WSL og lokale virtuelle maskiner

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

På en udviklers pc kan der køre et helt Linux-system inde i Windows via Windows Subsystem for Linux (WSL), og ved siden af kan der ligge virtuelle maskiner i Hyper-V, VirtualBox eller VMware Workstation. Hver af dem har sit eget filsystem, sin egen historik og sine egne logs. En undersøgelse, der kun ser på Windows’ filsystem og registreringsdatabase, kan derfor overse netop den kildekode, de kommandoer og de filoverførsler, sagen handler om. Artiklen er skrevet til SOC-analytikere og andre, der undersøger udvikler- og administratormaskiner.

Sikring af virtuelle maskiner på servere er beskrevet i virtuelle maskiner og servere. Her er fokus på det lokale “system i systemet” på en arbejdsstation.

WSL 2: en Linux-disk i en fil

WSL 2 kører Linux-distributionen i en let virtuel maskine. Ifølge Microsoft gemmes hver distributions filer i en virtuel disk med filsystemet ext4, repræsenteret på Windows-disken som en ext4.vhdx. Filen ligger typisk under brugerens profil i %LOCALAPPDATA%\Packages\<pakkenavn>\LocalState\, men placeringen kan vælges ved installation eller import. Den præcise sti for hver distribution står i registreringsdatabasen under HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss, hvor hver undernøgle har bl.a. DistributionName og BasePath.

Den virtuelle disk vokser dynamisk og kan som standard nå op til 1 TB. Den kan rumme langt mere end selve distributionen, fx klonede repositories, databaser og downloadede filer.

Den ældre WSL 1 bruger ikke en virtuel disk. Her ligger Linux-filerne direkte i en mappe på NTFS, og de kan læses med almindelige værktøjer, men med Linux-rettigheder og tidsstempler gemt som udvidede attributter.

Spor inde i distributionen

Når den virtuelle disk er sikret og monteret skrivebeskyttet, kan den analyseres som et almindeligt Linux-filsystem:

• Shellhistorik i brugerens hjemmemappe, fx .bash_history eller .zsh_history.
• Logs i /var/log og pakkehistorik, der viser installerede værktøjer.
• Git-repositories med historik, remotes og lokal konfiguration; se kildekode og Git som bevis.
• SSH-nøgler, known_hosts og konfigurationsfiler for cloudværktøjer, der viser, hvilke systemer brugeren havde forbindelse til.
• Filer i hjemmemappen og i /tmp, der kan være overført fra eller til Windows.

Linux-specifikke spor og deres fortolkning er beskrevet i Linux-servere i undersøgelser. Bemærk, at WSL ikke altid kører en fuld systemd-opsætning, så de logs, man forventer på en server, kan mangle.

Spor uden for distributionen

WSL efterlader også spor i Windows:

• Programkørsel. wsl.exe og distributionernes startprogrammer optræder i Prefetch, Amcache og procesrevision, ligesom alle andre programmer.
• Registreringsdatabasen. Nøglen Lxss viser installerede distributioner, standarddistribution og versioner; se registreringsdatabasen i en undersøgelse.
• Adgang fra Stifinder. Linux-filerne kan åbnes fra Windows via \\wsl$\<distribution>\. Åbnede filer kan derfor give spor i LNK-filer, jump lists og shellbags med denne sti.
• Adgang fra Linux til Windows. Windows-drev er monteret under /mnt/c og så videre. En kopiering fra Linux til en Windows-mappe ændrer NTFS-tidsstempler som enhver anden filoperation, men efterlader ikke de spor, Stifinder ville have efterladt.
• Synkronisering og upload. Netværkstrafik fra WSL går gennem værtens netværk og kan ses i proxy-, firewall- og EDR-logs, ofte med Windows-maskinen som afsender.

Andre lokale virtuelle maskiner

• Hyper-V gemmer diske som .vhdx, kontrolpunkter som differensdiske og konfiguration i separate filer. Hyper-V’s egne logs i hændelsesloggen viser start, stop og kontrolpunkter; se hostlogs i ESXi og Hyper-V.
• VirtualBox gemmer konfiguration i en .vbox-fil og diske typisk som .vdi. Maskinens mappe indeholder logfiler med start- og stoptidspunkter.
• VMware Workstation gemmer konfiguration i .vmx og diske som .vmdk, med en vmware.log pr. maskine.
• Containerværktøjer som Docker Desktop kan bruge WSL 2 som motor og har så deres egne virtuelle diske.

Fælles for dem er, at en maskine med snapshots eller kontrolpunkter kan have flere tidligere tilstande gemt, og at selve diskfilerne kan være flyttet eller kopieret til eksterne medier.

Kildekodesager og fratrædelser

I sager om kildekode, der er taget med ved en fratræden, er WSL og lokale virtuelle maskiner et oplagt sted at kigge. Udviklere arbejder ofte i Linux-miljøet, fordi værktøjerne kører bedst der, og repositories kan ligge der uden at blive synkroniseret til firmaets fildeling. Typiske spørgsmål er: Hvilke repositories var klonet, og fra hvilke remotes? Er der tilføjet en privat remote, eller er der lavet et arkiv af koden? Er der spor efter kopiering til /mnt/ og videre til et USB-drev eller en privat cloudmappe? Svarene kræver ofte, at sporene i distributionen kobles med Windows-spor som USB-tilslutninger og browserhistorik, så hele vejen fra repository til ekstern placering kan beskrives.

Sikring

Den mest fuldstændige metode er et forensisk image af hele værtens disk. Så kommer alle virtuelle diske, konfigurationsfiler og Windows-spor med på én gang. Den virtuelle disk kan derefter udtrækkes fra imaget og monteres skrivebeskyttet på arbejdsstationen.

Er maskinen tændt, og skal der sikres målrettet, så overvej rækkefølgen:

1. Dokumentér kørende distributioner og virtuelle maskiner, fx med wsl --list --verbose. En kørende distribution kan have data i hukommelsen og åbne filer, som ikke er skrevet til disken.
2. Vurder, om der skal tages hukommelseskopi først; se memory forensics.
3. Luk WSL kontrolleret med wsl --shutdown, så den virtuelle disk er konsistent, og notér tidspunktet.
4. Kopiér ext4.vhdx og andre diskfiler uændret, og beregn hashværdi.

wsl --export kan danne en tar-fil eller en vhdx-fil af en distribution, men det er en eksport foretaget af det system, der undersøges. Den bevarer ikke slettede filer, og den ændrer tilstanden på maskinen. Den egner sig som supplement, ikke som primær sikring. Microsoft fraråder i øvrigt at tilgå WSL-filerne i AppData med Windows-værktøjer, mens distributionen kører.

Fejlkilder

• Overset disk. Søgning efter kildekode i Windows-filsystemet finder ikke filer inde i en virtuel disk.
• Tidszoner. Linux-delen og Windows kan have forskellige tidszoneindstillinger. Tjek begge, før tidslinjen samles.
• Kryptering. Er værtens disk krypteret med BitLocker, skal nøglen bruges for at nå den virtuelle disk. Selve VHDX-filen kan også være krypteret.
• Afinstalleret distribution. wsl --unregister sletter distributionen og dens data. Spor kan stadig findes i registreringsdatabasen, Prefetch og ledig plads.

Hvad sporene kan og ikke kan vise

Sporene kan vise, at et Linux-miljø eller en virtuel maskine fandtes og blev brugt, hvilke kommandoer og filer der var i den, og hvordan data bevægede sig mellem den og Windows. De kan ikke uden videre vise, hvem der sad ved tastaturet, når flere har adgang til samme konto, og de viser ikke, hvad der skete i en virtuel maskine, der er slettet uden at efterlade diskfiler.

Kilder og versioner

• Microsoft Learn: How to manage WSL disk space
• Microsoft Learn: Working across file systems
• Microsoft Learn: Basic commands for WSL

Senest gennemgået: oktober 2026.

Næste skridt

• Opstart, nedlukning, lås og dvale: Windows-events
• Windows audit policy: de indstillinger en undersøgelse har brug for

Del af: Windows-forensik

Læs også: Nedbrudsdumps og fejlrapporter (WER) · Portable programmer og opstart fra USB: spor efter brug

→ Forensisk undersøgelse af en computer · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT