El Subsistema de Windows para Linux 2 (WSL2) está diseñado para ofrecer a los desarrolladores un entorno Linux rápido en Windows. Ahora, los atacantes están convirtiendo esa ventaja en un escondite. Al ejecutar herramientas y cargas útiles dentro de la máquina virtual de WSL2, pueden operar fuera del alcance de muchos controles de seguridad tradicionales de Windows.

El Subsistema de Windows para Linux 2 (WSL2) está diseñado para ofrecer a los desarrolladores un entorno Linux rápido en Windows. Ahora, los atacantes están convirtiendo esa ventaja en un escondite.

Al ejecutar herramientas y cargas útiles dentro de la máquina virtual de WSL2, pueden operar fuera del alcance de muchos controles de seguridad tradicionales de Windows.

El resultado es un cambio silencioso pero grave en la forma en que los intrusos se mueven, persisten y roban datos en las redes corporativas modernas.

Cada distribución de WSL2 se ejecuta como una máquina virtual Hyper-V independiente con su propio sistema de archivos y procesos.

Muchos agentes de endpoints solo supervisan el lado de Windows, registrando llamadas a wsl.exe pero ignorando lo que realmente sucede dentro del invitado Linux.

Los atacantes aprovechan esta brecha al introducir malware en el sistema de archivos de WSL, lanzar shells remotos y escanear la red desde un espacio que los defensores rara vez monitorean.

Investigadores de SpecterOps señalaron que WSL2 ya es común en estaciones de trabajo de desarrolladores, objetivos frecuentes durante ejercicios de equipos rojos.

Sus pruebas demostraron cómo un archivo objeto de beacon puede acceder a cualquier distribución WSL2 instalada, ejecutar comandos arbitrarios y leer archivos interesantes sin activar alertas obvias.

En un ataque real, esa misma técnica permite a los intrusos pivotar desde un host Windows fuertemente monitoreado hacia un entorno Linux mucho más silencioso, manteniendo el acceso a recursos internos.

Usar WSL2 de esta manera cambia el perfil de riesgo para muchas organizaciones. La telemetría clásica de Windows puede registrar poco más que el proceso inicial de wsl.exe, incluso mientras un conjunto completo de herramientas se ejecuta en el lado Linux.

Los equipos azules pueden pasar por alto movimientos laterales, robo de credenciales y preparación de datos que ocurren dentro del invitado.

Para las víctimas, esto significa un mayor tiempo de permanencia, investigaciones más difíciles y una mayor probabilidad de que los atacantes se lleven código fuente o registros comerciales sensibles.

Evasión de detección dentro de WSL2

Desde la perspectiva de un defensor, WSL2 ofrece a los atacantes una doble capa de protección. Las herramientas de seguridad pueden no instrumentar el kernel o el sistema de archivos de Linux, y muchas no escanean el recurso compartido $WSL, donde se pueden almacenar cargas útiles.

Dentro del invitado, los intrusos pueden ejecutar utilidades Linux conocidas que se mezclan con la actividad administrativa normal.

Los analistas de SpecterOps también destacaron cómo el abuso de WSL2 debilita muchas reglas de alerta existentes. En lugar de nuevos servicios de Windows o controladores sospechosos, los defensores ven un breve proceso de wsl.exe y poco más.

Este tipo de ataque subraya la necesidad de un monitoreo y registro extendidos que profundicen en la actividad de WSL2.