Azul eterno

EternalBlue ^{[ 5 ]} es un software de explotación informática desarrollado por la Agencia de Seguridad Nacional (NSA) de Estados Unidos. ^{[ 6 ]} Se basa en una vulnerabilidad de día cero en el software Microsoft Windows que permitía a los usuarios acceder a cualquier número de ordenadores conectados a una red . La NSA conocía esta vulnerabilidad, pero no la reveló a Microsoft durante varios años, ya que tenía la intención de utilizarla como parte de sus operaciones cibernéticas ofensivas. En 2017, la NSA descubrió que el software había sido robado por un grupo de hackers conocido como Shadow Brokers . Es posible que Microsoft estuviera al tanto de esto y publicara actualizaciones de seguridad en marzo de 2017 para corregir la vulnerabilidad. Mientras esto sucedía, el grupo de hackers intentó subastar el software, pero no logró encontrar un comprador. EternalBlue se lanzó públicamente el 14 de abril de 2017. ^{[ 5 ]}

El 12 de mayo de 2017, un gusano informático en forma de ransomware , apodado WannaCry , utilizó el exploit EternalBlue para atacar computadoras con Windows que no habían recibido las últimas actualizaciones del sistema que eliminaban la vulnerabilidad. ^{[ 5 ] [ 7 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ] : 1} El 27 de junio de 2017, el exploit se utilizó nuevamente para ayudar a llevar a cabo el ciberataque NotPetya de 2017 en computadoras más vulnerables. ^{[ 12 ]}

También se informó que el exploit fue utilizado desde marzo de 2016 por el grupo de hackers chinos Buckeye (APT3) , después de que probablemente encontraron y reutilizaron el software, ^{[ 11 ] : 1} así como también se informó que fue utilizado como parte del troyano bancario Retefe desde al menos el 5 de septiembre de 2017. ^{[ 13 ]}

EternalBlue explota una vulnerabilidad en la implementación del protocolo Server Message Block (SMB) de Microsoft . Esta vulnerabilidad se identifica con la entrada CVE - 2017-0144 ^{[ 14 ] [ 15 ]} en el catálogo Common Vulnerabilities and Exposures (CVE). La vulnerabilidad existe porque el servidor SMB versión 1 (SMBv1) en varias versiones de Microsoft Windows gestiona incorrectamente paquetes especialmente diseñados de atacantes remotos, lo que les permite ejecutar código de forma remota en el equipo objetivo. ^{[ 16 ]}

La NSA no alertó a Microsoft sobre las vulnerabilidades y las mantuvo ocultas durante más de cinco años antes de que la brecha la obligara a actuar. La agencia advirtió a Microsoft después de enterarse del posible robo de EternalBlue, lo que permitió a la compañía preparar un parche de software emitido en marzo de 2017, ^{[ 17 ]} después de retrasar su lanzamiento regular de parches de seguridad en febrero de 2017. ^{[ 18 ]} El martes 14 de marzo de 2017, Microsoft emitió el boletín de seguridad MS17-010, ^{[ 19 ]} que detallaba la falla y anunciaba que se habían lanzado parches para todas las versiones de Windows que eran compatibles en ese momento, estas eran Windows Vista , Windows 7 , Windows 8.1 , Windows 10 , Windows Server 2008 , Windows Server 2008 R2 , Windows Server 2012 , Windows Server 2012 R2 y Windows Server 2016. ^{[ 20 ] [ 21 ]}

Shadow Brokers publicó públicamente el código de explotación EternalBlue el 14 de abril de 2017, junto con varias otras herramientas de pirateo de la NSA. ^{[ 5 ]}

Muchos usuarios de Windows no habían instalado los parches de Microsoft cuando, el 12 de mayo de 2017, el ataque de ransomware WannaCry comenzó a utilizar la vulnerabilidad EternalBlue para propagarse. ^{[ 22 ] [ 23 ]} Al día siguiente (13 de mayo de 2017), Microsoft publicó parches de seguridad de emergencia para Windows XP , Windows 8 y Windows Server 2003 , que ya no contaban con soporte . ^{[ 24 ] [ 25 ]}

En febrero de 2018, EternalBlue fue adaptado a todos los sistemas operativos Windows desde Windows 2000 por el investigador de seguridad de RiskSense, Sean Dillon. EternalChampion y EternalRomance , otros dos exploits desarrollados originalmente por la NSA y filtrados por The Shadow Brokers , también fueron adaptados en el mismo evento. Se pusieron a disposición como módulos Metasploit de código abierto . ^{[ 26 ]}

A finales de 2018, millones de sistemas seguían siendo vulnerables a EternalBlue. Esto provocó pérdidas millonarias, principalmente a causa de gusanos de ransomware. Tras el impacto masivo de WannaCry , que causó daños por valor de más de 8.000 millones de dólares en 150 países, brotes posteriores como NotPetya y BadRabbit también se propagaron utilizando EternalBlue como vector de infección inicial o como método de movimiento lateral. ^{[ 27 ]}

Después del ataque WannaCry, Microsoft asumió la "responsabilidad principal de abordar estos problemas", pero criticó a agencias gubernamentales como la NSA y la CIA por acumular vulnerabilidades en lugar de revelarlas, escribiendo que "un escenario equivalente con armas convencionales sería que al ejército estadounidense le robaran algunos de sus misiles Tomahawk ". ^{[ 34 ]} La estrategia de acumulación impidió que Microsoft conociera (y posteriormente parcheara) este error, y presumiblemente otros errores ocultos. ^{[ 34 ] [ 35 ]} Sin embargo, varios comentaristas, incluido Alex Abdo del Knight First Amendment Institute de la Universidad de Columbia , han criticado a Microsoft por culpar a la NSA, argumentando que debería ser responsable de lanzar un producto defectuoso de la misma manera que lo sería un fabricante de automóviles. ^{[ 36 ]} La compañía fue criticada por restringir inicialmente el lanzamiento de su parche EternalBlue a los usuarios recientes de Windows y a los clientes de sus contratos de soporte extendido de $1,000 por dispositivo, una medida que dejó a organizaciones como el NHS del Reino Unido vulnerables al ataque WannaCry. Un mes después de que se publicara el parche por primera vez, Microsoft tomó la inusual medida de ponerlo a disposición de forma gratuita para los usuarios de todas las ediciones vulnerables de Windows desde Windows XP. ^{[ 37 ]}

EternalRocks o MicroBotMassiveNet es un gusano informático que infecta Microsoft Windows. Utiliza siete exploits desarrollados por la NSA. ^{[ 38 ]} En comparación, el ransomware WannaCry , que infectó 230 000 ordenadores en mayo de 2017, solo utiliza dos exploits de la NSA. Por consiguiente, los investigadores consideran que EternalRocks es significativamente más peligroso. ^{[ 39 ]} El gusano fue descubierto mediante un honeypot . ^{[ 40 ]}

• BlueKeep (vulnerabilidad de seguridad) : una vulnerabilidad similar.
• Lista de controversias de la NSA
• Petya (malware)

• Grossman, Nadav (29 de septiembre de 2017). "EternalBlue: todo lo que hay que saber" .

• Boletín de seguridad de Microsoft MS17-010
• Entradas del catálogo de actualizaciones de Microsoft para parches de EternalBlue
• CVE - 2017-0144 Entrada en el catálogo CVE