Un encryptor Linux è un malware, solitamente un componente ransomware, progettato per crittografare file sui sistemi Linux. Invece di prendere di mira solo gli endpoint desktop, si concentra su server, macchine virtuali, appliance NAS e piattaforme di storage che spesso contengono dati aziendali condivisi. Gli aggressori utilizzano cifrari simmetrici veloci ed elaborazione parallela per bloccare rapidamente i file, a volte su molte thread contemporaneamente.
Questo è importante perché i sistemi Linux sono comuni nelle infrastrutture critiche e nelle operazioni backend, quindi una crittografia riuscita può interrompere servizi, backup e flussi di lavoro di ripristino. Negli attacchi reali, un encryptor Linux può essere rilasciato dopo l'accesso iniziale, quindi eseguito automaticamente per trovare e crittografare dati preziosi prima che i difensori possano isolare l'host. Per i difensori, individuare improvvisi picchi di CPU, modifiche di massa ai file, strutture di processi sospette e attività di rete o di storage rapide può aiutare a rilevare e interrompere la crittografia prima che i danni si diffondano.