Hier im Blog geht die Diskussion ja häufiger um die Frage, ob Windows oder Linux sicherer im Bezug auf Cyberangriffe sei. Check Point Research (CPR) hat eine umfassende Studie veröffentlicht, in der die Sicherheitsforscher Ransomware-Angriffe auf Linux- und Windows-Systemen analysieren, miteinander vergleichen und die sich entwickelnden Trends bei Cyber-Bedrohungen beleuchten.Die Ergebnisse sind mir kürzlich von CheckPoint zugegangen, so dass ich sie hier im Blog vorstellen kann.
Anzeige
Die Threat-Intelligence-Abteilung von Check Point® Software Technologies Ltd. stellte dabei eine erhebliche Vereinfachung bei den Ransomware-Familien fest, die auf Linux zielen. Ransomware-Angriffe auf Linux-Systeme, insbesondere auf ESXi-Systeme, haben in den letzten Jahren stark zugenommen. Aus diesem Grund geht CPR auf die Feinheiten dieser Vorfälle ein und zieht Vergleiche zu ihren Windows-Pendants.
In der Vergangenheit waren Ransomware-Bedrohungen vor allem auf Windows-Umgebungen ausgerichtet. Die Malware, die die Verschlüsselung der Daten ihrer Opfer zum Ziel hat, die die Angreifer dann meist erst gegen hohe Lösegeldsummen wieder freigeben, entwickelt sich jedoch stetig weiter. Ransomware, die auf Linux ausgerichtet ist, gewinnt dabei zunehmend an Bedeutung.
Die CPR-Studie analysiert 12 bekannte Ransomware-Familien, die entweder direkt auf Linux-Systeme abzielen oder über plattformübergreifende Fähigkeiten verfügen, die es ihnen ermöglichen, sowohl Windows als auch Linux wahllos zu infizieren.
Starker Anstieg von Ransomware-Angriffen auf Linux-Systeme seit 2021
Anzeige
Die Veröffentlichung des Babuk-Quellcodes im Jahr 2021 hat eine entscheidende Rolle bei der Verbreitung verschiedener Ransomware-Familien gespielt. Auf Linux abzielende zeichnen sich dabei durch ihre relative Einfachheit im Vergleich zu ihren Windows-Pendants aus.
Viele dieser auf Linux ausgerichteten Bedrohungen stützen sich stark auf die OpenSSL-Bibliothek, wobei sich ChaCha20/RSA und AES/RSA als die häufigsten Verschlüsselungsalgorithmen in den analysierten Beispielen herausstellten.
Ein Blick auf die historische Entwicklung zeigt, dass das erste identifizierbare Beispiel von Ransomware auf das Jahr 1989 zurückgeht und Windows-Systeme betraf. Erst im Jahr 2015, mit Linux.Encoder.1, gewann Linux-spezifische Ransomware an Bedeutung. Trotz der Ausgereiftheit von Ransomware in Windows-Systemen wurden die Fähigkeiten erst in den letzten Jahren direkt auf Linux übertragen, was sich in einem deutlichen Anstieg der Angriffe seit 2020 zeigt.
Abbildung: Linux Ransomware-Familien (oben) und Windows (unten) (Quelle Check Point 2023)
Die CPR-Studie deckt einen Trend zur Vereinfachung bei Ransomware-Familien auf, die auf Linux abzielen. Die Kernfunktionen beschränken sich oft auf einfache Verschlüsselungsprozesse, die sich stark auf externe Konfigurationen und Skripte stützen, wodurch sie schwer zu erkennen sind. Die Studie hebt auch besondere Strategien hervor, die sich vor allem auf ESXi-Systeme konzentrieren, und identifiziert Schwachstellen in exponierten Diensten als primäre Einstiegsvektoren.
Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten
In Bezug auf die Ziel- und Opfertypologie unterscheidet sich Linux-Ransomware erheblich von ihren Windows-Pendants. Während Windows vor allem auf Personal-Computern und User-Workstations eingesetzt wird, dominiert Linux bei bestimmten Serverimplementierungen. Linux-Ransomware konzentriert sich in erster Linie auf exponierte Server oder solche innerhalb des internen Netzwerks, auf die durch Abzweigungen von Windows-Infektionen zugegriffen wird.
