De Qilin-ransomwaregroep maakt gebruik van het Windows Subsystem for Linux (WSL) om Linux-ransomware op Windowscomputers uit te voeren, zo stelt antivirusbedrijf Trend Micro. De virusbestrijder kwam vorige week met een analyse van een aanval waarbij Linux-ransomware was ingezet tegen een Windowsomgeving. In eerste instantie ontbrak informatie over hoe het Linux-bestand precies op de computers werd uitgevoerd, maar in een update meldt Trend Micro dat dit via WSL gebeurde.

Via het Windows Subsystem for Linux is het mogelijk om Linux executables direct op een Windowssysteem uit te voeren, zonder dat hiervoor bijvoorbeeld een virtual machine is vereist. Volgens het antivirusbedrijf hebben de aanvallers WSL op aangevallen systemen ingeschakeld of zelf geïnstalleerd, zodat de omgeving klaar was voor Linux-gebaseerde malware. Het gebruik van Linux-ransomware zou detectie moeten bemoeilijken.

"Deze ongewone aanpak combineert legitieme remote management tools met WSL om crossplatform malware uit te rollen, en zo traditionele Windows-gerichte security controls te omzeilen. De uitvoeringsmethode is noemenswaardig, aangezien de meeste endpoint-detectiesystemen niet zijn ingesteld om Linux binaires te monitoren die via WSL worden uitgevoerd, met name als dit via legitieme remote management tools wordt gedaan", aldus de onderzoekers.

De aanvallers maken gebruik van drie technieken om toegang tot de systemen van hun slachtoffers te krijgen. Het gaat om spear phishing, geldige inloggegevens, die bijvoorbeeld eerder zijn gestolen of via een bruteforce-aanval zijn achterhaald, en fake captcha's. Hierbij worden internetgebruikers misleid om een "captcha" op te lossen door het uitvoeren van een commando op het systeem. In werkelijkheid wordt er zo malware geïnstalleerd.

Zodra de aanvallers toegang tot een systeem hebben wordt via WinSCP de Linux-ransomware naar het systeem gekopieerd. Vervolgens gebruiken de aanvallers de remote management tool Splashtop om de ransomware binnen de WSL-omgeving van het systeem uit te voeren. Volgens Trend Micro zijn dit jaar al 700 organisaties in 62 landen succesvol door de Qilin-ransomwaregroep aangevallen. Het zou ook gaan om de Friese afvalverwerker Omrin.