🔵 EternalBlue (CVE-2017-0144)

Vulnerabilidad crítica de ejecución remota de código en Microsoft SMBv1

📌 Resumen

EternalBlue es una vulnerabilidad crítica en el protocolo Server Message Block versión 1 (SMBv1) de Microsoft que permite a atacantes remotos ejecutar código arbitrario en sistemas Windows vulnerables sin autenticación.

El exploit fue desarrollado por la NSA y posteriormente filtrado por el grupo de hackers Shadow Brokers en 2017. Se hizo ampliamente conocido después de ser utilizado por campañas globales de ransomware como WannaCry y NotPetya.

🆔 Detalles de la vulnerabilidad

⚠️ Impacto

Una explotación exitosa puede provocar:

• 💀 Ejecución remota de código con privilegios de SYSTEM
• 🖥️ Toma completa de máquinas vulnerables
• 🌐 Propagación tipo gusano a través de redes
• 🔐 Implementación de ransomware o malware
• 📂 Robo, destrucción o cifrado de datos
• 🚨 Cortes organizacionales a gran escala

📸 Demostración

🛑 Ransomware WannaCry (mayo de 2017) 🛑

WannaCry usó EternalBlue para propagarse automáticamente a través de redes.

Impacto:

• 🌍 Más de 200 000 computadoras infectadas
• 🌎 Afectó a más de 150 países
• 🏥 Interrumpió hospitales, empresas, telecomunicaciones y servicios gubernamentales
• 💰 Causó daños por miles de millones de dólares

🛑 Ransomware NotPetya (junio de 2017) 🛑

NotPetya combinó EternalBlue con otras técnicas de propagación.

Impacto:

• 🏢 Apuntó a organizaciones multinacionales
• 💾 Destruyó datos en lugar de simplemente cifrarlos
• 💸 Los daños estimados superaron los 10 mil millones de dólares
• 🌍 Uno de los ciberataques más destructivos de la historia

🔥 Por qué EternalBlue era peligroso

Internet
    |
    v
Puerto SMBv1 expuesto (TCP 445)
    |
    v
Paquete SMB especialmente diseñado
    |
    v
Corrupción de memoria del kernel
    |
    v
Ejecución remota de código
    |
    v
Acceso a nivel de SYSTEM
    |
    v
Propagación automática en la red

🛡️ Mitigación

Acciones inmediatas

• ✅ Aplicar la actualización de seguridad MS17-010 de Microsoft
• ✅ Deshabilitar SMBv1 si no es necesario
• ✅ Bloquear tráfico SMB (puerto TCP 445) desde redes no confiables
• ✅ Segmentar redes internas
• ✅ Mantener los sistemas Windows actualizados
• ✅ Usar protección de endpoints moderna
• ✅ Monitorear actividad SMB para comportamientos inusuales

🔍 Indicadores de detección

Posibles señales de explotación:

• Tráfico SMB inusual sobre TCP/445
• Movimiento lateral rápido entre sistemas
• Creación inesperada de procesos como cmd.exe o powershell.exe
• Actividad de ransomware o modificaciones masivas de archivos

📊 Vector CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 Cronología

📚 Referencias

• Boletín de seguridad de Microsoft MS17-010
• MITRE CVE-2017-0144
• Catálogo de vulnerabilidades explotadas conocidas de CISA

⚠️ Aviso legal

Este repositorio es únicamente para fines educativos y defensivos de ciberseguridad.
No use esta información para atacar sistemas sin autorización explícita.

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE