Sicherheitsforscher von Check Point Research haben mit VoidLink ein neues Malware-Framework analysiert, das für moderne Linux-basierte Cloud-Umgebungen entwickelt wurde. Im Fokus stehen nicht einzelne Endpunkte, sondern die darunterliegende Infrastruktur – inklusive Container- und Kubernetes-Setups.

Foto: Check Point Software Technologies Eli Smadja, Head of Research bei Check Point Research Check Point Software Technologies meldet die Identifikation von VoidLink, einem „Cloud-nativen Linux-Malware-Framework“, das darauf ausgelegt ist, sich unbemerkt in Cloud-Infrastrukturen einzubetten. Der Fund deutet laut Check Point auf eine Verschiebung der Bedrohungslage hin: weg von klassischen Windows-Zielen, hin zu Systemen, die Cloud-Dienste und kritische Workloads tragen.

Angriff auf die Basis der Cloud

Während ein großer Teil der Cyberangriffe weiterhin Windows-Systeme adressiere, sei VoidLink gezielt für den Einsatz in modernen, Linux-basierten Cloud-Umgebungen konzipiert. Check Point beschreibt das Framework als Werkzeug für „heimliche, langfristige Cyber-Angriffe auf Cloud-Systeme“. Die Schadsoftware nutze demnach mangelnde Transparenz und uneinheitliche Sicherheitsmaßnahmen in Cloud-Umgebungen aus. So könnten Kompromittierungen über längere Zeit unentdeckt bleiben – bis es etwa zu Datendiebstahl, Betriebsstörungen oder weitergehenden Eindringversuchen kommt.

Abbildung 1: Angriffsweg von VoidLink in schematischer Darstellung (Quelle: Check Point Software Technologies).

Anpassungsfähig in Container-Umgebungen

Im begleitenden Research-Bericht ordnet Check Point Research die Beobachtung zeitlich ein: Im Dezember 2025 sei ein kleiner Cluster zuvor unbekannter Linux-Malware-Samples entdeckt worden, der „aus einer chinesisch zugeordneten Entwicklungsumgebung zu stammen scheint“. Mehrere Binärdateien hätten Debug-Symbole und Entwicklungsartefakte enthalten, was eher auf „in Arbeit befindliche Builds“ als auf ein bereits breit eingesetztes Werkzeug hindeute. Das Tempo und die Vielzahl an Änderungen sprächen für ein Framework, das rasch weiterentwickelt werde.

VoidLink wird in der Analyse als „cloud-first implant“ beschrieben, geschrieben in Zig. Es erkenne große Cloud-Umgebungen und könne feststellen, ob es innerhalb von Kubernetes oder Docker läuft – um sein Verhalten entsprechend anzupassen. Zudem sammele VoidLink Zugangsdaten, die mit Cloud-Umgebungen sowie gängigen Versionsverwaltungssystemen wie Git verbunden sind. Das deute laut Research darauf hin, dass auch Softwareentwickler potenzielle Ziele sein könnten – etwa für Spionage oder mögliche spätere Supply-Chain-Angriffe.

Tarnung, Speicher-Techniken und Selbstzerstörung

Check Point hebt hervor, dass VoidLink so konzipiert sei, während seines gesamten Lebenszyklus verborgen zu bleiben. Das Framework nutze In-Memory-Schutzmechanismen, um schädliche Komponenten zu verbergen, und verfüge über einen automatischen Selbstzerstörungsmechanismus: Sobald Analyse oder Manipulation erkannt werde, entferne sich die Malware vollständig. Das erschwere forensische Untersuchungen und erhöhe das Risiko, dass Cloud-Sicherheitsverletzungen unentdeckt bleiben.

Eli Smadja, Head of Research bei Check Point Research, betont dazu:

„VoidLink veranschaulicht, wie sich Cyber-Angriffe von kurzlebigen Sicherheitsverletzungen zu stillen Kompromittierungen auf Infrastrukturebene entwickeln. Um sich gegen diese Bedrohungen zu schützen, muss die präventive Sicherheit auf Cloud- und Linux-Umgebungen ausgeweitet werden, mit kontinuierlicher Transparenz, Echtzeit-Bedrohungsinformationen und Schutzmaßnahmen, die speziell für Cloud-native Workloads entwickelt wurden.“