BlueKeep

BlueKeep ( CVE - 2019-0708) es una vulnerabilidad de seguridad que se descubrió en la implementación del Protocolo de Escritorio Remoto (RDP) de Microsoft , que permite la posibilidad de ejecución remota de código .

Reportado por primera vez en mayo de 2019, está presente en todas las versiones sin parches de Microsoft Windows basadas en Windows NT desde Windows 2000 hasta Windows Server 2008 R2 y Windows 7. Microsoft emitió un parche de seguridad (incluida una actualización fuera de banda para varias versiones de Windows que han llegado al final de su vida útil, como Windows XP ) el 14 de mayo de 2019. El 13 de agosto de 2019, se informó que las vulnerabilidades de seguridad relacionadas con BlueKeep, denominadas colectivamente DejaBlue , afectaban a las versiones más nuevas de Windows, incluido Windows 7 y todas las versiones recientes hasta Windows 10 del sistema operativo, así como las versiones anteriores de Windows. ^[3] El 6 de septiembre de 2019, se anunció que se había lanzado al dominio público un exploit de Metasploit de la vulnerabilidad de seguridad BlueKeep que se podía convertir en gusano . ^[4]

La vulnerabilidad de seguridad BlueKeep fue detectada por primera vez por el Centro Nacional de Seguridad Cibernética del Reino Unido ^[2] y, el 14 de mayo de 2019, fue informada por Microsoft . La vulnerabilidad fue bautizada como BlueKeep por el experto en seguridad informática Kevin Beaumont en Twitter. BlueKeep se conoce oficialmente como: CVE- 2019-0708 y es una vulnerabilidad de ejecución remota de código " que se puede convertir en gusano " . ^{[5] [6]}

Tanto la Agencia de Seguridad Nacional de los EE. UU. (que emitió su propio aviso sobre la vulnerabilidad el 4 de junio de 2019) ^[7] como Microsoft declararon que esta vulnerabilidad podría ser potencialmente utilizada por gusanos autopropagadores , y Microsoft (basándose en la estimación de un investigador de seguridad de que casi 1 millón de dispositivos eran vulnerables) dijo que un ataque teórico de este tipo podría ser de una escala similar a los ataques basados ​​en EternalBlue , como NotPetya y WannaCry . ^{[8] [9] [7]}

El mismo día que el aviso de la NSA, los investigadores del Centro de Coordinación CERT revelaron un problema de seguridad relacionado con RDP en la actualización de mayo de 2019 de Windows 10 y Windows Server 2019 , citando un nuevo comportamiento en el que las credenciales de inicio de sesión de autenticación de nivel de red (NLA) de RDP se almacenan en caché en el sistema cliente y el usuario puede volver a obtener acceso a su conexión RDP automáticamente si se interrumpe su conexión de red. Microsoft descartó esta vulnerabilidad como un comportamiento intencionado y se puede desactivar a través de la Política de grupo . ^[10]

Al 1 de junio de 2019, no parecía que se conociera públicamente ningún malware activo de la vulnerabilidad; sin embargo, es posible que haya habido códigos de prueba de concepto (PoC) no revelados que explotan la vulnerabilidad. ^{[8] [11] [12] [13]} El 1 de julio de 2019, Sophos , una empresa de seguridad británica, informó sobre un ejemplo funcional de dicha PoC, con el fin de enfatizar la necesidad urgente de parchear la vulnerabilidad. ^{[14] [15] [16]} El 22 de julio de 2019, un orador de una conferencia de una empresa de seguridad china supuestamente reveló más detalles de un exploit. ^[17] El 25 de julio de 2019, expertos en informática informaron que podría haber estado disponible una versión comercial del exploit. ^{[18] [19]} El 31 de julio de 2019, los expertos informáticos informaron de un aumento significativo de la actividad maliciosa de RDP y advirtieron, basándose en historiales de explotaciones de vulnerabilidades similares, que una explotación activa de la vulnerabilidad BlueKeep podría ser inminente. ^[20]

El 13 de agosto de 2019, se informó que las vulnerabilidades de seguridad relacionadas con BlueKeep, denominadas colectivamente DejaBlue , afectaban a las versiones más nuevas de Windows, incluido Windows 7 y todas las versiones recientes del sistema operativo hasta Windows 10 , así como a las versiones más antiguas de Windows. ^[3]

El 6 de septiembre de 2019, se anunció que se había hecho público un exploit de la vulnerabilidad de seguridad BlueKeep que se podía convertir en gusano. ^[4] Sin embargo, la versión inicial de este exploit no era confiable, ya que se sabía que causaba errores de " pantalla azul de la muerte " (BSOD). Más tarde se anunció una solución que eliminaba la causa del error BSOD. ^[21]

El 2 de noviembre de 2019, se informó de la primera campaña de piratería de BlueKeep a gran escala, que incluyó una misión de cryptojacking fallida. ^[22]

El 8 de noviembre de 2019, Microsoft confirmó un ataque a BlueKeep e instó a los usuarios a parchear inmediatamente sus sistemas Windows. ^[23]

El protocolo RDP utiliza "canales virtuales", configurados antes de la autenticación, como una ruta de datos entre el cliente y el servidor para proporcionar extensiones. RDP 5.1 define 32 canales virtuales "estáticos", y los canales virtuales "dinámicos" están contenidos dentro de uno de estos canales estáticos. Si un servidor vincula el canal virtual "MS_T120" (un canal al que no hay una razón legítima para que un cliente se conecte) con un canal estático distinto del 31, se produce una corrupción del montón que permite la ejecución de código arbitrario a nivel del sistema. ^[24]

Microsoft ha señalado a Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 y Windows Server 2008 R2 como vulnerables a este ataque. Las versiones más recientes de la 7, como Windows 8 , Windows 10 y Windows 11 , no se vieron afectadas. La Agencia de Seguridad de Infraestructura y Ciberseguridad afirmó que también había logrado ejecutar código a través de la vulnerabilidad en Windows 2000. ^[25]

Microsoft lanzó parches para la vulnerabilidad el 14 de mayo de 2019 para Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 y Windows Server 2008 R2 . Esto incluía versiones de Windows que habían llegado al final de su vida útil (como Vista, XP y Server 2003) y, por lo tanto, ya no son elegibles para actualizaciones de seguridad. ^[8] El parche obliga al canal "MS_T120" mencionado anteriormente a estar siempre vinculado a 31 incluso si un servidor RDP solicita lo contrario. ^[24]

La NSA recomendó medidas adicionales, como desactivar los Servicios de Escritorio Remoto y su puerto asociado ( TCP 3389) si no se está utilizando, y exigir la Autenticación a Nivel de Red (NLA) para RDP. ^[26] Según la empresa de seguridad informática Sophos , la autenticación de dos factores puede hacer que el problema de RDP sea una vulnerabilidad menor. Sin embargo, la mejor protección es sacar RDP de Internet: apague RDP si no se necesita y, si es necesario, haga que RDP sea accesible solo a través de una VPN . ^[27]

• BlueKeep: parches de Windows Update AQUÍ, AQUÍ y AQUÍ ( Microsoft ).
• Prueba de concepto de la falla por parte de Sophos
• Discusión técnica sobre la falla en YouTube