Dotaz: Ransomware útok přes Wine

[LarryL]

Náhodou jsem narazil na instrukce jak vytvořit zálohu pro Manjaro, ale co mě zaujalo byla zmínka, že RansomWare se může do Linuxu dostat přes Wine a zašifrovat data:

Backup files should be stored on an external disk that gets connected to the system only during a backup or restore cycle so that RansomWare cannot encrypt your backup when it stumbles into your system through wine!

Dešifrování je samozřejmě za patřičný obnos v Bitcoinech

Když rozkliknete "If you are using wine", tak je tam doporučeno separate user account with minimal privileges, který popisuje jak vytvořit nového uživatele wineuser a pokaždé při práci s Wine se přepnout na jinou TTY a přihlásit se pod daným uživatelem.

1. Používáte někdo pro Wine odděleného uživatele? Zdá se mi to dost nepraktické.
2. Pokud nejste tak paranoidní, tak jste si alespoň vědomi takového rizika a prověřujete SW spouštěný přes Wine přes antivir?
3. Sníží výchozí konfigurace SELinuxu (na Fedoře) nějak tohle riziko?
4. Jiný jednoduše použitelný způsob jak zabránit ransomware proniknout přes Wine do Linuxu?

Odpovědi

[LarryL]

Zapomněl jsem připojit odkaz na ty instrukce jak vytvořit zálohu pro Manjaro.

[Jendа]

RansomWare se může do Linuxu dostat přes Wine

Ano, a pozor, že ti nepomůže odmapovat „disk Z“ (ten je ve wine defaultně namapovaný na /), protože aplikace ve wine může volat linuxové syscally úplně mimo wine (ale zase kolik virů tohle bude dělat).

Dále se už objevil i ransomware nativní pro Linux, ale většinou to bylo uzpůsobené na serverové služby a dostávalo se to tam třeba přes děravé PHP weby.

který popisuje jak vytvořit nového uživatele wineuser a pokaždé při práci s Wine se přepnout na jinou TTY a přihlásit se pod daným uživatelem

Trochu menší izolace je pohodlnější, spustíš to pod jiným uživatelem, ale necháš to kreslit na svůj X server. Blbé je, že aplikace v rámci X serveru nejsou moc izolované, takže virus může vylistovat seznam oken, najít v něm panel nebo terminál, a poslat tomu klávesy (panelu se dá třeba poslat zkratka pro vyvolání launcheru a pak do něj napsat nějaký příkaz). Ale zase běžný Windows ransomware tohle dělat nebude.

Nejlepší z obou světů je pak spouštět to v Xephyr/Xnest v okně.

Jinak já to teda takhle dělám s jedním prohlížečem, ale nemyslím, že by to bylo neprůstřelné, protože lokální attack surface na desktopu je podle mě dost velkej a kdo ví jak máš nastavená práva, věci v /tmp a tak.

Zvážil bych spouštět to v LXC nebo podobném kontejneru, možná v Dockeru.

[Josef Kufner]

Wayland by měl ty bezpečnostní problémy řešit.

Pak tu také jsou projekty, které řeší spouštění věcí v kontejnerech právě kvůli bezpečnosti, například Qubes OS (nezkoušel jsem).

[LarryL]

Ano, a pozor, že ti nepomůže odmapovat „disk Z“ (ten je ve wine defaultně namapovaný na /), protože aplikace ve wine může volat linuxové syscally úplně mimo wine (ale zase kolik virů tohle bude dělat).

Dík za odpověď. Takže kdybych použil "winetricks sandbox" nebo sandbox v Lutrisu, které zamezí přístup na /, tak to by byla dostatečná ochrana proti "čistokrevným" windowsovským virům?

A proti těm sofistikovanějším virům (co by mohly volat linuxové syscally) je nutné použít LXC (případně Firejail, AppArmor, SELinux)?

Nejlepší z obou světů je pak spouštět to v Xephyr/Xnest v okně.

Předpokládám, že to asi není vhodné pro hry, a že to bude na úkor plynulosti grafiky?

[Josef Kufner]

AppArmor by asi mohla být relativně spolehlivá a přitom bezbolestná cesta. Možná by i stálo za to udělat nějakou integraci, která by přes AppArmor ohlídala, že proces ve Wine může jen do adresářů připojených jako disky a nikam jinam. Skoro bych si i tipnul, že to už někoho napadlo a že to možná i existuje

[LarryL]

Pro AppArmor jsem našel třeba tento profil a na Fedoře s SELinuxem se asi používá wine_selinux, ale nevím. Kromě prvního příspěvku od Jendy se zdá, že to asi nikdo moc neřeší.

[Josef Kufner]

To není vůbec špatný začátek. Ještě by to chtělo profily specifické podle jednotlivých Wine předpon (WINE_PREFIX), aby jedna aplikace nemohla infikovat aplikaci v jiné předponě.

[David Heidelberg]

Osobně by se mi hodně líbílo pouštět Wine aplikace v Flatpaku (protože správně nastavený Flatpak může fungovat jako sandbox). Každopádně winepak se zdá, že kapku vymřel.

[LarryL]

Asi na tohle víc frčí Snap. Třeba Acrobat Reader, který využívá wine-platform-5-stable, ale nevím kolik je takových snap Wine balíčků a jak moc je lidé využívají. Každopádně vždy budou aplikace pro které flatpak ani snap vytvořený nebude.

[pavele]

Divím se, že dosud na snapu nebo flatpak nebo něčem podobném nepostavil distribuci.

Základ holý, ořezaný systém a zbytek přes snap.

Udržovat balíčky by se provádělo jako doposud, takže by to bylo bezpečné, bylo by možné používat nejnovější verze softwaru nebo stable linii...

[LarryL]

Divím se, že dosud na snapu nebo flatpak nebo něčem podobném nepostavil distribuci.

Já myslím, že postavili: SilverBlue

[LarryL]

Narazil jsem na Lutris ve Flatpaku a jelikož Lutris umí používat i vlastní Wine (kromě spousty dalších spouštěčů), tak zůstane i Wine uvnitř Flatpaku. Je to sice beta, ale co jsem teď testoval, tak to funguje. Ve Flatsealu šlo vidět, že defaultně sdílí určité adresáře s hostitelem (např. ~/Games) - viz celý yml soubor, ale potom co jsem to ve Flatsealu povypínal se zdá, že to normálně funguje, takže pokud by bylo cílem jen omezit Wine na určité adresáře, tak by to možná mohla být také cesta. Zdá se že Lutris ve Flatpaku používají hlavně uživatelé zmíněného SilverBlue.

[pavele]

Pokud se SilverBlue dopiluje, může to být revoluce v distribuci linuxu.

Pak jen bude potřeba vytvořit repo s bezpečnými ověřenými balíčky.

Bude možné si vybrat "stable" bezpečný systém s nejnovějším software, který ovšem bude muset někdo kontrolovat a aktualizovat bezpečnostní chyby.

Něco jako je možné s obtížemi u Debianu dnes...

[LarryL]

Zkoušel jsem SilverBlue cca před rokem a tenkrát bych do toho ještě nešel, ale dnes jsem již nahlodaný . Zaujalo mě povídání o Toolboxu, které se na SilverBlue používá pro práci s kontejnery.

Pak jen bude potřeba vytvořit repo s bezpečnými ověřenými balíčky.

Tak doufám, že Flathub by už měl být bezpečný.

a aktualizovat bezpečnostní chyby.

jj aktualizace Flatpaků je mnohem problematičnější než aktualizace několika málo systémových balíčků.

[Petr Fiedler]

A co kdybys programy, které pouštíš ve Wine, pouštěl ve virtualizovaných Windows?

[LarryL]

To co jede ve Wine dobře se mi zdá zbytečné dávat do VM. Pokud bych měl nějaký nedůvěryhodný program, tak bych si ho do své pracovní VM stejně nepustil a musel bych použít testovací VM.

[Petr Fiedler]

Jen čistě teoreticky. Uděláš snapshot, pustíš program, který zaviruje VM a pak ten snapshot obnovíš. Tak by měl být v pořádku jak VM, tak hostitelský OS, ne? Neříkám, abys to tak dělal. Jen se ptám. Nebo ten vir může přelézt z VM do hostitele?

[LarryL]

Problém je asi v tom, že nemusí být hned zřejmé, že tam ten vir máš (může se spustit/projevit až s nějakým zpožděním). A taky nejde jen o samotný OS, ale i sdílené disky kam má Windows přístup, takže pokud by mi ransomware zašifroval data zákazníků (ke kterým má VM přístup), tak bych je musel taky obnovovat ze zálohy. Nevím jak dokáže být ransomware sofistikovaný, ale pokud by dokázal bez povšimnutí šifrovat data po delší dobu, ale data by byly uživateli stále k dipozici, aby si ničeho nevšiml, a pak by ransomware k nějakému datu "zamkl" data, tak je vysoká pravděpodobnost, že by byly zašifrované i zálohované data.

Nebo ten vir může přelézt z VM do hostitele?

VM je dobrý a jednoduchý sandbox, ale i tam je možnost že se vir dostane z VM do hostitele. V Qemu se objevily CPU s dovětkem "-IBRS" na ochranou proti Spectre.

Nechci tady rozjíždět nějakou paranoju, ale pokud ve VM s Win většina z nás používá minimálně antivir, tak jestli nepoužívat nějakou podobnou alespoň základní ochranu i při spouštění přes Wine.