Explorando a Vulnerabilidade MS17-010 EternalBlue

Visão Geral

MS17-010 (EternalBlue) é uma vulnerabilidade crítica na implementação SMBv1 da Microsoft que permite a execução remota de código. Originalmente descoberta pela NSA e vazada pelos Shadow Brokers em 2017, foi utilizada nas campanhas de ransomware WannaCry e NotPetya. Apesar de os patches estarem disponíveis desde março de 2017, muitas organizações ainda possuem sistemas sem correção, tornando-a um vetor de exploração viável para equipes vermelhas, especialmente em ambientes legados.

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração da vulnerabilidade MS17-010 EternalBlue.
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado.
• Ao conduzir exercícios de equipe vermelha ou engajamentos de teste de penetração.
• Ao construir capacidades de detecção com base na compreensão de técnicas ofensivas.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de equipe vermelha.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Mapeamento MITRE ATT&CK

• T1210 - Exploração de Serviços Remotos
• T1190 - Explorar Aplicação Voltada para a Internet
• T1569.002 - Serviços de Sistema: Execução de Serviço

Fluxo de Trabalho

Fase 1: Varredura de Vulnerabilidades

1. Varra as redes alvo em busca da porta SMB 445.
2. Verifique o suporte ao protocolo SMBv1.
3. Execute a verificação de vulnerabilidade MS17-010 (script NSE do Nmap ou auxiliar do Metasploit).
4. Documente os sistemas vulneráveis com a versão do sistema operacional e o nível de patch.

Fase 2: Exploração

1. Selecione a variante de exploit apropriada com base no sistema operacional alvo.
2. Configure o payload do exploit (Meterpreter, beacon do Cobalt Strike, shellcode customizado).
3. Execute o exploit contra o alvo vulnerável confirmado.
4. Verifique a execução do código e estabeleça a sessão.

Fase 3: Pós-Exploração

1. Estabeleça persistência no sistema comprometido.
2. Extraia credenciais da memória.
3. Use o host comprometido como ponto de pivô.
4. Documente as evidências da exploração.

Ferramentas e Recursos

Indicadores de Detecção

• Assinaturas de IDS/IPS para tráfego de exploit EternalBlue.
• Negociação SMBv1 de hosts de origem incomuns.
• ID de Evento 7045: Instalação de novo serviço após a exploração.
• Atividade anômala de named pipe no SMB.
• Grandes requisições de escrita SMB características de buffer overflow.

Critérios de Validação

• Sistemas vulneráveis identificados via varredura.
• Exploração realizada em alvo autorizado.
• Execução de código confirmada com sessão estabelecida.
• Atividades de pós-exploração documentadas.
• Recomendações de remediação fornecidas.