Linux är ett av världens populäraste operativsystem som i praktiken utgör en del av kärnan i dagens digitala infrastruktur, är på väg att bli många cyberkriminellas biljett in i multi-cloudmiljöer.
Anledningen till detta är att de flesta av dagens säkerhetslösningar mot skadlig kod fokuserar på Windows-baserade hot, vilket lämnar många offentliga och privata moln sårbara för attacker mot applikationer baserade på Linux.
Idag presenterar VMware en färsk rapport “Exposing Malware in Linux-Based Multi-Cloud Environments” för att ge ökad kunskap inom detta område och utvalda delar från rapporten visar:
- Ransomware utvecklas i allt högre grad för att angripa så kallade ”host images”, som används för att skapa laster i virtualiserade miljöer
- 89 procent av så kallade kryptokapningsattacker använder XMRig-relaterade bibliotek
- Över hälften av Cobalt Strikes användare kan vara cyberkriminella, eller användare som hanterar Cobalt Strike på ett olagligt sätt
– Cyberkriminella hanterar allt fler tekniker och adderar skadlig kod som riktas mot Linux-baserade operativsystem för att maximera effekterna av sina attacker med så lite ansträngning som möjligt, säger Claes Sandahl, Manager System Engineering, VMware. Angripare ser både offentliga och privata moln som lämpliga måltavlor, eftersom de ger en väg in i kritisk infrastruktur och konfidentiellt data. Tyvärr är dagens säkerhetslösningar oftast fokuserade på att hantera Windows-baserade hot, vilket lämnar många applikationer sårbara i både privata och offentliga moln.
I takt med att angreppen mot Linux-baserade operativsystem ökar i antal och komplexitet måste verksamheter lägga mer resurser på hothantering. I rapporten VMware Threat Analysis analyseras hoten mot Linuxs operativsystem i multicloud-miljöer, och dessa är några av resultaten som presenteras:
Ransomware-attacker mot molnet
Ransomware-attacker utgör de vanligaste sårbarhetsattackerna mot verksamheter, inte sällan med förödande konsekvenser. Dessa attacker kombineras ofta med dataexfiltrering, offren dessutom riskerar att bli bestulna på känsliga data. Bland de ökade hoten riktade mot Linux återfinns ransomware-typerna Defray777; som tidigare till exempel krypterat ”host images” på ESXi-servrar, och DarkSide; som bland annat orsakat en nedstängning av Colonial Pipelines oljetillförsel i USA.
”Stöld av kryptovaluta” allt vanligare
Cyberkriminella vill gärna tjäna pengar direkt på sina attacker, och därför ökar ”stölder av kryptovaluta” via Linux-system markant. Dessa attacker sker oftast genom skadlig kod som stjäl pengar från offret, eller genom kryptokapning, i vilka angriparna bryter kryptovaluta åt sig själva via offrets dator. Eftersom dessa attacker, till skillnad mot till exempel ransomware-attacker, inte avbryter den drabbade organisationens system, är de mycket svåra att upptäcka.
Cobolt Strike det vanligaste verktyget
Det blir allt vanligare att angripare försöker ta kontroll över en miljö genom att installera skadliga implantat, såsom skadlig kod, eller så kallade webshells och Remote Access Tools, i systemet. Ett av de vanligaste implantaten är Cobalt Strike och dess variant av det Linux-baserade Vermilion Strike.
