In ei­nem Punkt sind sich al­le IT-Ex­per­ten¹ ei­nig: Die Desk­top-Ver­si­on von Ubun­tu ist min­des­tens so si­cher wie Safer Sex. Die­ser Zu­stand ist je­doch we­der gott­ge­ge­ben noch in Stein ge­mei­ßelt, son­dern hängt mit der ge­rin­gen Nut­zer­zahl zu­sam­men. Schließ­lich set­zen le­dig­lich 3,5%² der welt­wei­ten PC- und Lap­top­be­sit­zer ein li­nux­ba­sier­tes Be­triebs­sys­tem ein. Hin­zu­kommt, dass die An­be­ter des vir­tu­el­len Pin­gu­ins als über­durch­schnitt­lich com­pu­ter­af­fin gel­ten, wes­halb sich Mal­wa­re für De­bi­an-De­ri­va­te nur schwer ver­brei­tet. Dem­zu­fol­ge ist es kein Wun­der, wenn Cy­ber­kri­mi­nel­le lie­ber aus­sichts­rei­che­re We­ge wäh­len und ih­re Schad­pro­gram­me für Win­dows oder ma­cOS³ ent­wi­ckeln.

Li­nux ist ein­fach kein er­folg­ver­spre­chen­des Ziel für Kri­mi­nel­le.

Lang, Mir­co: Vi­ren­schutz un­ter Li­nux. heise.de (05/2020).

Na­tür­lich geht Ca­no­ni­cal auch pro­ak­tiv ge­gen On­line-Er­pres­ser vor, in­dem es das Ubun­tu Se­cu­ri­ty Team be­schäf­tigt. Die­se Ar­beits­grup­pe stellt auf ih­ren Soft­ware­de­pots zwei­mal⁴ wö­chent­lich die neus­ten Impf­stof­fe zur Ver­fü­gung, mit de­nen die Be­nut­zer ih­re Li­nux-Dis­tri­bu­ti­on vor An­grif­fen schüt­zen kön­nen.

Da­bei schlie­ßen die pe­ri­odi­schen Ak­tua­li­sie­run­gen nicht nur Ein­falls­to­re in das Kern­sys­tem, son­dern sor­gen zu­dem da­für, dass Si­cher­heits­lü­cken in lo­ka­len An­wen­dun­gen⁵ be­sei­tigt wer­den. Al­ler­dings er­hal­ten nur die Pro­gram­me re­gel­mä­ßi­ge Schutz­auf­fri­schun­gen, die aus den Quel­len “Main” und “Rest­ric­ted” stam­men. Das sind un­ter an­de­rem al­le Ap­pli­ka­tio­nen, die Ubun­tu von Haus aus mit­bringt.

Ubun­tu 20.04 er­hält zwar fünf Jah­re lang kos­ten­los Sup­port; der gilt aber nur für Soft­ware aus den Re­po­si­to­ries “Main” und “Rest­ric­ted”.

Kiß­ling, Kris­ti­an: [Up­date] Ubun­tu 20.04 LTS: Fo­kus auf Si­cher­heit. linux-magazin.de (05/2020).

Hin­ge­gen Dritt­an­bie­ter­soft­ware ver­al­tet schnell, da die Ent­wick­ler häu­fig kei­nen fünf­jäh­ri­gen Up­date-Sup­port an­bie­ten. Um die Sys­tem­si­cher­heit zu er­hö­hen, ist es al­so dien­lich die Re­po­si­to­ry „Uni­ver­se” zu de­ak­ti­vie­ren. Dar­über hin­aus soll­ten Ubun­tu-An­wen­der nur re­nom­mier­ten PPAs ver­trau­en. Schließ­lich er­for­dert die Her­stel­lung ei­nes vi­ren­re­sis­ten­ten Pro­gramms ei­ne enor­me Ex­per­ti­se, die Pri­vat­quel­len­be­sit­zer oft­mals nicht vor­wei­sen kön­nen.

[Die Ubun­tu-Ge­mein­schaft] be­treut aber nur ei­nen Bruch­teil der Pa­ke­te über fünf Jah­re. [...] Bei den meis­ten ist viel frü­her Schluss: ent­we­der nach neun Mo­na­ten oder schon zum Re­lease, denn vie­le Pa­ke­te be­treut nie­mand so recht.

Leem­huis, Thors­ten: Fo­kus­sie­ren. Ubun­tu 18.04 LTS: Li­nux-Dis­tri­bu­tio­nen mit bis zu fünf Jah­ren Sup­port. In: c’t Nr. 11 (2018). S. 121.

Im Sys­tem­me­nü „An­wen­dun­gen & Ak­tua­li­sie­run­gen” ist es ne­ben der APT-Dienst-Kon­fi­gu­ra­ti­on mög­lich, die In­stal­la­ti­on von Si­cher­heits­up­dates zu au­to­ma­ti­sie­ren. Wur­de die­se Funk­ti­on ak­ti­viert, dann dür­fen Be­nut­zer von LTS-Ver­sio­nen ver­ges­sen, dass Vi­ren, Wür­mer und Tro­ja­ner in der Com­pu­ter­welt exis­tie­ren. Die­se pau­scha­le Aus­sa­ge trifft al­ler­dings nicht auf Ad­mi­nis­tra­to­ren von ge­misch­ten Netz­wer­ken zu. Denn Ubun­tu ist wie ein Kind in der Co­ro­na­kri­se: Es bleibt un­ter nor­ma­len Um­stän­den ge­sund, kann je­doch als Zwi­schen­wirt an­de­re Ri­si­ko­grup­pen in­fi­zie­ren.

Wahr­schein­lich hat­te je­der, der sei­ne Li­nux-Dis­tri­bu­ti­on als Bü­ro­sys­tem ein­setzt schon ein­mal mit Mal­wa­re zu tun. Schließ­lich ist es ei­ne Tat­sa­che, dass sich Schad­pro­gram­me haupt­säch­lich über E-Mail-An­hän­ge ver­brei­ten.

848 Mil­li­ar­den E-Mails ha­ben die Men­schen in Deutsch­land 2018 ver­schickt - 10 Pro­zent mehr als 2017. Spam nicht mit­ge­rech­net.

Sto­cker, Ani­ta: Mul­ti­me­dia in Kür­ze. In: test Nr. 4 (2019). S. 21.

Lan­ge Zeit wa­ren Vi­ren vor­wie­gend in ver­schlei­er­ten EXE-Da­tei­en ver­steckt, die Ubun­tu-Nut­zer nie oh­ne Hilfs­mit­tel aus­füh­ren konn­ten. Mitt­ler­wei­le fun­gie­ren je­doch auch sys­tem­über­grei­fen­de For­ma­te als Drop­per. Zum Bei­spiel las­sen sich PDF- oder ZIP-Da­tei­en⁶ so ma­ni­pu­lie­ren, dass die­se nach dem Öff­nen ei­nen Com­pu­ter­wurm frei­set­zen. So­bald ein der­ar­ti­ges Skript ent­fes­selt wur­de, sucht es selbst­stän­dig nach Schwach­stel­len in Netz­werk­pro­to­kol­len, um sich im In­tra­net aus­zu­brei­ten. Wenn der Sprun­g⁷ auf ei­nen Win­dows-PC ge­lingt, dann lässt sich der be­fal­le­ne Mi­cro­soft-Rech­ner un­ter an­de­rem für Dis­tri­bu­ted-De­ni­al-of-Ser­vice-At­ta­cken miss­brau­chen.

Wer al­so an­de­re Netz­werk­teil­neh­mer schüt­zen möch­te, der muss sein De­bi­an-De­ri­vat mit ei­nem zu­sätz­li­chen Vi­ren­scan­ner aus­stat­ten. Hier­für ist das kos­ten­lo­se Kom­man­do­zei­len­pro­gramm Cla­mAV am bes­ten ge­eig­net.

Cla­mAV ist das po­pu­lärs­te Open-Source-Pro­gramm zur Er­ken­nung von Vi­ren in Da­tei­en oder E-Mails.

Kof­ler, Mi­cha­el: Li­nux. Das um­fas­sen­de Hand­buch. 15. ak­tua­li­sier­te Auf­la­ge. Bonn: Rhein­werk Ver­lag 2017.

