Angriffe auf Windows über das WSL kommen - erste Samples gefunden

Angriffe auf Windows-Systeme dürften demnächst verstärkt über das Windows Subsystem for Linux (WSL) stattfinden. Die dafür nötigen Tools befinden sich in Entwicklung, wie erste Funde in freier Wildbahn durch Sicherheitsforscher jetzt zeigen. Bei den gefundenen Samples ist bereits sichtbar, in welche Richtung die Reise gehen soll. Allerdings sind sie noch nicht fertig entwickelt, können also nicht direkt zu einer Malware umfunktioniert werden. Das geht aus Analysen durch die Sicherheitsforscher der Black Lotus Labs hervor. Demnach setzen die Entwickler hier vor allem auf Python 3, um ihre Ideen in die Praxis umzusetzen.

Die gefundenen Codes waren in eine ELF-Datei verpackt, dabei handelt es sich um ausführbare Files für verschiedene Linux-Distributionen. Erstellt wurden sie mit dem PyInstaller. Das Problem, das sich daraus ergibt: Diese Art von Dateien wird für gewöhnlich von Antiviren-Software, die unter Windows zum Einsatz kommt, gar nicht richtig gescannt.

AV-Detektion kaum vorhanden

Laut den Black Lotus Labs wird die Funktionalität, die in der jeweiligen Malware steckt, in anderen Verpackungen durch die Scanner, die über VirusTotal getestet werden können, durchaus als schädlich erkannt. Bei den genannten ELF-Files blieb die Detektionsrate aber gering.

Die gefundenen Samples sind darauf ausgelegt, weitere Codes aus dem Netz nachzuladen. Zuvor versuchen sie, die Virenscanner auf dem Host-Windows-System aus dem WSL heraus auszuschalten, in dem sie ein PowerShell-Skript aus dem Linux-Bereich herausschleusen. Anhand des bisherigen Entwicklungsstandes ist davon auszugehen, dass die ersten entsprechenden Malwares in fertiger Form bald auftauchen werden. Nutzer des WSL und insbesondere Administratoren in Unternehmen sollten also entsprechend Vorsicht walten lassen und Schutzvorkehrungen treffen. Insbesondere sollten bei einem aktivierten WSL die Logging-Funktionen und die anschließenden Analysen auf ungewöhnliche Aktivitäten in dem Bereich ausgerichtet werden.

Siehe auch: