Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

WSL in the Malware Ecosystem, (Wed, Feb 11th)

1 minute de lecture

Mis à jour :

WSL : Une Nouvelle Porte d’Entrée pour les Logiciels Malveillants ?

Le Sous-système Windows pour Linux (WSL) permet d’exécuter un environnement Linux directement sous Windows, particulièrement utile pour les développeurs et les professionnels de la cybersécurité. Cette fonctionnalité, similaire aux techniques “living-off-the-land” (LOLBIN), permet aux attaquants de déposer et d’exécuter des outils Linux au sein du système Windows, contournant ainsi certaines protections. L’accès au système de fichiers racine de WSL via le partage “\wsl$” facilite l’injection de fichiers malveillants.

Une récente analyse a révélé un échantillon de malware JavaScript, identifié comme un composant du trojan Cryxos (SHA256:f44c2169250f86c8b42ec74616eacb08310ccc81ca9612eb68d23dc8715d7370), qui détecte spécifiquement la présence de WSL. Ce malware vérifie l’existence de la variable d’environnement WSL_DISTRO_NAME ou analyse le contenu de /proc/version pour identifier une exécution dans un environnement WSL. Si WSL est détecté, le malware cherche à récupérer le nom d’utilisateur Windows et ajoute le répertoire /mnt (qui donne accès aux disques hôtes comme C:) aux chemins de recherche de données sensibles, notamment les informations de navigateur.

Points Clés :

  • WSL permet l’exécution d’outils Linux directement sous Windows.
  • Les attaquants peuvent exploiter WSL comme un vecteur d’exécution de code malveillant.
  • Le partage “\wsl$” facilite l’accès au système de fichiers WSL.
  • Certains malwares peuvent détecter la présence de WSL pour adapter leur comportement.
  • Le répertoire /mnt dans WSL offre un accès aux lecteurs du système hôte Windows.

Vulnérabilités :

Aucune vulnérabilité spécifique (CVE) n’est directement mentionnée dans l’article. L’exploitation réside dans la conception de WSL comme une plateforme d’exécution légitime qui peut être détournée.

Recommandations :

  • Soyez vigilant quant à l’utilisation et à la configuration de WSL dans votre environnement.
  • Surveillez les processus exécutés dans WSL et les accès aux fichiers sensibles.
  • Appliquez des mesures de sécurité standard pour la détection et la prévention des malwares, même lorsque WSL est utilisé.
  • Segmentez les environnements pour limiter la portée potentielle d’une compromission.

Source

Vous pourriez aimer