Die­se mehr­kern­fä­hi­ge Ap­pli­ka­ti­on be­fin­det sich in den of­fi­zi­el­len Ubun­tu-Quel­len und wird seit dem Jah­re 2013 vom US-ame­ri­ka­ni­schen Rou­ter­her­stel­ler Cis­co Sys­tems ste­tig wei­ter­ent­wi­ckelt. Be­dau­er­li­cher­wei­se ha­ben vor al­lem Win­dows-Um­stei­ger im­mer gro­ße Angst vor Ter­mi­nal-Fens­tern. Aus die­sem Grund er­fah­ren Si­cher­heits­fe­ti­schis­ten in der fol­gen­den An­lei­tung nicht nur, wie sie den vir­tu­el­len Spür­hund mit Be­feh­len steu­ern. Dar­über hin­aus er­hal­ten Be­nut­zer­ober­flä­chen­lieb­ha­ber ei­ne Ein­füh­rung in Cl­amTk. Denn die­se klei­ne Dritt­an­bie­ter­soft­ware macht es mög­lich, den kon­so­len­ba­sier­ten Kam­mer­jä­ger mit der Maus zu be­die­nen.

Schnelle Virensuche

Sze­na­rio: Auf­grund mei­ner Lo­ver­boy-Tä­tig­kei­t⁸ be­sit­ze ich vie­le Iden­ti­tä­ten. Zu mei­nen Fan­ta­sie­exis­ten­zen ge­hö­ren di­ver­se E-Mail-Kon­ten, die ich al­le mit ein und dem­sel­ben Thun­der­bird ab­ru­fe. Lei­der ver­kau­fen Part­ner­bör­sen und Free­mail-An­bie­ter fort­lau­fend mei­ne Be­nut­zer­da­ten, wes­halb täg­lich Hun­der­te Spam­nach­rich­ten auf mei­ner Fest­plat­te lan­den. Na­tür­lich ent­hal­ten man­che Bot­schaf­ten auch Da­tei­an­hän­ge, die ich nor­ma­ler­wei­se nie an­kli­cken wür­de. Al­ler­dings sen­den mir po­ten­zi­el­le Op­fer manch­mal ein Sel­fie oder ei­ne di­gi­ta­le Gruß­kar­te, so­dass ich aus be­ruf­li­cher Sicht ge­zwun­gen bin, ei­ni­ge An­fü­gun­gen von un­be­kann­ten Ad­res­santen zu öff­nen. Mein Ubun­tu-Sys­tem mag viel­leicht vi­ren­re­sis­tent sein aber mein Smart­phone, mei­ne Netz­werk­kom­po­nen­ten und mei­ne Wech­sel­me­di­en könn­ten sich nur un­zu­rei­chend ge­gen über­sprin­gen­den Schad­code weh­ren. Al­so bleibt mir nichts an­de­res üb­rig, als mei­ne lo­ka­len Post­fä­cher re­gel­mä­ßig auf Mal­wa­re zu über­prü­fen. Für die­se Auf­ga­be ha­be ich Cla­mA­V⁹ als Sc­an­werk­zeug in­stal­liert:

sudo apt-get update && sudo apt-get install clamav

Mehr­mals am Tag lee­re ich mit mei­nem Thun­der­bird die im Pro­gramm hin­ter­leg­ten POP3-Ser­ver. Nach­dem al­le Down­load­pro­zes­se ab­ge­schlos­sen wur­den, schlie­ße ich den E-Mail-Kli­en­ten wie­der, oh­ne mei­ne Nach­rich­ten zu son­die­ren. Statt­des­sen öff­ne ich ein Ter­mi­nal-Fens­ter, da­mit ich mit mei­ner An­ti­vi­ren­soft­ware die Spreu vom Wei­zen tren­nen kann. Um her­un­ter­ge­la­de­ne Stö­ren­frie­de von mei­ner Home-Par­ti­ti­on zu lö­schen, wen­de ich le­dig­lich den fol­gen­den Be­fehl an:

sudo clamscan -ir --remove /home/pinguin/

Wo­bei der Be­nut­zer­na­me Pin­gu­in na­tür­lich ei­ne Va­ria­ble ist, die je­der Ubun­tu-An­wen­der in­di­vi­du­ell an­pas­sen muss.

In der Re­gel dau­ert es nur we­ni­ge Mi­nu­ten, ehe die Free­ware al­le Wür­mer, Tro­ja­ner und Phis­hing­mails be­sei­tigt hat. Da­bei nutzt Cla­mAV für die Mal­wa­re-Iden­ti­fi­zie­rung ei­ne lo­ka­le Vi­ren­de­fi­ni­ti­ons­da­tei, die der Schäd­lings­be­kämp­fer selbst­stän­dig ak­tua­li­siert.

Einsteigerhilfe aktivieren

Sze­na­rio: Als Be­trei­ber ei­nes Du­al-Boot-Sys­tems möch­te ich mit Ubun­tu über­prü­fen, ob sich auf mei­ner Win­dows-Par­ti­ti­on ir­gend­wel­che Pa­ra­si­ten be­fin­den. Für die­ses Un­ter­fan­gen be­nö­ti­ge ich ei­ne gra­fi­sche Un­ter­stüt­zung, da ich nicht weiß, wie ich ei­ne aus­ge­häng­te Fest­plat­te mit der Kon­so­le an­steue­re. Ge­ne­rell tue ich mich mit Li­nux-Pfa­den schwer, wes­halb mir ein über­sicht­li­ches Be­dien­me­nü die ge­ziel­te Vi­ren­su­che er­leich­tern wür­de. Dem­entspre­chend bin ich ge­zwun­gen, mein De­bi­an-De­ri­vat zu­sätz­lich mit Cl­amTk aus­zu­stat­ten:

sudo apt-get install clamtk

Die­se Dritt­an­bie­ter­soft­ware liegt in der Uni­ver­se-Quel­le und stellt ei­ne in­of­fi­zi­el­le Er­wei­te­rung des Kom­man­do­zei­len­pro­gramms dar. Trotz­dem ge­nießt das Add-on ei­nen gu­ten Ruf, was dar­an liegt, dass das Werk­zeug seit et­li­chen Jah­ren¹⁰ eh­ren­amt­lich wei­ter­ent­wi­ckelt wird.

So­fort nach­dem ich das Front-End über die Ubun­tu Ak­ti­vi­tä­ten-Such­leis­te ge­star­tet ha­be, na­vi­gie­re ich in das Ein­stel­lungs­me­nü. Dort ak­ti­vie­re ich ein­ma­lig al­le Pa­ra­me­ter, da mein Vi­ren­scan­ner lü­cken­los nach Schad­code su­chen soll. Un­mit­tel­bar da­nach keh­re ich zur Haupt­an­sicht zu­rück, da­mit ich die ers­te Schäd­lings­jagd be­gin­nen kann.

Hier­für kli­cke ich den Punkt „Ei­nen Ord­ner über­prü­fen” an. Di­rekt im An­schluss öff­net sich ein Fens­ter in die­sem ich über den Rei­ter „An­de­re Or­te” mei­ne Win­dows-Fest­plat­te an­wäh­le, wo­durch der Da­ten­trä­ger ein­ge­hängt wird. Gleich dar­auf ha­be ich die Mög­lich­keit, mei­nen Spür­hund auf die li­nux­frem­den Ver­zeich­nis­se los­zu­las­sen.

Durch mei­ne ma­nu­el­le Kon­fi­gu­ra­ti­on fin­det das gra­fi­sche An­ti­vi­ren­pro­gramm auch po­ten­zi­ell un­er­wünsch­te An­wen­dun­gen. Da­bei han­delt es sich um re­la­tiv harm­lo­se Spy­wa­re, die oft­mals in kos­ten­lo­sen Win­dows-Tools ver­steckt ist. Über die­se Schnitt­stel­len ver­su­chen man­che Ent­wick­ler­stu­di­os, das Ver­hal­ten ih­rer Pro­dukt­nut­zer aus­zu­le­sen. Nor­ma­ler­wei­se las­sen sich die klei­nen Spio­ne pro­blem­los mit Cl­amTk lö­schen, oh­ne dass da­bei die da­zu­ge­hö­ri­gen Ap­pli­ka­tio­nen be­schä­digt wer­den.

Ist weiterer Schutz nötig?

In je­dem Ubun­tu-Fo­rum gibt es Mit­glie­der, die vor Root­kits war­nen. Zu­meist ken­nen die­se si­cher­heits­be­wuss­ten Men­schen ei­nen Schwipp­schwa­ger, auf des­sen Li­nux-Sys­tem ein der­ar­ti­ger Bau­kas­ten ver­steckt war. Die selbst er­nann­ten Ex­per­ten ra­ten dann da­zu, den Rech­ner re­gel­mä­ßig mit rkhun­ter¹¹ zu über­prü­fen. Al­ler­dings ist die­ses kon­so­len­ba­sier­te Werk­zeug nicht für ge­wöhn­li­che Desk­top-Be­nut­zer ge­eig­net.

rkhun­ter warnt vor den „File pro­per­ties” al­so Ei­gen­schaf­ten und Rech­ten. Da du die nicht zeigst, kann man wohl kei­ne Aus­sa­ge tref­fen. War­um be­nutzt du ein Pro­gramm, des­sen Aus­ga­be du nicht in­ter­pre­tie­ren kannst?

red­knight: rkhun­ter zeigt mir die­se War­nun­gen. forum.ubuntuusers.de (05/2020).

Mit­hil­fe von Bru­te-Force-At­ta­cken ver­su­chen Ge­heim­diens­te oder kri­mi­nel­le Or­ga­ni­sa­tio­nen, di­ver­se Root­kits auf In­ter­net­ser­vern zu plat­zie­ren. Wenn das Ka­pern ei­nes Ziel­ge­räts ge­lingt, dann kön­nen die An­grei­fer un­be­merkt Ein­fluss auf die um­lie­gen­de In­fra­struk­tur neh­men. Hin­ge­gen bei Per­so­nal Com­pu­tern müs­sen die Ein­bruch­in­stru­men­te Ja­mes-Bond-mä­ßig lo­kal in­stal­liert wer­den. Wer al­so nicht ge­ra­de ein Mil­li­ar­där oder Staats­feind ist, der kann sei­nen Fo­kus auf pri­mi­ti­ve Wald-und-Wie­sen­vi­ren rich­ten, die sich al­le mit Cla­mAV be­kämp­fen las­sen.

Ver­wand­te The­men:

Ubun­tu: Sys­tem­fest­plat­te auf­räu­men - so geht’s
Der BND schaut zu: Lap­top-Web­cam dau­er­haft de­ak­ti­vie­ren

¹Hoff­mann, Chris­toph & Her­mann Ap­fel­böck: Por­ta­ble vir­tu­el­le Li­nux-Sys­te­me. In: Li­nux Welt Nr. 5 (2019). S. 44.
²mex. das markt­ma­ga­zin vom 11.03.2020.
³Sto­cker, Ani­ta: Die bes­ten Tür­ste­her. In: test Nr. 3 (2018). S. 25.
⁴Ca­no­ni­cal Ltd.: Up­date No­ti­fi­ca­ti­ons. wiki.ubuntu.com (05/2020).
⁵Ei­ken­berg, Ro­nald: Schutz vor Schäd­lin­gen. In: c’t Se­cu­ri­ty Nr. 1 (2018). S. 25.
⁶fi­lippg: Kann ein ZIP-Ar­chiv selbst ein Vi­rus sein? administrator.de (05/2020).
⁷Wol­ski, Da­vid: Braucht Li­nux ei­nen Vi­ren­scan­ner? In: Li­nux Welt Nr. 3 (2020). S. 25.
⁸Roh­de, Fio­na: Lo­ver­boy: Das soll­te je­der über die ge­fähr­li­che Ma­sche wis­sen. gofeminin.de (05/2020).
⁹Lam­precht, Ste­phan: Vi­ren fin­den und be­sei­ti­gen. In: Li­nux Welt Nr. 6 (2019). S. 40.
¹⁰M., Da­ve: Cl­amTk. gitlab.com (05/2020).
¹¹Hor­ne, John: Root­kit Hun­ter. sourceforge.net (05/2020).