Besonders raffinierte Linux-Malware bedroht Cloud-Server massiv

Cloud-Infrastrukturen gelten als gut gesichert, doch das Framework VoidLink unterläuft etablierte Schutzmaßnahmen gezielt. Die Malware erkennt ihre Umgebung, passt ihr Verhalten dynamisch an und nutzt sogar Admin-Tools, um sich vor der Entdeckung zu tarnen.

Gefahr für Linux-Cloud-Umgebungen

VoidLink heißt ein neues Framework, das Sicherheitsforschern derzeit Sorgen bereitet. Es handelt sich um eine hoch entwickelte, modulare Malware, die speziell für Linux-Cloud-Server konzipiert wurde. Da über 90 Prozent der weltweiten Cloud-Infrastruktur auf Linux basieren, ist das potenzielle Angriffsfeld enorm. Das Framework zielt auf große Plattformen wie AWS, Google Cloud und Azure sowie auf Container-Umgebungen wie Docker und Kubernetes ab.

Das Ziel der Angreifer ist dabei meist langfristige Spionage, Datendiebstahl oder die Vorbereitung von Angriffen auf die Lieferkette. Das Besondere an VoidLink ist die Anpassungsfähigkeit: Die Software erkennt ihre Umgebung und modifiziert ihr Verhalten, um Sicherheitsmaßnahmen zu umgehen. Aktuell sind noch keine aktiven Infektionen bekannt, was auf eine frühe Entwicklungsphase oder eine sehr gezielte Verbreitung hindeutet.

Die Architektur basiert auf den Programmiersprachen Zig, Go und C. Besonders der Einsatz von Zig ist bemerkenswert, da diese junge Sprache in der Malware-Entwicklung noch selten anzutreffen ist, aber durch kompakte Binärdateien und einfache Cross-Compilation Vorteile für Angreifer bietet. VoidLink nutzt ein komplexes System aus über 30 Plug-ins, die bei Bedarf nachgeladen werden können. Diese Modularität erlaubt es den Angreifern, Funktionen wie das Auslesen von Passwörtern, SSH-Schlüsseln, Browser-Daten oder API-Token flexibel hinzuzufügen.


Das Framework kommuniziert über ein eigenes Protokoll namens VoidStream, das den Datenverkehr über HTTP, WebSocket oder DNS als legitime Web- oder API-Aktivität tarnt. Zudem beherrscht die Malware das sogenannte Timestomping, bei dem Zeitstempel von Dateien manipuliert werden, um forensische Analysen zu erschweren und die Infektionszeitpunkte zu verschleiern.

Hinweise auf chinesische Urheber

Wie die Sicherheitsexperten in einer aktuellen CheckPoint-Analyse ausführen, deutet vieles auf Urheber aus dem chinesischen Raum hin. Indizien hierfür sind spezifische Spracheinstellungen im grafischen Interface der Management-Konsole und Optimierungen im Code, die auf dortige Zeitzonen abgestimmt sind.

Das Framework wirkt äußerst professionell strukturiert und verfügt über eine umfangreiche Dokumentation, was darauf schließen lässt, dass es als kommerzielles Produkt im Modell Malware-as-a-Service (MaaS) an andere Cyberkriminelle verkauft werden soll. Die Experten betonen, dass der Reifegrad der Software weit über typische Linux-Malware hinausgeht.


Ein Kernaspekt von VoidLink ist die Tarnung durch fortschrittliche Techniken. Abhängig von der Kernel-Version des Wirtssystems nutzt die Malware verschiedene Rootkit-Methoden wie LD_PRELOAD, LKM oder eBPF, um Prozesse, Dateien und Netzwerkaktivitäten vor dem Administrator zu verbergen. Insbesondere der Missbrauch von eBPF (Extended Berkeley Packet Filter) zeigt die technische Raffinesse: Diese Technologie dient eigentlich dazu, Programme sicher im Kernel-Kontext auszuführen, um Systeme zu überwachen, wird hier jedoch genutzt, um die Malware nahezu unsichtbar zu machen. Das Framework klinkt sich tief in das System ein, ohne den Kernel selbst verändern zu müssen, was die Stabilität erhöht und Abstürze vermeidet, die die Malware verraten könnten.

Intelligenter Selbstschutz

Bevor Angriffsmodule starten, berechnet die Software einen Risikowert basierend auf den installierten Sicherheitslösungen und Härtungsmaßnahmen. Das System prüft aktiv auf das Vorhandensein von EDR-Lösungen (Endpoint Detection and Response) oder Virenscannern. Bei hohem Entdeckungsrisiko agiert VoidLink langsamer, etwa durch stark verlangsamte Port-Scans, um unter dem Radar der Überwachungstools zu bleiben.

Sollte ein Debugger oder eine Manipulation am Code erkannt werden, löscht sich das Implantat selbstständig. Dabei überschreibt es alle Spuren auf der Festplatte sicher, um eine Wiederherstellung durch Forensiker unmöglich zu machen.

Nutzt ihr bereits spezielle Sicherheitslösungen für eure Linux-Server oder verlasst ihr euch auf die Cloud-Provider? Schreibt eure Erfahrungen gerne in die Kommentare. Wir sind gespannt auf eure Meinung!


Siehe auch: