💀 Recherche sur l'exploitation d'EternalBlue (MS17-010)
Reproduction contrôlée de CVE-2017-0144 — la vulnérabilité SMB à l'origine de la vague de ransomware WannaCry
⚠️ Avertissement : Cette recherche a été menée dans un environnement de laboratoire entièrement isolé et contrôlé, à des fins académiques et éducatives uniquement. Aucun système de production n'a été impliqué.
Aperçu
Ce projet a reproduit l'exploit EternalBlue (CVE-2017-0144, CVSS 9.3) dans un environnement AWS EC2 isolé. L'objectif était de comprendre en profondeur les mécanismes de la vulnérabilité, de capturer et d'analyser le trafic d'exploitation, et de cartographier la chaîne d'attaque selon MITRE ATT&CK — afin d'informer à la fois la recherche offensive et les stratégies de durcissement défensif.
Architecture du laboratoire
- Plateforme Cloud : AWS EC2
- Machine attaquante : Kali Linux
- Machine cible : Windows Server 2008 R2 (non patché, SMBv1 activé)
- Réseau : VPC isolé, aucune sortie Internet depuis la cible
Ce qui a été fait
Reproduction de l'exploit
- Configuration d'une instance vulnérable Windows Server 2008 R2 avec SMBv1 activé et MS17-010 non patché
- Utilisation de Metasploit Framework pour exécuter la chaîne d'exploitation
- Obtention d'une exécution de code à distance et d'un accès shell au niveau SYSTEM
Analyse du trafic réseau
- Capture complète des paquets avec Wireshark pendant l'exploit
- Analyse de la séquence de négociation SMB, de la livraison du shellcode et des étapes RCE au niveau des paquets
- Identification des indicateurs de compromission (IOC) clés visibles dans le trafic réseau
Cartographie MITRE ATT&CK
- T1210 — Exploitation de services distants (Accès initial)
- T1059 — Interpréteur de commandes et de scripts (Exécution)
- T1055 — Injection de processus (Évitement de défense / Élévation de privilèges)
Résultats clés et mesures d'atténuation
- SMBv1 activé par défaut sur les systèmes hérités → Désactiver via PowerShell ou la stratégie de groupe
- Correctif MS17-010 non appliqué → Appliquer KB4012212 / KB4012215 immédiatement
- Mouvement latéral possible après exploitation → Segmentation réseau + règles de pare-feu basées sur l'hôte
- Aucune détection du trafic d'exploit → Déployer une surveillance du trafic SMB dans le SIEM
Résultat académique
Présentation finale de 35 minutes couvrant :
- Mécanismes complets de l'exploit et analyse des causes profondes
- Analyse détaillée au niveau des paquets de la chaîne d'attaque
- Stratégies de détection et recommandations de correction
Compétences démontrées
Metasploit Wireshark Kali Linux AWS EC2 CVE Analysis CVSS Scoring MITRE ATT&CK SMB Protocol Vulnerability Research Network Forensics
trinadh-dasari-cyber/eternalblue-ms17-010-research
