Initially known as «Project Astoria

Initially known as «Project Astoria» and delivered in beta builds of Windows 10 Threshold 2 for Mobile, Microsoft implemented a full blown Linux 3.4 kernel in the core of the Windows operating system, including full support for VFS, BSD Sockets, ptrace, and a bonafide ELF loader. After a short cancellation, it's back and improved in Windows 10 Anniversary Update («Redstone»), under the guise of Bash Shell interoperability. This new kernel and related components can run 100% native, unmodified Linux binaries, meaning that NT can now execute Linux system calls, schedule thread groups, fork processes, and access the VDSO!
As it's implemented using a full-blown, built-in, loaded-by-default, Ring 0 driver with kernel privileges, this not a mere wrapper library or user-mode system call converter like the POSIX subsystem of yore. The very thought of an alternate virtual file system layer, networking stack, memory and process management logic, and complicated ELF parser and loader in the kernel should tantalize exploit writers — why choose from the attack surface of a single kernel, when there's now two?

But it's not just about the attack surface — what effects does this have on security software? Do these frankenLinux processes show up in Procmon or other security drivers? Do they have PEBs and TEBs? Is there even an EPROCESS? And can a Windows machine, and the kernel, now be attacked by Linux/Android malware? How are Linux system calls implemented and intercepted?

As usual, we'll take a look at the internals of this entirely new paradigm shift in the Windows OS, and touch the boundaries of the undocumented and unsupported to discover interesting design flaws and abusable assumptions, which lead to a wealth of new security challenges on Windows 10 Anniversary Update («Redstone») machines.

Результаты (русский) 1:

Первоначально известная как «Проект Astoria» и доставить в бета строит из 2 порога 10 Windows для мобильных устройств, Microsoft реализована польностью дунутым ядра Linux 3.4 в ядре операционной системы Windows, включая полную поддержку VFS, сокетов BSD, ptrace и bonafide эльф погрузчик. После короткой отмены он возвращается и улучшено в центре обновления Windows 10 годовщины («Редстоун»), под прикрытием Bash оболочки совместимости. Это новое ядро и связанные с ней компоненты могут работать 100% родной, неизмененной Linux бинарный, означает, что NT теперь можно запускать в системных вызовов Linux, расписание группы потоков, вилочные процессы и доступ VDSO!Как это осуществляется, используя полномасштабный, встроенный, загружается по умолчанию, драйвер Ring 0 с привилегиями ядра, это не просто обертки библиотеки или пользовательского режима системы вызова преобразователь, как подсистема POSIX былого. Сама мысль о альтернативной виртуальной файловой системы слоя, сетевой стек, памяти и процессов логики управления и сложные ELF парсер и загрузчик в ядре должны мучить эксплойт писателей — Почему выбрать от атак одного ядра, когда есть теперь два?Но это не только о атак — какие последствия это имеет на программное обеспечение безопасности? Ли эти процессы frankenLinux показывают в Procmon или других водителей безопасности? Они имеют PEBs и TEBs? Есть даже EPROCESS? И может машине Windows и ядро, теперь напали на Linux/Android вредоносных программ? Как реализуются и перехват системных вызовов Linux?Как обычно мы будем взглянуть на внутренние органы этой совершенно новой парадигмы в ОС Windows и коснитесь границы недокументированный и неподдерживаемый обнаружить интересные недостатки и abusable предположений, которые приводят к богатству новых вызовов безопасности на машинах Windows 10 годовщины обновления («Редстоун»).

Результаты (русский) 2:

Первоначально известный как «Project Астория» и поставляется в бета - сборки Windows 10 Порог 2 для мобильных устройств, Microsoft реализовала полномасштабную Linux 3.4 ядро в ядре операционной системы Windows , , включая полную поддержку VFS, BSD - сокетов, ptrace, и Bonafide ELF погрузчик. После короткой отмены, он вернулся и улучшенный в Windows 10 Anniversary Update ( «Редстоун»), под прикрытием оболочки Bash совместимости. Это новое ядро и связанные с ним компоненты могут работать 100% родной, немодифицированных бинарных файлов Linux, а это означает , что теперь NT может выполнять системные вызовы Linux, расписание групп потоков, вилки процессов, а также получить доступ к VDSO!
Как это реализуется с помощью полномасштабная, встроенный , погрузили-по-умолчанию, Ring 0 драйвер с привилегиями ядра, это не просто библиотека оболочки или пользовательского режима системного вызова конвертер как подсистемы POSIX былого. Сама мысль альтернативного слоя виртуальной файловой системы, сетевой стек, память и логику управления технологическими процессами, и сложный ELF анализатор и загрузчик в ядре должны мукам использовать писатели - почему выбирают из атаки поверхности одного ядра, когда есть теперь два?

Но это не только о поверхности атаки - какие последствия это имеет на программное обеспечение безопасности? Есть ли эти процессы frankenLinux проявляются в ProcMon или других водителей безопасности? Есть ли у них УИБ и TEBS? Есть даже EPROCESS? А может машина для Windows, и ядро, теперь будет атакован Linux / вредоносных программ для Android? Как системные вызовы Linux реализованы и перехватили?

Как обычно, мы будем смотреть на внутренности этой совершенно новой парадигмы в ОС Windows, и коснуться границы без документов и без поддержки , чтобы обнаружить интересные конструктивные недостатки и abusable предположения, которые приводят к богатству новых вызовов безопасности на Windows , 10 - летию Центра обновления ( «Редстоун») машины.