برمجيات خبيثة لنظام لينكس

تشكل الفيروسات المذكورة أدناه تهديدًا محتملاً، وإن كان ضئيلاً، لأنظمة لينكس. في حال تشغيل ملف تنفيذي مصاب بأحد هذه الفيروسات، سيتعرض النظام لإصابة مؤقتة، نظرًا لأن نواة لينكس موجودة في الذاكرة للقراءة فقط. يعتمد مستوى الإصابة على المستخدم الذي قام بتشغيل الملف التنفيذي وما هي صلاحياته. فتشغيل ملف تنفيذي بصلاحيات المستخدم الجذر (root) كفيل بإصابة النظام بأكمله. كما أن ثغرات تصعيد الصلاحيات قد تسمح للبرامج الضارة التي تعمل بحساب محدود بإصابة النظام بأكمله.

ينطبق هذا على أي برنامج خبيث يُشغَّل دون اتخاذ خطوات خاصة لتقييد صلاحياته. من السهل إضافة جزء من التعليمات البرمجية إلى أي برنامج قد يُنزِّله المستخدم، والسماح لهذا الجزء بتنزيل خادم تسجيل دخول مُعدَّل، أو برنامج ترحيل بريد مفتوح ، أو برنامج مشابه، وتشغيل هذا المكون الإضافي في كل مرة يُسجِّل فيها المستخدم دخوله. لا تتطلب هذه العملية مهارات خاصة في كتابة البرامج الخبيثة. قد تتطلب مهارة خاصة خداع المستخدم لتشغيل البرنامج ( حصان طروادة ) في المقام الأول.

يُقلل استخدام مستودعات البرامج بشكلٍ كبير من خطر تثبيت البرامج الضارة، حيث يقوم القائمون على صيانتها بفحصها لضمان خلوها من البرامج الضارة. ولضمان التوزيع الآمن للبرامج، تُتاح قيم التحقق (checksums) . تُتيح هذه القيم الكشف عن النسخ المُعدّلة التي قد تكون قد أُدخلت، على سبيل المثال، عن طريق اختراق الاتصالات باستخدام هجوم الوسيط (man-in-the-middle attack) أو عبر هجوم إعادة التوجيه مثل تسميم بروتوكول ARP أو DNS . يُوفر الاستخدام الدقيق لهذه التوقيعات الرقمية خط دفاع إضافي، مما يُحد من نطاق الهجمات ليقتصر على المؤلفين الأصليين والقائمين على صيانة الحزم والإصدارات، وربما آخرين ممن لديهم صلاحيات إدارية مناسبة، وذلك بحسب كيفية التعامل مع المفاتيح وقيم التحقق. كما تضمن عمليات البناء القابلة للتكرار تحويل شفرة المصدر الموقعة رقميًا إلى تطبيق ثنائي بشكلٍ موثوق.

يُعدّ التهديد التقليدي لأنظمة يونكس هو وجود ثغرات أمنية في برامج إدارة الشبكة ، مثل SSH وخوادم الويب. يمكن استغلال هذه الثغرات من قِبل الديدان أو لشنّ هجمات على أهداف محددة. ونظرًا لسرعة إصلاح الخوادم عند اكتشاف ثغرة أمنية، لم تنتشر سوى عدد قليل من الديدان واسعة الانتشار من هذا النوع. ولأنّ استغلال الثغرات الأمنية غير المعروفة للعموم يُتيح مهاجمة أهداف محددة، فلا يوجد ما يضمن أمان أي نظام. كما يُمكن اختراق الخوادم التي لا تحتوي على مثل هذه الثغرات بنجاح باستخدام كلمات مرور ضعيفة .

قد تستغل البرامج الضارة خوادم لينكس دون أي هجوم مباشر على النظام نفسه، وذلك في حال عدم كفاية القيود أو الفحص على محتوى الويب والبرامج النصية، ما يسمح للبرامج الضارة باستخدامها لمهاجمة الزوار. تستخدم بعض الهجمات برامج ضارة معقدة لمهاجمة خوادم لينكس، ولكن عندما يحصل معظمها على صلاحيات الجذر الكاملة، يصبح بإمكان المخترقين الهجوم عن طريق ^{[ 7 ]} تعديل أي شيء، مثل استبدال الملفات التنفيذية أو حقن وحدات برمجية. قد يسمح هذا بإعادة توجيه المستخدمين إلى محتوى مختلف على الويب. ^{[ 8 ]} عادةً، قد يسمح برنامج نصي CGI مُصمم لإضافة التعليقات، عن طريق الخطأ، بتضمين تعليمات برمجية تستغل ثغرات في متصفح الويب .

كانت توزيعات لينكس القديمة حساسة نسبيًا لهجمات تجاوز سعة المخزن المؤقت : فإذا لم يكن البرنامج يكترث بحجم المخزن المؤقت نفسه، فإن النواة توفر حماية محدودة فقط، مما يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية بصلاحيات التطبيق المُستهدف. وكانت البرامج التي تحصل على صلاحيات الجذر حتى عند تشغيلها من قِبل مستخدم غير الجذر (عبر بت setuid ) هدفًا جذابًا للهجوم. مع ذلك، اعتبارًا من عام 2009، تتضمن معظم النوى تقنية عشوائية تخطيط مساحة العناوين (ASLR)، وحماية مُحسّنة للذاكرة ، وامتدادات أخرى تجعل مثل هذه الهجمات أكثر صعوبة.

من بين المجالات التي أثارت القلق في عام 2007، مشكلة الفيروسات متعددة المنصات ، والتي تفاقمت بسبب انتشار التطبيقات متعددة المنصات. وقد برزت هذه المشكلة بشكل خاص في مجال الوعي بالبرمجيات الخبيثة مع انتشار فيروس "بادباني" الذي استهدف موقع OpenOffice.org .

كتب ستيوارت سميث من شركة سيمانتك ما يلي:

ما يجعل هذا الفيروس جديرًا بالذكر هو أنه يُظهر مدى سهولة استغلال منصات البرمجة النصية، وقابلية التوسع، والإضافات، وActiveX، وغيرها. غالبًا ما يُغفل هذا الأمر في سبيل مطابقة الميزات مع مورد آخر... تكتسب قدرة البرامج الضارة على البقاء في بيئة متعددة المنصات والتطبيقات أهمية خاصة مع تزايد انتشارها عبر مواقع الويب. كم من الوقت سيمر قبل أن يستخدم أحدهم شيئًا كهذا لزرع برنامج خبيث مكتوب بلغة JavaScript على خادم ويب، بغض النظر عن المنصة؟ ^{[ 9 ]}

كما هو الحال مع أي نظام تشغيل، فإن نظام لينكس عرضة للبرمجيات الخبيثة التي تخدع المستخدم لتثبيته عبر الهندسة الاجتماعية . في ديسمبر 2009، تم اكتشاف شاشة توقف خبيثة على شكل شلال تحتوي على برنامج نصي يستخدم جهاز الكمبيوتر المصاب بنظام لينكس في هجمات حجب الخدمة . ^{[ 10 ]}

أشار تقرير IBM الأمني: "تضاعف الهجمات على القطاعات الداعمة لجهود الاستجابة لجائحة كوفيد-19"، إلى نقطة رئيسية مفادها أن "المجرمين الإلكترونيين يُسرّعون استخدام برمجيات لينكس الخبيثة - مع زيادة بنسبة 40% في عائلات البرمجيات الخبيثة المرتبطة بنظام لينكس خلال العام الماضي، وزيادة بنسبة 500% في البرمجيات الخبيثة المكتوبة بلغة Go خلال الأشهر الستة الأولى من عام 2020، يُسرّع المهاجمون من انتقالهم إلى برمجيات لينكس الخبيثة، التي يُمكن تشغيلها بسهولة أكبر على منصات متنوعة، بما في ذلك بيئات الحوسبة السحابية". كما أن استخدام هؤلاء المجرمين الإلكترونيين المتزايد لأنظمة لينكس ويونكس لاستهداف المستشفيات والقطاعات المرتبطة بها (التي تعتمد على هذه الأنظمة وشبكات الحوسبة السحابية) يجعلها أكثر عرضة للهجمات خلال أزمة كوفيد-19، كما حدث في الهجوم الإلكتروني على الصليب الأحمر . ^{[ 11 ]}

تُعدّ هذه التطبيقات مفيدة لأجهزة الكمبيوتر (عادةً الخوادم) التي تُمرّر الملفات إلى مستخدمي نظام التشغيل مايكروسوفت ويندوز . وهي لا تبحث عن التهديدات الخاصة بنظام لينكس.