Diese Ausrichtung deutet auf einen klaren Trend hin: Linux-Ransomware ist strategisch auf mittlere und große Unternehmen zugeschnitten, im Gegensatz zu den allgemeineren Bedrohungen, die von Windows-Ransomware ausgehen. Die unterschiedlichen internen Strukturen beider Systeme beeinflussen auch die Vorgehensweise der Angreifer bei der Auswahl von Ordnern und Dateien für die Verschlüsselung. Linux-orientierte Beispiele meiden dabei häufig kritische Verzeichnisse, um eine Beschädigung des Systems zu verhindern. Dies unterstreicht die gezielte und ausgefeilte Natur von Linux-Ransomware im Vergleich zu ihren Windows-Pendants.
Vergleicht man die Verschlüsselungstechniken von Windows- und Linux-Systemen, so stellt CPR eine Tendenz zu OpenSSL in Linux-Ransomware fest, mit AES (Advanced Encryption Standard) als gemeinsamen Verschlüsselungsgrundstein und RSA (Rivest–Shamir–Adleman) als primäre asymmetrische Wahl. Diese Einheitlichkeit zwischen verschiedenen Bedrohungsakteuren unterstreicht die sich entwickelnde Landschaft der Cyber-Bedrohungen.
Für eine detailliertere Untersuchung der vergleichenden Studie über Ransomware-Angriffe auf Linux und Windows, besuchen Sie den Check Point Research Blog, in dem die vollständigen Forschungsergebnisse zu finden sind. Dort finden sich unter anderem Analysen der folgenden, kürzlich beobachteten Ransomware-Familien:
Anzeige
Danke für die Zusammenfassung und die Links, die ein bischen Einblick in die Funktionsweise dieser Angriffe gibt. In meinem Bekanntenkreis ist jemand, in dessen Firma kürzlich alle ESXi-Server, um genauer zu sein, die virtuellen Disks der VMs von den chinesischen Cactus-Hackern verschlüsselt wurden. Eingebrochen sind sie scheinbar über unzurechend gewartete Fortinet-Gateways. Auch die ESXi und das vCenter waren da nicht ganz auf der Höhe der Zeit.
Man kann das jetzt als "selber schuld, hättet ja updaten können" abtun, aber da macht man es sich zu einfach. Auch vollständisch upgedatete Systeme können vom Hersteller unerkannte Sicherheitslücken haben, sonst würde ja das "Flash der Moderne", der Opensource-Browser Chrome und seine Abkömmlinge nicht wöchentlich mit Updates neue teils kritisch eingestufte Sicherheitslücken schließen.
Die mitlesenden Linuxer hier werden sich jetzt wieder ganz beruhigt zurücklehnen, weil sie ja nur eine kleine Minderheit unter den Desktopnutzern sind und sich beruhigt auf die Schultern klopfen, sie haben ja keinen Server, sie sind in ihrer Nische keine lohnende Ziele und ihnen kann ja nix passieren. Kommt noch. Wenn Linux-Server gehackt werden können, klappt das auch bei Desktops.
naja ist jetzt keine Erkenntnis die neu wäre… Verbreitung ist der Schlüssel.
Nen System was nur wenige nutzen ist nunmal nicht so interessant wie Milliarden von Systemen in der breiten Masse. Dazu braucht es aber keine Studie etwas nachdenken reicht.
Auch Linux wird von Hand geklöppelt, also sind da Fehler drin. Nur juckt es halt nicht bei der Anzahl an Desktops im World Wide Web.
Da frag ich mich immer wieviel Geld da für so eine Studie verbrannt wurde die auch nur das Offensichtliche zum Besten gibt.
Richtig, aber manch einem Zeitgenossen muss man genau solche Studien vor den Latz werfen, um sie auf den Boden der Tatsachen zu holen. Aber dann ist das Fake, denn es kann einfach nicht wahr sein. Die Nische schützt auf Dauer nicht, sich zu sehr in Sicherheit zu wiegen macht angreifbar.
Ich bin auch schon um die 10 Jahre + Admin für Linux Systeme (Debian, Ubuntu) und habe in der Zeit eine Menge sehen können. Linux Systeme sind eben auch keine Selbstläufer und müssen ebenso gewartet werden, wie andere Systeme. Nur, weil man ein Debian auf dem Server hat, ist man noch lange nicht safe.
Es braucht hier ebenfalls Fachwissen und Kenntnisse. Gerade, wenn man sowas im Firmenumfeld betreibt. Einfach nur ein paar YT Videos anschauen und dann denken, das kann ich auch, damit ist es nicht getan.
Das Problem sind auch die eingebauten Hintertüren. Auch frage ich mich schon lange wieso ein Betriebssystem mehrere Gigabyte an Speicherkapazität auf der Festplatte braucht. Ein einfach gehaltenes Betriebssystem reicht aus.
Auch immer mehr Programme die beim Betriebssystem dabei sind können auch viele Sicherheitslücken reißen. Ein schlankes Grundsystem kann auch besser gewartet werden aber wenn da immer mehr Programmzeilen dazu kommen wird es eben unsicher.
Das Problem mit den immer größer werdenden Betriebssystemen und auch Programmen sind schlicht die Programmierer.
Die kümmern sich nicht mehr um Optimierungen bzgl. Ressourcenbedarf.
Es ist einfacher, die Mindest-Systemanforderungen hochzuschrauben anstatt die Software zu optimieren.
Was kann z.B. ein aktuelles Microsoft Office 2021 wirklich entscheidendes mehr als ein Microsoft Office 2000?
Das aktuelle Office 2021 benötigt viel mehr Platz auf der Platte und auch mehr RAM ohne das der Nutzer davon einen wirklichen Vorteil hätte.
Office 2000 Pro braucht bei Komplettinstallation ca. 400 MB, Office 2021 braucht mindestens 4 GB, also 10 mal so viel!
Ein Word 2000 hat schon 95% der Funktionen eines Word 2021, braucht aber nur einen Bruchteil an Platz auf der Festplatte und im RAM.
Genauso ist es bei Windows.
Was kann Windows 11 wirklich entscheidendes mehr als ein Windows 2000, wenn man mal die ganze mitinstallierte Bloatware weglässt?
Mindestvoraussetzung bei Windows 2000 waren 650 MB freier Platz auf der Platte. Windows 11 braucht mindestens 64 GB, das ist fast 10 mal so viel!
Und dieser 10-fache Platzbedarf lässt sich auch nicht durch die Bloatware erklären.
mindestens ein Teil des erhöhten Platzbedarfs ist, dass heute etliche Treiber und auch alle Betriebssystemfunktionen gleich mit auf der Platte landen. Da muss man dann nicht mehr die CD einlegen, nur weil man am Netzwerktreiber was umgestellt hat.
zudem hat man heute eben viele Funktionen, die es damals nicht gab – und aufgrund des mangelnden Speicherplatzes und Rechenleistung unmöglich waren. Teilweise Funktionen, die man nicht an der Oberfläche sieht wie Virtualisierung und bessere Abschottung von Prozessen untereinander.
ja, der Speicherplatzbedarf ist sicher höher als zwingend notwendig. Aber man erwartet heute eben auch mehr.
I remember the legendary statement: von Microsoft-Gründer William „Bill" Henry Gates III „640 kB sollten eigentlich genug für jeden sein" er sagte mir zwar später mal, dass er das gar nicht so gesagt habe, sondern gar das Gegenteil – doch am Ende ist daraus ein Mythos geworden.
Ein OS sollte stets nur in je einer Sprache (von A-Z) erstellt werden und nicht in allen Sprachen dieser Welt und schon ist es sehr klein. Mit der AI sollte das in Zukunft kein Problem mehr sein.
Bin erst jetzt durch eine Verlinkung auf diesen Beitrag aufmerksam geworden, aber better late than never.
Die hier zitierte "Studie" halte ich für FUD einer Firma, die ihre Dienste verkaufen will. Die "Bedrohungen" enthalten viel "hätte, könnte, wenn". Keinen einzigen KONKRETEN Angriffsvektor kann ich erkennen. Konkret heißt: Mit ALLEN Schritten, auch dem Ersteintritt! Daran hapert es meistens. Die meisten Beschreibungen lesen sich wie "Und wenn der Schädling erst mal im System ist, kann er …". Ja, fein, und wie kommt er hinein? Zwei, drei einfache Klicks eines Users und bumm? Oder gar Zero-Klick remote? Nix da! Alles, was ich hier sehen kann, benötigt einen Innentäter und/oder vorherige dramatische Fehlleistungen in der Administration.
Ein nach den Regeln der Kunst gepflegtes Linux¹ ist, wenn überhaupt, nur durch böswillige Innentäter angreifbar (und selbst dagegen kann man vorbeugen). Falls jemand ein Gegenbeispiel haben sollte: Gerne her damit!
¹) Zur Klarstellung: Ich rede hier von Linux-Arbeitsplätzen und -Servern, nicht von Anwendungs-SW auf Servern (CMS, Datenbank, Shop, Webserver, …) Deren Absicherung ist ein eigenes Kapitel.