Wobei: Ruft ihr die Ankündigung auf, dann bekommt ihr womöglich nur eine Fehlermeldung zu sehen. Gedosst? Ge-DOS-st! Ausgerechnet der Blog zum Produkt, das Angriffe erkennen und abwehren soll, liegt ziemlich flach und lädt nur sehr langsam. Ob da jemand nachgeholfen hat oder nur zu viele Linux-User ungläubig nachschauen wollten, weiß ich nicht. Ein Defender für den eigenen Webserver wäre jedenfalls ein guter Anfang.

Dabei hatte ich mich so festgelegt. Als 2015 Sophos einen kostenlosen Virenscanner für Linux brachte, habe ich noch frech geschrieben, dass ihr auch ohne Virenscanner Online-Banking betreiben dürft. Wenige Monate später habe ich im Artikel zu AVGs Datenschutzerklärung das Wort Snakeoil benutzt. Elf Jahre später muss ich mich wohl bei der Branche entschuldigen. Microsoft hat ja schließlich gesprochen.

Microsoft entdeckt den Linux-Desktop

Der eigentliche Knaller steht im ersten Satz der Ankündigung: „As more developers begin to use Linux desktops“. Microsoft selbst bestätigt also, dass immer mehr Leute Linux auf dem Desktop einsetzen. Wir Linux-User haben über das Jahr des Linux-Desktops jahrzehntelang Witze gerissen. Jetzt ruft es ausgerechnet der Konzern aus Redmond aus. Ich hätte nicht gedacht, dass ich diese Bestätigung in einer Pressemitteilung für Sicherheitssoftware lesen würde.

Wer schon länger mitliest, der kennt die Vorgeschichte. 2009 musste Microsoft der US-Börsenaufsicht beichten, dass Linux offiziell ein Konkurrent ist. 2014 erklärte Microsoft dann, dass Linux als Server-System „falls short“. Heute verkauft der Konzern Schutzsoftware für Linux-Server und Linux-Desktops. Gandhi hatte also recht, nur die letzte Stufe hat er vergessen: Erst lachen sie über dich, dann bekämpfen sie dich, dann verkaufen sie dir einen Virenscanner.

Was der Defender auf dem Linux-Desktop kann

Technisch ist das Ganze übrigens keine neue Software. Microsoft setzt auf denselben Agenten, den es seit einigen Jahren für Linux-Server anbietet. Der Defender erkennt dabei selbstständig, ob er auf einem Server oder einer Workstation läuft. Das ist durchaus ein Fortschritt: 2014 hat mir die Microsoft-Homepage mein Linux noch als Windows 8.1 verkauft. Heute unterscheidet Redmond immerhin schon Server von Desktop.

An Bord sind ein „Next-Gen“-Virenscanner, Endpoint Detection and Response (EDR), Schwachstellen-Management und eine Geräteinventur. Für den Ernstfall gibt es Live Response und Device Isolation. Sprich: Die Firmen-IT bekommt eine Shell auf eurem Rechner und kann ihn per Mausklick vom Netz trennen. Früher hätten wir so etwas als Fernwartungstrojaner bezeichnet und mit ClamAV gejagt. Heute heißt es Enterprise-grade Protection und kommt mit Lizenzvertrag.

Unterstützt werden RHEL, CentOS, Ubuntu, Debian, SLES, Fedora und Oracle Linux, unter Gnome, KDE oder einem anderen Desktop. Dass ein Sicherheitsprodukt ausgerechnet CentOS aufführt, das seit 2024 keine Updates mehr bekommt, hat schon einen gewissen Charme. Arch Linux fehlt dagegen auf der Liste. Ich bleibe also leider schutzlos – I use Arch, btw. Und, ganz ehrlich, auch ein bisschen erleichtert.

Für wen ist das Ganze gedacht?

Den Defender gibt es nicht als Paket im Software-Center und schon gar nicht kostenlos. Ihr braucht dafür Microsoft Defender for Endpoint Plan 2 oder eine Lizenz für Microsoft 365 E5 bzw. E7. Ein Phoronix-Leser bat im Forum, diese Marketingbegriffe doch bitte mal in normale Sprache zu übersetzen. Mache ich gerne: Für Hinz-und-Kunz-Linux ist das nichts. Und der Status ist ohnehin noch Public Preview.

Ganz ernst gemeint: Ein Argument hat Microsoft schon. Entwickler-Rechner hängen an Git-Repos, CI/CD-Pipelines und Cloud-Zugängen, wer dort einbricht, der greift nach der ganzen Lieferkette. Die eigentliche Zielgruppe sind aber Compliance-Abteilungen. Die haben nun endlich ein Häkchen, um Linux-Notebooks im Konzern zu erlauben. Ob ihr dann noch sudo benutzen dürft, steht auf einem anderen Blatt. Microsoft hat sudo ja ohnehin schon 2009 patentiert.

Die schönste Zusammenfassung lieferte ein Leser im Phoronix-Forum: „Number of viruses on Linux: 1“. In meinen Augen trifft das den Nagel auf den Kopf. Wer privat Linux nutzt, Software aus den Paketquellen installiert und nicht jedes Skript aus dem Netz blind mit Root-Rechten ausführt, der braucht weiterhin keinen Virenscanner. Daran ändert auch ein Defender nichts, der für Linux nun hauptberuflich Windows-Malware sucht.

Nur eine Pointe kann ich mir zum Schluss nicht verkneifen. Schleswig-Holstein will bis Ende 2026 Windows und Microsoft Office aus Verwaltung und Schulen werfen. Pünktlich zur Zielgeraden steht Microsoft nun mit dem passenden Defender für die neuen Linux-Rechner vor der Tür. Wer behauptet, dass man in Redmond nicht flexibel ist? Was meint ihr: Fürsorge, Telemetrie oder einfach nur gutes Geschäft?

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.

Detekt ist nun eine vom deutschen Hacker Claudio Guarnieri aka @botherder entwickelte quelloffene Software, die ihr einfach aus dem Internet laden und auf eurem Rechner ausführen müsst — dabei trennt ihr am besten jegliche Verbindung zum Internet. Das Programm ist so klein, dass es keine Installationsroutine braucht. Unter Vista oder Windows 7 müsst ihr das Programm jedoch mit administrativen Rechten aus dem Kontextmenü heraus starten. Ohne Root-Rechte kann das Programm nicht die relevanten Schwachstellen von Windows abklopfen. Der anschließende Scanvorgang braucht auf langsameren Rechnern allerdings dann eine ganze Weile.

Detekt zielt nicht auf freilaufende Feld-Wald-und-Wiesen-Spyware ab, sondern auf solche Werkzeuge und Tools, die von digitalen Schlapphüten auf kritische Journalisten und Aktivisten angesetzt werden. Da die bekannten Spyware-Programme aber oft individuell an das jeweilige Ziel angepasst werden und sich Staatstrojaner generell immer wieder schnell ändern, möchte aber auch Detekt den Anwendern nicht garantieren, dass jegliche Malware jederzeit und überall erkannt werden kann. Vielmehr gibt das Programm auch bei einem vermeintlich sauberen System Links mit weiterführenden Informationen.

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.

Der Verbreitungsweg wurde von Doctor Web noch nicht erkannt, ich vermute mal stark dass sich die Malware nicht von alleine auf dem Rechner installiert. Man muss sie schon direkt – oder Huckepack mit einer anderen Anwendung – runterladen, ausführbar machen und sie dann auch noch starten. Ein unwahrscheinliches Szenario für Linuxer, die ihre Anwendungen aus den offiziellen Paketquellen installieren. Aber denkbar für User, die unlizenzierte Software (yep, auch sowas gibt’s für Linux ) oder inoffizielle Paketquellen wie bspw. PPAs bei Ubuntu/Linux Mint nutzen, deren Inhalte keinem Peer-Review unterliegen.

In der Beschreibung des Trojaners steht, dass sich die Malware unter Linux im Verzeichnis ~/WIFIADAPT im Home-Ordner einquartiert. Der Ordner wäre direkt im Dateimanager sichtbar, man kann also ziemlich leicht prüfen ob man dem Trojaner zum Opfer gefallen ist. Bevor ihr nun gleich nach einem Virenscanner für Linux sucht… Ein Cross-Plattform-Trojaner, der darauf abzielt nur MacOS X und Linux zu treffen? Warum lässt man da Windows aus? Man verliert locker 90% mögliche Opfer! Wahrscheinlich ist der Trojaner ein gezielter Angriff. Worauf und auf wen? Keine Ahnung, aber wahrscheinlich nicht auf euren Desktop.

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.

Angefangen hatte Kevin mit dem Hacken an Mobiltelefonen. Mit ein paar Freunden hat er nach/während des Studiums Handys nach Schwachstellen abgeklappert und diese den Herstellern gemeldet. Das damals schon Frustrierende war, dass kaum eine der Schwachstellen behoben wurde, da die Hersteller nur SEHR selten die Firmware aktualisieren.

Die Thematik ist auch heute noch aktuell: Jedes Computersystem hat Fehler, jedes System kann über Umwege überlistet werden. Die zugrunde liegenden Fehler werden zwar oft gefunden und behoben, so dass zukünftige Kunden sicherer unterwegs sind, doch welcher Hersteller liefert zeitnah Updates für alle seine Handys aus? Keiner! Da machen auch Google und Android keine Ausnahme.

