungen. Linux-Ransomware konzentriert sich in erster Linie auf exponierte Server oder solche innerhalb des internen Netzwerks, auf die durch Abzweigungen von Windows-Infektionen zugegriffen wird. Diese Ausrichtung deutet auf einen klaren Trend hin: Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten, im Gegensatz zu den allgemeineren Bedrohungen, die von Windows-Ransomware ausgehen. Die unterschiedlichen internen Strukturen beider Systeme beeinflussen auch die Vorgehensweise der Angreifer bei der Auswahl von Ordnern und Dateien für die Verschlüsselung. Linux-orientierte Beispiele meiden häufig kritische Verzeichnisse, um eine Beschädigung des Systems zu verhindern. Dies unterstreicht die gezielte und ausgefeilte Natur von Linux-Ransomware im Vergleich zu ihren Windows-Pendants.
Vergleicht man die Verschlüsselungstechniken von Windows- und Linux-Systemen, so stellt CPR eine Tendenz zu OpenSSL in Linux-Ransomware fest, mit AES (Advanced Encryption Standard) als gemeinsamen Verschlüsselungsgrundstein und RSA (Rivest–Shamir–Adleman) als primäre asymmetrische Wahl.
