<h3>นักวิจัยเผยเทคนิค Bashware สร้างมัลแวร์ที่รันผ่าน Linux Subsystem on Windows 10</h3>
ตั้งแต่ Windows 10 Anniversary Update เป็นต้นมา (เวอร์ชัน 1607) ทาง Microsoft ได้เพิ่มความสามารถที่ชื่อว่า Windows Subsystem for Linux หรือ WSL เข้ามาด้วย โดยเป็นการพัฒนาร่วมกับทีม Ubuntu เพื่อให้สามารถใช้งานสภาพแวดล้อมของ Linux ภายใต้การทำงานของ Windows ได้ ส่งผลให้สามารถติดตั้งและใช้งานแอปพลิเคชันของ Linux ได้บน Windows 10 (เป็นการทำงานแบบโดยตรง ไม่ใช่ Virtual machine)

ก่อนหน้านี้นักวิจัยด้านความมั่นคงปลอดภัยเคยนำเสนอว่ามีความเป็นไปได้ที่จะสร้างมัลแวร์ที่ทำงานอยู่ใน WSL (ดูเพิ่มเติมได้ที่การบรรยายหัวข้อ "The Linux Kernel Hidden Inside Windows 10" จากงาน Black Hat USA 2016 <a href="https://www.youtube.com/watch?v=_p3RtkwstNk">https://www.youtube.com/watch?v=_p3RtkwstNk</a>) แต่ที่ผ่านมาก็ยังไม่พบว่ามีมัลแวร์ที่โจมตีผ่านช่องทางดังกล่าวถูกเผยแพร่สู่สาธารณะ

เมื่อวันที่ 11 กันยายน 2560 นักวิจัยด้านความมั่นคงปลอดภัยจากบริษัท Check Point ได้นำเสนองานวิจัยเรื่อง Bashware โดยสาธิตการพัฒนามัลแวร์ที่ทำงานอยู่ใน WSL และยังไม่มีแอนติไวรัสหรือเครื่องมือวิเคราะห์ (ในขณะที่ทำวิจัย) สามารถตรวจจับได้

หลักการทำงานของ WSL แบบคร่าวๆ คือเป็นการทำให้แอปพลิเคชันที่เรียก System call ผ่าน Linux kernel ให้มาเรียกผ่าน Windows kernel แทน โดยมี driver และ service ต่างๆ คอยทำงานประสานอยู่เบื้องหลัง (ดูเพิ่มเติมเรื่อง WSL ได้จากเว็บไซต์ของ Microsoft <a href="https://msdn.microsoft.com/en-us/commandline/wsl/about">https://msdn.microsoft.com/en-us/commandline/wsl/about</a>) โปรแกรมที่รันผ่าน WSL นั้นจะทำงานในลักษณะ Pico process ซึ่งจะมีโครงสร้างของโพรเซสแตกต่างจากโพรเซสปกติของ Windows ทาง Check Point พบว่าซอฟต์แวร์ด้านความมั่นคงปลอดภัยทั้งหมดที่มีอยู่ตอนนี้ยังไม่มีการตรวจสอบการทำงานของ Pico process ถึงแม้ทาง Microsoft จะมี Pico API ให้เรียกใช้ก็ตาม จึงทำให้สามารถสร้างมัลแวร์ที่ทำงานใน WSL เพื่อหลบเลี่ยงจากการตรวจจับได้

กระบวนการทำงานของ Bashware จะมีการโหลดคอมโพเนนต์ของ WSL มาเตรียมไว้ จากนั้นแก้ไข Registry เพื่อเปิดใช้งาน Developer mode เสร็จแล้วติดตั้ง Linux ลงในระบบ ขั้นตอนสุดท้ายคือการดาวน์โหลด Wine มาติดตั้ง เพื่อให้มัลแวร์ที่อยู่ใน WSL สามารถมีผลกับระบบ Windows ได้ อย่างไรก็ตาม การที่จะทำงานได้ตามกระบวนการทั้งหมดนี้ Bashware ต้องถูกรันภายใต้สิทธิของผู้ดูแลระบบ

ตัวอย่างการทำงานของ Bashware สามารถดูได้จากคลิป <a href="https://www.youtube.com/watch?v=4ki6dbEePaw">https://www.youtube.com/watch?v=4ki6dbEePaw</a> โดยเป็นการสาธิตว่า Pico process ที่รันใน WSL ยังไม่สามารถตรวจจับและวิเคราะห์ได้ผ่านเครื่องมือปกติของ Windows รวมถึงหากมีการรันมัลแวร์เรียกค่าไถ่ ไฟล์ที่อยู่ในระบบของ Windows ก็มีโอกาสได้รับผลกระทบไปด้วย

งานวิจัยนี้เป็นตัวอย่างที่แสดงให้เห็นว่า WSL สามารถใช้เป็นหนึ่งในช่องทางการซ่อนมัลแวร์ได้จริง และเครื่องมือด้านความมั่นคงปลอดภัยในปัจจุบันอาจยังไม่มีความสามารถเพียงพอ (ผู้พัฒนาแอนติไวรัสบางรายแจ้งว่าเตรียมอัปเดตให้รองรับการตรวจจับมัลแวร์ที่เป็น Pico process แล้ว) นอกจากนี้ ทางฝั่งผู้ดูแลระบบหรือผู้ตรวจวิเคราะห์การโจมตีก็ควรศึกษาข้อมูลเหล่านี้ไว้ด้วย

<strong>ที่มา:</strong> <a href="https://motherboard.vice.com/en_us/article/xwwexa/windows-10s-built-in-linux-shell-could-be-abused-t">Motherboard l</a> <a href="https://research.checkpoint.com/beware-bashware-new-method-malware-bypass-security-solutions/">Check Point</a> | <a href="https://www.thaicert.or.th/newsbite/2017-09-12-01.html#2017-09-12-01">ThaiCERT</a>