Darum gehts bei Lookout, man möchte dem Nutzer die Möglichkeit geben, sein Handy abzusichern, ohne dass man aber mit Sicherheits-Hinweisen zugeballert wird. Kevin meinte, dass viele seiner Lookout-Mitarbeiter aus Unternehmen stammen, die Antiviren-Software für PCs herstellen und die Arbeit an der Scareware gehasst haben. Ein Punkt, den ich nur zu gut verstehen kann, wer mehr über Lookout und Kevin sehen möchte, der kann sich ja mal die Vorträge auf der Blackhat 2010 und der Defcon 18 ansehen.

Mit Lookout möchte er nun einen Neustart der Sicherheits-Software für Smartphones/Tablets starten. Das Unternehmen scannt bspw. zeitnah alle Neuzugänge im Android-Market nach Auffälligkeiten. Werden ungewöhnliche Aufrufe, exzessive Rechte-Nutzung oder sonstige Auffälligkeiten automatisiert erkannt, dann wird die App von Hand überprüft und bei einem Malware-Verdacht an Google gemeldet. So kann innerhalb von Minuten eine App aus dem Market gelöscht werden.

Der Aufwand scheint auch nötig zu sein. Malware-Hersteller rippen automatisiert populäre Apps aus dem Market, fügen Malware ein und schicken sie wieder automatisch mit ähnlichem Namen und Logo in den Market. Fängt man sich so eine App ein, so versendet sie bspw. SMS an Premium-Nummern, Lookout spricht hier von RuFraud.

Die Lookout-App finde ich nicht schlecht aufgemacht. Die Installation der App aus dem Market ist prinzipiell kostenlos, nach der Installation muss man sich entscheiden, die Premium-Version der App mit ein paar weiteren Funktionen für 2,49 Euro/Monat bzw. 24,99 Euro/Jahr zu kaufen oder weiterhin die kostenlose Variante zu nutzen. Alternativ kann man die Premium-Funktionen für 14 Tage freischalten lassen, ohne dass sich dabei ein automatisch verlängerndes Abo ergibt. Ärgerlich finde ich jedoch, dass der Hinweis auf den Testzeitraum NACH der Kaufoption für die Premium-App erscheint.

Die App ist kein Virenscanner wie man ihn vom PC kennt. Es läuft nicht permanent ein Dienst im Hintergrund, der per Heuristik oder Glaskugel nach pösen Purschen sucht. Bei Lookout geht es primär um die Installation von Apps aus dem Market oder manuell über APK-Dateien. Hier scannt Lookout über die Cloud nach verschiedenen Mustern und warnt, wenn eine zu installierende App Malware oder unerwartete Funktionen enthalten kann.

Generell finde ich Lookout gut, die App bietet neben dem Installationsschutz von Malware eine Ortungs- und Backup-Funktion. Mit dem Backup lassen sich Kontakte, Ruflisten und Bilder in der Lookout-Cloud speichern. Ein Service, der vor allen Dingen Google-Skeptikern zugutekommen kann, die ihre Kontakte nicht in der Google Cloud speichern möchten. Vom Backup lassen sich gezielt Snapshots älteren Datums oder einzelne Kontakte wiederherstellen.

Lookout sagt, dass sämtliche Daten verschlüsselt übertragen und gespeichert werden, so dass auch hauseigene Admins nicht ohne Weiteres auf die vertraulichen Daten zugreifen können. Das Sichern von App-Daten ist jedoch noch nicht möglich, da dafür Root-Rechte erforderlich wären. Mit der Premium-Version lässt sich das Backup auch auf anderen Handys (iOS oder Android) wiederherstellen. Wer also von Android zu iPhone oder vice versa migriert, der kann den Testzeitraum dazu nutzen schnell die Kontakte von einem auf das nächste Gerät zu übertragen.

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.

$ ps aux | grep ping
user 28835 0.4 0.0 1940 800 pts/2 S+ 03:05 0:00 ping -s 65507 www.mmowned.com

…überprüfen, ob Ihr Euch das Ding eventuell installiert habt. Falls dieser Ping auftaucht, dann könnt Ihr via…

$ sudo rm -f /usr/bin/Auto.bash /usr/bin/run.bash /etc/profile.d/gnome.sh index.php run.bash && sudo dpkg -r app5552

…alles wieder rückgängig machen. Das Paket wurde inzwischen von der Webseite entfernt. Es wurden auch keine Sicherheitslücken ausgenutzt. Betroffen sind nur Anwender, die sich dieses Paket selber auf den Rechner geholt haben.

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.