🔵 EternalBlue (CVE-2017-0144)

Vulnerabilità critica di esecuzione remota di codice in Microsoft SMBv1

📌 Panoramica

EternalBlue è una vulnerabilità critica nel protocollo Server Message Block versione 1 (SMBv1) di Microsoft che consente a un aggressore remoto di eseguire codice arbitrario su sistemi Windows vulnerabili senza autenticazione.

L'exploit è stato sviluppato dalla NSA e successivamente divulgato dal gruppo di hacker Shadow Brokers nel 2017. È diventato ampiamente noto dopo essere stato armato da campagne ransomware globali come WannaCry e NotPetya.

🆔 Dettagli della vulnerabilità

⚠️ Impatto

Lo sfruttamento riuscito può portare a:

• 💀 Esecuzione remota di codice con privilegi SYSTEM
• 🖥️ Completo controllo delle macchine vulnerabili
• 🌐 Propagazione simile a worm attraverso le reti
• 🔐 Distribuzione di ransomware o malware
• 📂 Furto, distruzione o crittografia dei dati
• 🚨 Interruzioni organizzative su larga scala

📸 Demo

🛑 WannaCry Ransomware (Maggio 2017) 🛑

WannaCry ha usato EternalBlue per diffondersi automaticamente attraverso le reti.

Impatto:

• 🌍 Più di 200.000 computer infettati
• 🌎 Colpiti oltre 150 paesi
• 🏥 Ha interrotto ospedali, aziende, telecomunicazioni e servizi governativi
• 💰 Ha causato danni per miliardi di dollari

🛑 NotPetya ransomware (Giugno 2017) 🛑

NotPetya ha combinato EternalBlue con altre tecniche di propagazione.

Impatto:

• 🏢 Ha preso di mira organizzazioni multinazionali
• 💾 Ha distrutto i dati invece di crittografarli semplicemente
• 💸 I danni stimati hanno superato i 10 miliardi di dollari
• 🌍 Uno degli attacchi informatici più distruttivi della storia

🔥 Perché EternalBlue era pericoloso

Internet
    |
    v
Exposed SMBv1 Port (TCP 445)
    |
    v
Specially Crafted SMB Packet
    |
    v
Kernel Memory Corruption
    |
    v
Remote Code Execution
    |
    v
SYSTEM-Level Access
    |
    v
Automatic Network Spread

🛡️ Mitigazione

Azioni immediate

• ✅ Applicare l'aggiornamento di sicurezza Microsoft MS17-010
• ✅ Disabilitare SMBv1 se non necessario
• ✅ Bloccare il traffico SMB (porta TCP 445) da reti non fidate
• ✅ Segmentare le reti interne
• ✅ Mantenere aggiornati i sistemi Windows
• ✅ Utilizzare una protezione moderna degli endpoint
• ✅ Monitorare l'attività SMB per comportamenti anomali

🔍 Indicatori di rilevamento

Segni potenziali di sfruttamento:

• Traffico SMB insolito su TCP/445
• Movimento laterale rapido tra sistemi
• Creazione inaspettata di processi come cmd.exe o powershell.exe
• Attività ransomware o modifiche massive di file

📊 Vettore CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 Cronologia

📚 Riferimenti

• Microsoft Security Bulletin MS17-010
• MITRE CVE-2017-0144
• Catalogo delle vulnerabilità note sfruttate di CISA

⚠️ Disclaimer

Questo repository è solo per scopi educativi e difensivi di cybersecurity.
Non utilizzare queste informazioni per attaccare sistemi senza esplicita autorizzazione.

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE