💀 EternalBlue (MS17-010) Exploitation-Forschung
Kontrollierte Reproduktion von CVE-2017-0144 – die SMB-Sicherheitslücke hinter dem WannaCry-Ransomware-Ausbruch
⚠️ Haftungsausschluss: Diese Forschung wurde in einer vollständig isolierten, kontrollierten Laborumgebung ausschließlich für akademische und Bildungszwecke durchgeführt. Es waren keine Produktionssysteme beteiligt.
Übersicht
Dieses Projekt reproduzierte den EternalBlue-Exploit (CVE-2017-0144, CVSS 9.3) in einer abgeschotteten AWS EC2-Umgebung. Ziel war es, die Schwachstellenmechanik tiefgehend zu verstehen, den Exploit-Verkehr zu erfassen und zu analysieren sowie die Angriffskette auf MITRE ATT&CK abzubilden – um sowohl offensive Forschung als auch defensive Härtungsstrategien zu informieren.
Laborarchitektur
- Cloud-Plattform: AWS EC2
- Angreifer-Maschine: Kali Linux
- Zielmaschine: Windows Server 2008 R2 (ungepatcht, SMBv1 aktiviert)
- Netzwerk: Isolierte VPC, kein Internetzugang vom Ziel aus
Was durchgeführt wurde
Exploit-Reproduktion
- Konfigurierte eine anfällige Windows Server 2008 R2-Instanz mit aktiviertem SMBv1 und ungepatchtem MS17-010
- Verwendete das Metasploit-Framework zur Ausführung der Exploit-Kette
- Erzielte Remote-Codeausführung und SYSTEM-Level-Shell-Zugriff
Netzwerkverkehrsanalyse
- Erfasste vollständigen Paketmitschnitt mit Wireshark während des Exploits
- Analysierte die SMB-Aushandlungssequenz, Shellcode-Übermittlung und RCE-Phasen auf Paketebene
- Identifizierte wichtige Kompromittierungsindikatoren (IOCs), die im Netzwerkverkehr sichtbar sind
MITRE ATT&CK Mapping
- T1210 — Ausnutzung von Remotediensten (Erstzugriff)
- T1059 — Befehls- und Skriptinterpreter (Ausführung)
- T1055 — Prozessinjektion (Umgehung der Verteidigung / Privilegienausweitung)
Wichtige Erkenntnisse und Gegenmaßnahmen
- SMBv1 standardmäßig auf Legacy-Systemen aktiviert → Deaktivieren über PowerShell oder Gruppenrichtlinie
- MS17-010-Patch nicht angewendet → KB4012212 / KB4012215 sofort anwenden
- Laterale Bewegung nach der Ausnutzung möglich → Netzwerksegmentierung + hostbasierte Firewall-Regeln
- Keine Erkennung des Exploit-Verkehrs → SMB-Verkehrsüberwachung im SIEM einsetzen
Akademische Ergebnisse
- Hielt eine 35-minütige Abschlusspräsentation, die Folgendes abdeckte:
- Vollständige Exploit-Mechanik und Ursachenanalyse
- Paketebenen-Durchgang der Angriffskette
- Erkennungsstrategien und Abhilfeempfehlungen
Demonstrierte Fähigkeiten
Metasploit Wireshark Kali Linux AWS EC2 CVE Analysis CVSS Scoring MITRE ATT&CK SMB Protocol Vulnerability Research Network Forensics
trinadh-dasari-cyber/eternalblue-ms17-010-research
