Nyt skadelig software rammer Linux-servere – og kunstig intelligens ser ud til at have hjulpet med at bygge det

Kort fortalt

• Sikkerhedsforskere har afdækket VoidLink, et nyt stykke skadelig software, der er designet til at overtage Linux-servere i det skjulte.
• Flere analyser peger på, at generativ kunstig intelligens sandsynligvis har været brugt i udviklingen – hvilket sænker barrieren for at lave avanceret malware.
• Danske virksomheder med Linux i drift (web, integrationer, cloud og containere) bør skærpe overvågning og beredskab.

Tre uafhængige sikkerhedsvirksomheder – Ontinue, Sysdig og Check Point Research – har publiceret tekniske analyser af VoidLink. Det beskrives som et modulært angrebsværktøj, hvilket i praksis betyder, at angribere kan “bygge ovenpå” med nye funktioner efter behov.

VoidLink fungerer som en fjernstyring af den inficerede server via en angriberstyret server, ofte kaldet C2 (kommando og kontrol – altså fjernstyring). Pointen er ikke kun, at der er endnu en ny trussel, men at flere spor i materialet tyder på, at generativ kunstig intelligens har været en del af udviklingsprocessen. Det kan gøre det hurtigere og billigere at bygge og videreudvikle skadelig software.

Rapporterne fremhæver også teknikker, der gør det sværere at opdage angrebet – blandt andet at dele af koden kan køre fra hukommelsen uden at efterlade tydelige filer på harddisken. For mange virksomheder betyder det, at klassiske “find den kendte fil”-kontroller ikke altid er nok, især hvis man kører Linux i cloud eller container-miljøer.

Det er relevant i Danmark, også uden en stor IT-afdeling: Linux står bag meget drift, ofte hos en leverandør. Hvis angribere får fodfæste, kan næste skridt være datatyveri, driftsstop eller afpresning. Attribution (hvem der står bag) er ikke endeligt bevist i de offentlige kilder.

Det kan du gøre nu

• Spørg jeres driftsleverandør/IT, om de overvåger adfærd på Linux-servere (ikke kun kendte “signaturer”).
• Sikr at I har tilstrækkelig logning fra servere og cloud-miljø (så I kan undersøge hændelser bagefter).
• Få en status på patching/opdateringer på Linux, container-platform og tilhørende værktøjer.
• Tjek at jeres backups er testet (ikke kun taget) – kan I gendanne hurtigt?
• Bed IT om at gennemgå leverandørernes indikatorer (tekniske kendetegn) og vurdere, om der er spor i jeres miljø.

Kilder

• Ontinue – teknisk analyse af VoidLink
• Sysdig – analyse med fokus på cloud- og container-miljøer
• Check Point Research – vurdering af tegn på generativ kunstig intelligens i udviklingen