🛡️ BlueKeep Exploit Detection (CVE-2019-0708)

Dieses Projekt demonstriert ein Proof-of-Concept-System zur Erkennung von Remote-Exploit-Versuchen, die auf die BlueKeep-Sicherheitslücke (CVE-2019-0708) im Microsoft-RDP-Dienst abzielen.

📝 Abschlussprojektbericht für den Kurs "Cybersicherheitsspezialisierung" – PTIT Universität (Vietnam)

📌 Übersicht

BlueKeep (CVE-2019-0708) ist eine kritische "Remote Code Execution"-Sicherheitslücke in den Microsoft-Remote-Desktop-Diensten, die ältere Windows-Systeme (Windows XP bis Windows 7 sowie Server 2003/2008) betrifft. Sie wird als wurmartige Sicherheitslücke eingestuft, was bedeutet, dass sie sich ohne Benutzereingriff ausbreiten kann.

Dieses Projekt simuliert ein Exploit-Szenario mit Metasploit und implementiert einen pythonbasierten Erkennungsmechanismus mit PyShark.

🧪 Laboraufbau

🚨 Exploit-Verhalten

• Der Angreifer initiiert eine RDP-Verbindung mit einem benutzerdefinierten Client.
• Dabei wird die Erstellung des virtuellen Kanals MS_T120 angefordert, der bereits existiert.
• Dies löst einen Use-After-Free in termdd.sys aus, der zu RCE führt.

🧩 Erkennungssignaturen:

🐍 Erkennungsskript

Ein einfaches Python-Erkennungstool mit pyshark:

pip install pyshark
python bluekeep_detector.py