Subsistema de Linux para Windows cada vez mais usado para ataques de malware

A Microsoft começou finalmente a integrar partes do Linux dentro do Windows para os utilizadores interessados em usar o mesmo, que culminaram no Windows Subsystem for Linux (WSL). No entanto, se este sistema pode ser benéfico para os utilizadores que pretendem ter acesso ao Linux sem saírem do ambiente do Windows, ao mesmo tempo também é benéfico para quem realiza ataques.

O WSL permite que seja possível correr código binário do Linux diretamente do Windows, emulando o kernel do sistema. No entanto, com a crescente adoção do WSL, também começaram a surgir malwares que tentam explorar este sistema para realizar ataques.

Os primeiros casos de malware a explorar o WSL foram detetados em Setembro de 2021, mas desde então parece que os números aumentaram consideravelmente. De acordo com os investigadores da empresa de segurança Black Lotus Labs, existem cada vez mais malwares que são focados em explorar as funcionalidades do WSL para tentarem infetar o sistema, ao mesmo tempo que ocultam ao máximo as suas atividades.

Um dos mais recentes que parece ter vindo a propagar-se em força foca-se em roubar dados de autenticação dos navegadores dos utilizadores, além de que pode receber comandos de controlo diretamente do Telegram.

Segundo os investigadores, uma das amostras descobertas recentemente trata-se de um malware-bot, que é capaz de receber comandos diretamente de canais específicos do Telegram, em controlo dos atacantes, e roubar credenciais de login de navegadores como o Chrome e Opera no sistema. Os dados roubados são depois enviados diretamente para esses canais do Telegram, sendo guardados pelos atacantes.

Para realizar este ataque, o malware explora o WSL no Windows, executando o código python necessário para tal neste ambiente. Além de recolher os dados de login, o malware pode ainda obter outras informações das vítimas, como os dados do sistema, identificação e dados pessoais.

Curiosamente, quando analisado pelo software do VirusTotal, apenas duas soluções de segurança das mais de 57 analisadas confirmavam o malware como tendo atividades maliciosas.

Conforme o WSL venha a tornar-se mais popular, também se espera que mais malware venha a tentar tirar proveito do mesmo para infetar os sistemas, ou até explorado vulnerabilidades desse sistema para tal.