🔵 EternalBlue (CVE-2017-0144)

Vulnérabilité critique d'exécution de code à distance dans Microsoft SMBv1

📌 Aperçu

EternalBlue est une vulnérabilité critique dans le protocole Server Message Block version 1 (SMBv1) de Microsoft qui permet à des attaquants distants d'exécuter du code arbitraire sur des systèmes Windows vulnérables sans authentification.

L'exploit a été développé par la NSA puis divulgué par le groupe de pirates Shadow Brokers en 2017. Il est devenu largement connu après avoir été utilisé par des campagnes mondiales de ransomware telles que WannaCry et NotPetya.

🆔 Détails de la vulnérabilité

⚠️ Impact

Une exploitation réussie peut entraîner :

• 💀 Exécution de code à distance avec privilèges SYSTEM
• 🖥️ Prise de contrôle complète des machines vulnérables
• 🌐 Propagation de type ver à travers les réseaux
• 🔐 Déploiement de ransomware ou de logiciels malveillants
• 📂 Vol, destruction ou chiffrement de données
• 🚨 Pannes organisationnelles à grande échelle

📸 Démo

🛑 Ransomware WannaCry (mai 2017) 🛑

WannaCry a utilisé EternalBlue pour se propager automatiquement sur les réseaux.

Impact :

• 🌍 Plus de 200 000 ordinateurs infectés
• 🌎 Touché plus de 150 pays
• 🏥 Perturbation des hôpitaux, entreprises, télécoms et services gouvernementaux
• 💰 Causé des milliards de dollars de dommages

🛑 Ransomware NotPetya (juin 2017) 🛑

NotPetya a combiné EternalBlue avec d'autres techniques de propagation.

Impact :

• 🏢 Ciblé des organisations multinationales
• 💾 Détruit les données plutôt que de simplement les chiffrer
• 💸 Dommages estimés à plus de 10 milliards de dollars
• 🌍 L'une des cyberattaques les plus destructrices de l'histoire

🔥 Pourquoi EternalBlue était dangereux

Internet
    |
    v
Port SMBv1 exposé (TCP 445)
    |
    v
Paquet SMB spécialement conçu
    |
    v
Corruption de la mémoire du noyau
    |
    v
Exécution de code à distance
    |
    v
Accès de niveau SYSTEM
    |
    v
Propagation automatique sur le réseau

🛡️ Atténuation

Actions immédiates

• ✅ Appliquer le correctif de sécurité Microsoft MS17-010
• ✅ Désactiver SMBv1 s'il n'est pas nécessaire
• ✅ Bloquer le trafic SMB (port TCP 445) depuis des réseaux non fiables
• ✅ Segmenter les réseaux internes
• ✅ Maintenir les systèmes Windows à jour
• ✅ Utiliser une protection moderne des terminaux
• ✅ Surveiller l'activité SMB pour détecter des comportements anormaux

🔍 Indicateurs de détection

Signes potentiels d'exploitation :

• Trafic SMB inhabituel sur TCP/445
• Mouvement latéral rapide entre les systèmes
• Création inattendue de processus comme cmd.exe ou powershell.exe
• Activité de ransomware ou modifications massives de fichiers

📊 Vecteur CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 Chronologie

📚 Références

• Bulletin de sécurité Microsoft MS17-010
• MITRE CVE-2017-0144
• Catalogue des vulnérabilités exploitées connues de la CISA

⚠️ Avertissement

Ce dépôt est destiné uniquement à des fins éducatives et défensives en cybersécurité.
N'utilisez pas ces informations pour attaquer des systèmes sans autorisation explicite.

🔵 EternalBlue • CVE-2017-0144 • RCE SMBv1