تبحث هذه التطبيقات عن التهديدات الفعلية لأجهزة الكمبيوتر التي تعمل بنظام لينكس والتي يتم تشغيلها عليها.

• chkrootkit (برنامج مجاني ومفتوح المصدر) ^{[ 21 ]}
• ClamAV (برنامج مجاني ومفتوح المصدر) ^{[ 22 ]}
• كومودو (ملكية خاصة) ^{[ 23 ]}
• كراود سترايك (شركة خاصة)
• دكتور ويب (ملكية خاصة) ^{[ 15 ]}
• ESET (شركة خاصة) ^{[ 24 ] [ 25 ] [ 26 ] [ 27 ]}
• أداة إزالة الفيروسات من كاسبرسكي (KVRT) لنظام لينكس (مجانية) ^{[ 28 ]}
• برنامج كشف البرامج الضارة لنظام لينكس ^{[ 29 ]}
• لينيس (تدقيق مفتوح المصدر) ^{[ 30 ] [ 31 ]}
• rkhunter (برنامج مجاني ومفتوح المصدر) ^{[ 32 ]}
• سامهاين (برنامج مجاني ومفتوح المصدر) ^{[ 33 ]}
• سوفوس (خاصة) ^{[ 34 ] [ 35 ]}

يمكن أيضًا اكتشاف البرامج الضارة لنظام لينكس (وتحليلها) باستخدام أدوات الطب الشرعي للذاكرة، مثل:

• فورسبوينت (خاص) ^{[ 36 ]}
• التقلب ^{[ 37 ]} (البرمجيات الحرة والمفتوحة المصدر) ^{[ 38 ]}

• Mayhem – شبكة بوت متعددة الوظائف تعمل بنظامي Linux/FreeBSD 32/64 بت ^{[ 39 ]}
• Linux.Remaiten – تهديد يستهدف إنترنت الأشياء . ^{[ 40 ] [ 41 ] [ 42 ]}
• ميراي (برمجية خبيثة) – شبكة بوتات DDoS تنتشر عبر خدمة تيلنت ومصممة لإصابة أجهزة إنترنت الأشياء (IoT). ^{[ 43 ] [ 44 ] [ 45 ] [ 46 ]}
• GafGyt/ BASHLITE /Qbot – شبكة بوتات DDoS تنتشر عبر كلمات مرور ضعيفة لخدمة SSH و Telnet، وقد تم اكتشافها لأول مرة أثناء ثغرة Shellshock في bash. ^{[ 47 ]}
• LuaBot – شبكة بوتات مُبرمجة بلغة Lua باستخدام وحدات نمطية، ومُجمّعة بلغة C باستخدام LibC، تستهدف إنترنت الأشياء على معالجات ARM وMIPS وPPC، وتُستخدم لشن هجمات DDoS، ونشر برمجيات Mirai الخبيثة، أو بيع خدمات الوصول عبر الخوادم الوكيلة لأغراض الجريمة الإلكترونية. ^{[ 48 ] [ 49 ]}
• Hydra، ^{[ 50 ]} Aidra، ^{[ 51 ]} LightAidra ^{[ 52 ]} و NewAidra ^{[ 53 ]} - شكل آخر من أشكال شبكة الروبوتات القوية IRC التي تصيب أجهزة Linux.
• EnergyMech 2.8 overkill mod (Linux/Overkill) – دودة بوت نت طويلة الأمد مصممة لإصابة الخوادم ببرنامجها الخبيث وتعمل عبر بروتوكول IRC، لأغراض هجمات DDoS ونشر نفسها. ^{[ 54 ]}

• Snakso – مجموعة أدوات تجسس لخادم الويب بنظام لينكس 64 بت ^{[ 59 ]}
• الماعز القزم - تم استخدامه في جدار حماية Sophos في عام 2024 ^{[ 60 ]}