Si comme moi vous utilisez régulièrement des systèmes Windows et des systèmes Linux, l’annonce de l’introduction de WSL (Windows Subsystem for Linux) dans Windows 10 a dû vous intéresser.
En effet, WSL permet d’exécuter des applications Linux sous Windows sans avoir recours à une machine virtuelle. Cette fonctionnalité a été introduite en tant que Beta dans la version « Anniversary Update » de Windows 10 (aout 2016) et sera disponible en version finale dans la prochaine mise à jour « Fall Creators Update ».
Mais, le 11 septembre, Check Point Research a lancé une alerte à propos de WSL en présentant le concept de « Bashware ».
Bashware
L’idée de base de « Bashware », consiste à exécuter des malwares Linux en utilisant WSL ou encore d’exécuter des malwares Windows via l’interface WineHQ disponible avec WSL.
Une attaque « Bashware » se déroule en 4 étapes :
- Activation de WSL
- Activation du mode développeur
- Installation du système de fichier Linux
- Exécution du malware avec Wine
Il est possible d’exécuter ces 4 étapes sans éveiller les soupçons de l’utilisateur si celui-ci dispose de droits administrateurs.
Malheureusement la plupart des solutions de sécurité actuelles ne sont pas en mesure de détecter cette menace.
Check Point Research a mis en ligne une vidéo de démonstration de faisabilité de cette attaque.
Le problème n’est pas à mettre au compte d’une mauvaise implémentation de WSL mais plutôt de l’absence de la prise en considération de cette nouvelle fonctionnalité par les fournisseurs de solutions de sécurité.
En effet, WSL utilise les « processus PICO » pour isoler et exécuter les processus ELF Linux et Microsoft fourni aux éditeurs de solutions de sécurité une API dédiée à la surveillance de l’activité de ces processus.
Mais il semble que la majorité des fournisseurs d’antivirus et d’outils d’inspection importants n’aient simplement pas pris en compte cette API pour l’instant.
Il ne nous reste plus qu’à espérer que cette lacune sera comblée avant le déploiement de la mise à jour « Fall Creators Update » prévue pour octobre 2017.
Source : Check Point Research