Se você acompanha as notícias sobre segurança, é provável que tenha notado um aumento notável no número de ataques direcionados ao sistema operacional Linux nos últimos anos. No primeiro semestre de 2022, foi registrado um recorde alarmante: quase 1,7 milhão de novas variantes de malware direcionadas ao Linux foram identificadas.
Essa tendência pode parecer surpreendente, uma vez que o Linux é geralmente considerado um sistema operacional altamente seguro. Portanto, é natural questionar o que tem ocorrido recentemente e se a mídia está exagerando esses ataques. Além disso, surge a dúvida se o Linux continua sendo uma escolha viável para aqueles que valorizam a segurança.
Este artigo do tem como objetivo lançar luz sobre esses desenvolvimentos recentes, oferecer informações essenciais sobre as ameaças de malware no ambiente Linux e esclarecer as preocupações que envolvem essa situação.
O cenário moderno de ameaças do Linux
Lamentavelmente, apesar da reputação de segurança associada ao sistema operacional Linux, os dias em que ameaças como malware e vírus não representavam uma preocupação séria para os usuários de Linux são coisa do passado. Os invasores passaram a considerar os servidores Linux como alvos potenciais, muitas vezes oferecendo retornos valiosos sobre seus investimentos.
A evolução na pesquisa de malware nos últimos anos tem proporcionado uma visibilidade maior sobre os ataques que visam os servidores Linux. É importante destacar que qualquer servidor vulnerável representa uma porta de entrada para o roubo de dados e credenciais, ataques de negação de serviço distribuído (DDoS), mineração de criptomoedas e redirecionamento de tráfego web. Mais preocupante ainda, esses servidores podem ser explorados para hospedar redes de comando e controle (C&C) maliciosas.
A história dos malwares Linux
A crescente incidência de malware no ambiente Linux nos últimos anos, sem dúvida, cria a ilusão de uma nova ameaça direcionada a esses sistemas. Entretanto, na realidade, o malware destinado ao Linux já existe há algum tempo. O primeiro caso conhecido de malware Linux, chamado Stoag, foi identificado em 1996. Stoag era um vírus rudimentar que tentava obter privilégios de root ao se anexar a processos em execução. No entanto, sua disseminação foi limitada e foi rapidamente contido.
Embora o Stoag tenha conquistado notoriedade como o primeiro malware para Linux, o Bliss, que surgiu em 1997, foi a primeira variante a ganhar destaque. Semelhante ao Stoag, o Bliss era uma infecção leve que tentava obter acesso por meio de programas comprometidos e poderia ser desativado com uma simples alteração de shell.
Dave Wreski, CEO da Guardian Digital comenta sobre a evolução do malware Linux: “Ao longo dos anos, o malware direcionado ao Linux tornou-se mais sofisticado e disseminado. No entanto, até recentemente, o malware Linux ainda era relativamente escasso e primitivo em comparação com as variantes que ameaçavam sistemas operacionais proprietários. Até 2018, não tínhamos testemunhado ataques generalizados de malware ou vírus no Linux comparáveis aos que frequentemente afetavam o Microsoft Windows. Isso pode ser atribuído à falta de acesso root e às atualizações rápidas para a maioria das vulnerabilidades no Linux.” Infelizmente, para os usuários do Linux, essa era chegou ao fim. Nos últimos dois anos, o cenário de ameaças no Linux foi radicalmente remodelado, tornando-se consideravelmente mais complexo e perigoso.
Malware Linux: uma preocupação crescente para administradores
CloudSnooper
O Cloud Snooper adota uma abordagem singular ao empregar técnicas sofisticadas para infiltrar-se sorrateiramente em servidores Linux e Windows, estabelecendo comunicações discretas com servidores de comando e controle através de firewalls. Este malware permite que os agentes da ameaça configurem servidores na nuvem “de dentro para fora”, marcando uma inovação como o primeiro exemplo de uma fórmula de ataque que combina técnicas de evasão com uma carga útil multiplataforma, direcionando sistemas Windows e Linux simultaneamente.
Embora os componentes individuais das táticas, técnicas e procedimentos (TTPs) do Cloud Snooper já tenham sido observados em cenários anteriores, sua combinação inédita representa uma novidade. Especialistas em segurança preveem que esse conjunto de TTPs servirá como um modelo para futuros ataques de firewall, trazendo consigo novos e significativos riscos.
EvilGnome
Descoberto em julho de 2019, o EvilGnome opera sob a fachada de uma extensão do shell Gnome, permitindo que ele permaneça imperceptível para os sistemas de segurança enquanto espiona usuários de desktop. Esse malware é disseminado através de um arquivo autoextraível, criado usando o script shell makeself, e a infecção é automatizada por meio de um argumento de execução automática embutido nos cabeçalhos do arquivo autoexecutável. Quando infiltrado em um sistema Linux, o EvilGnome tem a capacidade de roubar arquivos, realizar capturas de tela do ambiente de trabalho, gravar áudio proveniente do microfone do usuário e baixar e executar outros módulos.
Os ataques associados ao EvilGnome foram atribuídos ao Grupo Gamaredon, uma notória entidade russa especializada em ameaças persistentes avançadas (APT) e conhecida por desenvolver variantes personalizadas de malware. Tanto os desenvolvedores do malware EvilGnome quanto o Grupo Gamaredon compartilham um provedor de hospedagem comum, e o EvilGnome se comunica com servidores C2 vinculados a domínios associados ao referido grupo de ameaças russo. Embora não se tenha confirmado que o Grupo Gamaredon tenha desenvolvido ou utilizado qualquer malware específico para Linux até o momento, as táticas e técnicas empregadas pelo backdoor Linux EvilGnome coincidem com as características usadas pelo grupo de ameaças russo. Essa correspondência sugere fortemente que o Grupo Gamaredon pode estar expandindo seu escopo de atuação, direcionando seus ataques sofisticados para o ambiente Linux.
HiddenWasp
No início de 2019, pesquisadores de segurança revelaram a presença de uma nova cepa de malware voltada para Linux, concebida por hackers chineses, capaz de assumir o controle remoto de sistemas previamente infectados. Conhecido como HiddenWasp, este malware sofisticado consiste em um trojan, um rootkit de modo de usuário e um script de implantação inicial. Ele é implantado como uma carga útil de segundo estágio e ostenta a habilidade de executar comandos de terminal, interagir com o sistema de arquivos local e uma gama de outras funcionalidades. O HiddenWasp compartilha semelhanças com várias outras famílias de malware destinadas ao Linux, como Azazel, ChinaZ e Adore-ng, sugerindo que partes de seu código podem ter sido adaptadas. Em contraste com os malwares Linux convencionais, o HiddenWasp não se concentra em atividades como ataques DDoS ou mineração de criptomoedas. Em vez disso, opera como um trojan voltado exclusivamente para controle remoto direcionado.
QNAPCrypt
Pesquisadores de segurança identificaram um raro caso de ransomware para Linux direcionado a servidores de armazenamento conectados à rede (NAS). O malware, chamado QNAPCrypt, é uma variante ARM que criptografa todos os arquivos. No entanto, diferentemente do ransomware padrão, a nota de resgate é entregue apenas como um arquivo de texto, sem qualquer mensagem na tela. Cada vítima recebe uma carteira Bitcoin única, tática que ajuda a ocultar a identidade dos atacantes. Uma vez que um sistema é infectado, o ransomware solicita um endereço de carteira e uma chave pública RSA do servidor de comando e controle (CC2) antes da criptografia de arquivos. Isso é uma grande falha no design do QNAPCrypt, pois permite que as vítimas bloqueiem temporariamente as operações dos criminosos cibernéticos. Apesar dessa fragilidade, o QNAPCrypt representa a “evolução e adaptação de um ataque para burlar os controles de segurança”, uma vez que não é muito comum os administradores de sistemas Linux implantarem monitoramento de endpoints em servidores de arquivos de rede.
GonnaCry
GonnaCry é uma variante emergente de ransomware voltada para sistemas Linux, que está atualmente em ativo desenvolvimento por pesquisadores em Python e C. O principal desenvolvedor, Tarcisio Marinho, compartilha a motivação por trás de seu trabalho: “Desde a disseminação global do ransomware WannaCry em maio de 2017, que afetou inúmeras empresas e países, comecei a me questionar se era realmente tão difícil impactar a vida de uma empresa ou de um indivíduo através de um computador. A resposta é sim, é possível, e o ransomware é um vírus de computador poderoso para alcançar esse objetivo.”
GonnaCry inicia seu processo ao identificar os arquivos que serão criptografados. Após a identificação, o malware executa sua rotina de criptografia, criando simultaneamente um arquivo de desktop que auxilia o descriptografador a acessar o caminho, a chave e o vetor de inicialização (IV) utilizados na criptografia de cada arquivo. Em seguida, o ransomware libera a memória previamente alocada pelos arquivos no computador. Embora GonnaCry não alcance a complexidade das variantes renomadas, como WannaCry e Petya, Tarcisio Marinho afirma que “a estrutura básica está operacional”.
FBOT
O FBOT é uma variante cliente da infame botnet Mirai, que direciona dispositivos IoT com sistemas Linux. Segundo o blog Malware Must Die!, o FBOT recentemente ressurgiu após quase um mês de inatividade em 9 de fevereiro de 2020, trazendo consigo diversas atualizações técnicas, incluindo avanços em seu método de infecção e um aumento na velocidade de propagação. O blog Malware Must Die! faz uma reflexão sobre o renascimento do FBOT e o futuro do malware voltado para dispositivos Linux IoT: “Estamos vivendo em uma era em que o malware Linux ou IoT está evoluindo e se tornando mais sofisticado. É de extrema importância colaborar na partilha de informações sobre ameaças e inteligência de segurança, a fim de impedir atividades maliciosas emergentes antes que se tornem um grande problema para todos nós no futuro.”
Tycoon
Tycoon é uma variante emergente de ransomware baseado em Java que visa sistemas Linux e Windows. Essa perigosa forma de ransomware foi identificada por pesquisadores de segurança da BlackBerry e utiliza um formato de arquivo pouco comum, tornando-o notoriamente difícil de ser detectado antes de executar sua criptografia de arquivos. Os pesquisadores que encontraram o Tycoon relatam que é a primeira vez que detectam um módulo de ransomware compilado em um formato de arquivo de imagem Java (JIMAGE). Esses arquivos JIMAGE raramente são analisados por soluções antimalware, o que significa que os arquivos JIMAGE maliciosos têm uma alta probabilidade de passar despercebidos. A BlackBerry explicou em um post de blog: “Os criadores de malware estão constantemente buscando novas maneiras de se esquivar da detecção. Eles estão gradualmente abandonando técnicas de ofuscação convencionais e migrando para linguagens de programação incomuns e formatos de dados obscuros.”
Os pesquisadores da BlackBerry observaram aproximadamente uma dúzia de infecções “altamente direcionadas” pelo Tycoon nos últimos seis meses. Os invasores parecem escolher suas vítimas com cuidado, dando preferência a pequenas e médias empresas nos setores de software e educação. No entanto, como é comum em casos assim, os pesquisadores sugerem que o número real de infecções provavelmente é muito maior.
Dicas e ferramentas para defender servidores Linux contra malware
Com a crescente incidência de ataques direcionados a servidores Linux, a segurança do sistema tornou-se uma prioridade crítica. Aqui estão algumas dicas e melhores práticas para proteger efetivamente servidores Linux:
Verificação de Configurações na Nuvem: Certifique-se de revisar e configurar corretamente todas as configurações na nuvem. A configuração inadequada e a falta de visibilidade são principais causas de ataques na nuvem.
Proteção dos Portais de Acesso Remoto: Garanta que os portais de acesso remoto estejam devidamente protegidos. Muitos ataques de rede acontecem porque invasores conseguem acessar um portal de acesso remoto legítimo e inseguro. Reforce a segurança nesse ponto.
Inventário de Dispositivos: Mantenha um inventário completo de todos os dispositivos conectados à rede e atualize regularmente todos os softwares de segurança nesses dispositivos.
Manutenção de Serviços Externos: Certifique-se de que todos os serviços externos estejam completamente atualizados e corrigidos. Lembre-se de que a segurança do firewall não substitui as medidas de segurança internas na nuvem da organização.
Regras Especiais no Firewall: Estabeleça regras especiais em seu firewall para bloquear pacotes de controle específicos, como os usados pelo Cloud Snooper.
Autenticação Multifator: Habilitar a autenticação multifator em todos os painéis de segurança ou painéis de controle internos é fundamental. Isso impede que agentes de ameaças desabilitem o software de segurança em caso de ataque.
Revisão de Logs do Sistema: Revise regularmente os logs do sistema. Raramente os agentes de ameaças conseguem assumir o controle de servidores sem deixar rastros. Esteja atento a entradas de log que indiquem atividades suspeitas, como ativação de drivers de kernel não autorizados.
Defesa em Profundidade: Lembre-se de que uma abordagem de segurança abrangente e em camadas é essencial para proteger seu sistema contra ameaças modernas e avançadas.
Ao adotar essas práticas recomendadas, você estará em uma posição mais forte para fortalecer a segurança de seus servidores Linux e mitigar riscos associados a ataques direcionados.
Como identificar e eliminar malware Linux com rapidez e precisão
Se porventura um malware for baixado em seu sistema, a capacidade de identificá-lo e eliminá-lo com rapidez e precisão é fundamental para garantir a segurança de você, seus usuários e seus arquivos. Felizmente, existem várias ferramentas de código aberto altamente eficazes disponíveis para detectar e remover malware em ambientes Linux. Algumas delas incluem:
Linux Malware Detect: O Linux Malware Detect é um scanner de malware projetado para ambientes Linux compartilhados. Ele utiliza dados de ameaças de sistemas de detecção de invasões na borda da rede para identificar e eliminar ativamente o malware utilizado em ataques, gerando assinaturas para detecção. Além disso, essa ferramenta também se beneficia de dados de ameaças enviados por usuários e comunidade.
Rootkit Hunter & Check Rootkit: O Rootkit Hunter (Rkhunter) e o Check Rootkit (chkrootkit) são ferramentas destinadas a verificar sistemas locais em busca de software potencialmente malicioso, como malware e vírus, que oculta sua presença em um sistema.
Lynis: O Lynis é um aplicativo de linha de comando que realiza verificações em sistemas locais ou remotos, auxiliando auditores na identificação de possíveis problemas de segurança.
Kali Linux: O Kali Linux é uma distribuição Linux amplamente utilizada em testes de penetração, hacking ético e análise forense digital. Ele oferece uma ampla gama de ferramentas de gerenciamento de segurança e penetração, que podem ser empregadas para a descoberta de rede e outros fins de pesquisa, bem como para a identificação de vulnerabilidades potenciais. O Kali Linux inclui muitas das outras ferramentas mencionadas aqui.
Cuckoo Sandbox: O Cuckoo Sandbox é uma excelente solução de sandboxing para análise de malware. Essa ferramenta permite a execução segura de possíveis amostras de malware e fornece relatórios abrangentes sobre o comportamento do código executado.
A utilização dessas ferramentas pode ser fundamental para manter seu sistema Linux seguro e protegido contra ameaças cibernéticas. É importante lembrar que a detecção precoce e a ação rápida são elementos-chave na defesa contra malware.
Malware como negócio
O mercado de malware está em constante expansão e evolução, impondo à indústria de segurança o desafio de acompanhar esse ritmo. O sucesso desse mercado impulsiona inovações rápidas, alimentando o crescimento e incentivando novas atividades maliciosas. Os agentes de ameaças estão desenvolvendo e utilizando tipos de malware cada vez mais ágeis e sofisticados em seus ataques, o que coloca engenheiros de segurança diante do desafio de construir defesas mais robustas. O tradicional software antivírus não é mais eficaz na detecção e combate a essas ameaças avançadas e modernas. Proteger-se contra os sofisticados ataques de malware de hoje requer uma abordagem abrangente e de defesa em profundidade da segurança digital.
De acordo com a Verizon, 92,4% do malware é entregue por meio de e-mails. Portanto, uma estratégia de segurança de e-mail eficaz é fundamental para evitar infecções perigosas e custosas. O malware representa uma ameaça séria para todas as empresas, uma vez que uma infecção pode resultar em tempo de inatividade significativo, custos de recuperação e danos à reputação. As pequenas empresas, em particular, enfrentam um risco adicional, pois muitas vezes não têm recursos e financiamento para manter um departamento de TI em tempo integral.
Conclusão
Agora, você deve estar se perguntando: Qual é o significado mais profundo desse crescente número de ataques ao Linux? O Linux é realmente menos seguro do que os especialistas acreditavam anteriormente? O que tudo isso implica para a comunidade Linux?
Apesar do aumento das ameaças direcionadas aos sistemas Linux, ainda existem evidências sólidas de que o Linux é intrinsecamente seguro desde o início. A transparência de seu código-fonte aberto e a vigilância constante a que esse código é submetido por uma comunidade global vibrante formam um argumento convincente em favor da segurança desse sistema operacional. Graças aos “muitos olhos” que continuamente revisam o código-fonte que compõe o kernel do Linux, as vulnerabilidades são identificadas e corrigidas mais rapidamente do que as falhas que podem persistir no código opaco dos sistemas operacionais proprietários, como o Microsoft Windows. Os agentes de ameaças reconhecem e exploram essa realidade, direcionando a maioria de seus ataques a software, plataformas e sistemas operacionais proprietários. Para fornecer uma perspectiva, de acordo com pesquisadores de segurança da ESET, o botnet Operation Windigo,
No entanto, o cenário das ameaças digitais está evoluindo rapidamente, tornando-se mais avançado e perigoso. Embora a maioria dos ataques ainda vise sistemas operacionais proprietários, os agentes de ameaças estão explorando novos alvos, como o Linux. Os usuários do Linux devem estar cientes do crescente risco que seus sistemas enfrentam e reconhecer que, à medida que esta nova década avança, priorizar a segurança e a manutenção do sistema é mais crítico do que nunca. Independentemente do sistema operacional utilizado, é fundamental que os usuários adotem práticas seguras, especialmente considerando o cenário moderno de ameaças digitais. Muitas vezes, os ataques de malware podem ser atribuídos a questões de administração e vulnerabilidades em contas individuais, em vez de problemas com a segurança do sistema operacional em si. Dave Wreski, CEO da Guardian Digital, afirma: “Embora seja fácil atribuir o aumento do malware Linux nos últimos anos às vulnerabilidades de segurança do sistema operacional como um todo, isso é injusto e, em grande parte, impreciso. A maioria das explorações de malware em sistemas Linux pode ser atribuída a configurações inadequadas de servidores.”
Em uma perspectiva mais ampla, o aumento do malware Linux deve servir como um alerta para a indústria de segurança, incentivando-a a alocar mais recursos para a detecção dessas ameaças. O malware Linux continuará a se tornar mais complexo, e, atualmente, até mesmo as ameaças comuns direcionadas ao Linux frequentemente passam despercebidas.
