🛡️ Détection d'exploitation de BlueKeep (CVE-2019-0708)

Ce projet illustre un système de preuve de concept visant à détecter les tentatives d'exploitation à distance ciblant la vulnérabilité BlueKeep (CVE-2019-0708) dans le service RDP de Microsoft.

📝 Projet de rapport final pour le cours « Spécialisation en cybersécurité » – Université PTIT (Vietnam)

📌 Aperçu

BlueKeep (CVE-2019-0708) est une vulnérabilité critique d'« exécution de code à distance » dans les services Bureau à distance de Microsoft affectant les anciens systèmes Windows (Windows XP à Windows 7, ainsi que Server 2003/2008). Elle est classée comme vulnérabilité de type ver, ce qui signifie qu'elle peut se propager sans interaction de l'utilisateur.

Ce projet simule un scénario d'exploitation à l'aide de Metasploit et met en œuvre un mécanisme de détection en Python utilisant PyShark.

🧪 Configuration du laboratoire

🚨 Comportement de l'exploit

• L'attaquant initie une connexion RDP à l'aide d'un client personnalisé.
• Il demande la création du canal virtuel MS_T120, qui existe déjà.
• Cela déclenche une use-after-free (utilisation après libération) dans termdd.sys, conduisant à une exécution de code à distance (RCE).

🧩 Signatures de détection :

🐍 Script de détection

Un outil de détection Python simple utilisant pyshark :

pip install pyshark
python bluekeep_detector.py