Erpresser-Trojaner nimmt Linux und Server ins Visier

Relativ selten greifen Cyber-Kriminelle mit ihrer Malware Linux-Nutzer an. Zu niedrig ist die Verbreitung im Vergleich zu Windows, ausserdem gilt das freie Betriebssystem per se als deutlich sicherer. Nun hat der Antivirusanbieter Dr. Web jedoch einen Erpresser-Trojaner entdeckt, der nur unter Linux läuft.

Nach einer erfolgreichen Infektion verschlüsselt Linux.Encoder.1 – wie seine Windows-Verwandten auch – Dateien auf der Festplatte. Der Schädling sucht dazu nach dem „Home“-Verzeichnis des Anwenders und verschlüsselt dort abgelegte Daten.

Aber nicht nur das: Weil viele Webseiten auf Linux-Servern laufen, macht sich Linux.Encoder.1 auch auf die Suche nach Ordnern, in denen normalerweise Webseiten abgespeichert werden. Auch diese Inhalte verschlüsselt der Trojaner dann.

Anschliessend legt Linux.Encoder.1 in jedem Verzeichnis, das verschlüsselte Dateien enthält, eine Datei mit einer Lösegeldforderung ab. Für eine Zahlung von einem Bitcoin soll das Opfer wieder Zugriff auf seine Dateien erhalten. Das sind nach aktuellem Kurs etwa 350 Euro.

Laut Dr. Web nutzen die Kriminellen unter anderem Sicherheitslücken im Content-Management-System Magento, um Linux.Encoder.1 auf Webservern einzuschleusen. Anschliessend muss die Datei aber noch mit Root-Rechten ausgeführt werden. Wie der Sicherheitsanbieter berichtet, seien ihm trotz dieser Hürde bereits mindestens zehn Opfer bekannt.