Il malware Linux è codice malevolo creato per essere eseguito su sistemi Linux, inclusi server, host cloud, container e infrastrutture web. Può installare backdoor, scaricare payload, dirottare processi, alterare file oppure avviare strumenti di reindirizzamento e proxy. Poiché Linux alimenta gran parte del backend di Internet, questo malware prende spesso di mira sistemi esposti al pubblico di alto valore piuttosto che desktop per utenti consumer.
Nelle cyber attack, il malware Linux è importante perché un server compromesso può essere abusato in modo silenzioso pur continuando a servire il traffico normale. Gli attaccanti possono usarlo per inserire spam SEO, ospitare pagine di phishing, manipolare i contenuti web o creare accessi nascosti per operazioni successive. I difensori cercano binari inattesi, file web modificati, connessioni in uscita insolite, cron job sospetti e modifiche di integrità nelle directory del server. Patch management rigoroso, privilegi minimi, monitoraggio dell'integrità dei file e revisione dei log sono controlli chiave contro il malware Linux sui sistemi esposti.