Malware kann das Windows Subsystem for Linux (WSL) missbrauchen und somit die Sicherheitsfeatures von Windows 10 umgehen. Dies haben Sicherheitsforscher der Firma Checkpoint entdeckt.

400 Millionen Rechner, die auf Windows 10 laufen, sind laut Checkpoint von der Lücke bedroht. Die von den Sicherheitsforschern benannte Bashware ist echt und kann für Angriffe genutzt werden, allerdings ist Checkpoints Einschätzung der gefährdeten Systeme stark übertrieben.

Das WSL hat vor kurzem den Beta-Status verlassen, die Software muss dennoch manuell vom Nutzer aus dem Windows Store installiert werden. WSL soll ein Teil des kommenden Fall Creators Update für Windows werden, trotzdem werden die Funktionen standardmäßig nicht aktiviert sein. Anwender, die die Linux-Funktionen nutzen wollen, müssen zuerst den Developer Mode von Windows 10 aktivieren.

Sicherheitsforscher vermuten einen Angriff, in dem Schadcode auf das System kommt, mit einem Zugriff auf die Registry den, um den Developer Mode zu aktivieren und dann per DISM in der Kommandozeile das WSL zu installieren. Sämtliche nativen Schutzfunktionen von Windows könnten von der Malware umgangen werden, indem sie über das Linux-Userland die Windows-Schnittstelle Wine installiert und Schadcode als ELF-Binaries an möglichen Schutzfunktionen vorbei ausführt. Der Angreifer muss allerdings durch Schwachstellen Code auf das System bekommen und dann seine Nutzerrechte über Lücken so weit eskalieren, dass er die Registry manipulieren kann.

Die Schwachstelle basiert darauf, dass das WSL mehr als nur einen Port der Bash-Shell auf Windows darstellt. Es besteht aus einem kompletten Linux-Userland und zum Teil auch Linux-Kernel-Komponenten, die zusammen eine Kompatibilitätsschicht für Linux-Programme und -Befehle bilden. So kann der Anwender Bash-Kommandozeilenbefehle ausführen, die dann in Anfragen übersetzt werden, die der Windows-Kernel versteht und ausführen kann. AV-Programme und die Sicherheitsfunktionen von Windows prüfen diese Befehle nicht, dadurch öffnen sich potenziele Lücken für Angreifer, die Schadcode ausführen wollen.

Momentan sind von dem Angriff nur Software-Entwickler betroffen, die den Developer Mode aktiviert und WSL installiert haben. Es wird sich noch zeigen müssen, ob ein Angriff über das WSL am praktikabelsten ist. Für Windows-10 Rechner besteht wohl kaum eine Gefährdung.

(pp, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE