🌐 CVE-2017-0144 — EternalBlue: Vulnerabilità di esecuzione di codice remoto in Microsoft Windows SMBv1

"Un exploit. Dozzine di famiglie malware. Miliardi di danni."

---

🔍 Riepilogo in una riga

CVE-2017-0144 è una vulnerabilità critica di esecuzione di codice remoto nell'implementazione del server SMBv1 in Microsoft Windows. L'exploit noto come EternalBlue ha sfruttato questa falla ed è stato utilizzato in attacchi ad alto impatto (in particolare WannaCry).

---

🔥 Top 10 dei Malware che Usano EternalBlue (Dettagliato)

#	Malware	Tipo	Prima apparizione	Attore	Danni	Note
1	WannaCry	Ransomware	12 maggio 2017	Lazarus Group (DPRK)	$4–8B	Killswitch: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
2	NotPetya	Wiper (spacciato per ransomware)	27 giugno 2017	Sandworm (Russia)	$10B+	Usato Mimikatz + EternalBlue + PSEXEC
3	Bad Rabbit	Ransomware	24 ottobre 2017	Indrik Spider	Regionale	Drive-by tramite falso aggiornamento Flash
4	Uiwix	Ransomware	Maggio 2017	Sconosciuto	Basso	Nessun killswitch, più stealth di WannaCry
5	EternalRocks	Worm	Maggio 2017	Sconosciuto	Medio	7 strumenti NSA (incl. DoublePulsar)
6	Adylkuzz	Crypto-miner	Maggio 2017	Sconosciuto	Alto (silenzioso)	Minava Monero prima di WannaCry
7	Retefe	Trojan bancario	2017–2018	Sconosciuto	Banche UE	Usato EternalBlue per il movimento laterale
8	TrickBot	Malware modulare	2017–2021	Wizard Spider	Globale	Distribuiva Ryuk tramite EternalBlue
9	Emotet	Loader	2017–2021	TA542	Globale	Usato come punto di ingresso per Cobalt Strike
10	Clop / Dridex	Ransomware	2019–2025	TA505	Sanità, Governo	Ancora attivo nel 2025

---

🧨 Evoluzione dell'Exploit EternalBlue

Strumento	Rilascio	Funzionalità
EternalBlue (Originale)	Apr 2017 (Shadow Brokers)	RCE su SMBv1
DoublePulsar	Apr 2017	Impianto backdoor (ring0)
EternalRomance	Apr 2017	Variante SMBv3
EternalChampion	Apr 2017	Percorso SMB alternativo
Modulo Metasploit	Maggio 2017	exploit/windows/smb/ms17_010_eternalblue
FuzzBunch	Apr 2017	Framework di exploit NSA
Impacket + PSEXEC	2017–2025	Sfruttamento SMB in Python

---

🔍 Come è stato sfruttato CVE-2017-0144 (EternalBlue)

Un approfondimento tecnico passo-passo sulla vulnerabilità RCE di SMBv1

"Un pacchetto malformato. Accesso SYSTEM completo. Nessun login. Nessun clic."

---

🎯 Flusso dell'Exploit (TL;DR)

[Attacker] 
   │
   ├──▶ Sends crafted SMBv1 **Trans2** request
   │       → Triggers **heap overflow** in `srv!SrvOS2FeaListSizeToNt`
   │
   ├──▶ Overwrites function pointers → **kernel shellcode**
   │
   └──▶ Executes **DoublePulsar** backdoor → **Ring-0 payload**
           (e.g., WannaCry `mssecsvc.exe`)

---

🛠️ Prerequisiti per lo Sfruttamento

Requisito	Dettagli
Bersaglio	Windows con SMBv1 abilitato (predefinito prima di Win10)
Porta aperta	445/TCP (o 139/TCP via NetBIOS)
Nessuna autenticazione	Non autenticato — nessun nome utente/password richiesti
Architettura	x86 o x64 (entrambe supportate)
Stato patch	Non patchato (pre-MS17-010)

---

🚀 Fasi dell'Exploit (7 Passaggi)

Fase 1: Negoziazione del Protocollo SMB

SMB_COM_NEGOTIATE → Client sends dialect list
Server responds: SMBv1 supported → Proceed

Perché? Conferma che SMBv1 è attivo.

---

Fase 2: Tree Connect a IPC$

\\TARGET\IPC$ → Anonymous share for SMB pipes

Scopo: Stabilisce una sessione per inviare richieste di transazione.

---

Fase 3: Configurazione Sessione Trans2 (Primaria)

• Usa SMB_COM_TRANSACTION2 (0x32)
• Sottocomando: SESSION_SETUP
• Imposta la struttura FEALIST con dimensione malformata

FEALIST {
    SizeOfListInBytes = 0xFFFF (or large value)
    ...
}

Attivazione del bug: SrvOS2FeaListSizeToNt() si fida di questa dimensione senza alcun controllo dei limiti.

---

Fase 4: Richiesta Trans2 Secondaria (Overflow)

• Invia più pacchetti secondari
• Ciascuno contiene FEALIST sovradimensionato + FEA (File Extended Attributes)

FEA {
    AttributeNameLength = 0x00
    AttributeName = "A" * 0x1000  → Overflow buffer
}

Heap Spray: Alloca grandi blocchi per controllare il layout della memoria.

---

Fase 5: Buffer Overflow nel Kernel

srv!SrvOS2FeaListSizeToNt(
    PFEALIST FeaList,      // attacker-controlled
    PULONG pNtFeaListSize  // output pointer
)
{
    // No validation of FeaList->SizeOfListInBytes
    memcpy(dest, src, FeaList->SizeOfListInBytes);  // BOOM
}

Risultato:

• Heap overflow → Sovrascrive oggetti kernel adiacenti
• Obiettivo: SRVNET_BUFFER o POOL_HEADER
• Sovrascrive i puntatori a funzione (ad es. routine Free)

---

Fase 6: Esecuzione dello Shellcode nel Kernel

• L'attaccante controlla RIP/EIP tramite il puntatore a funzione sovrascritto
• Salta allo shellcode nel pool non-paged

Lo Shellcode Esegue:

1. Transizione Ring-0 → Ring-3 (via KeUserModeCallback)
2. Alloca memoria in user-mode
3. Scarica/prepara il payload (ad es. mssecsvc.exe)
4. Installa la backdoor DoublePulsar

---

Fase 7: Impianto della Backdoor DoublePulsar

• Inietta il driver kernel (chiave XOR 0x00120034)
• È in ascolto di pacchetti SMB magici:
  • Ping: 0x0002C001
  • Exec: 0x0002C002 + payload

Esempio WannaCry:

EternalBlue → DoublePulsar → mssecsvc.exe → tasksche.exe → Encrypts files

---

🧨 Struttura del Pacchetto Exploit (Semplificata)

SMB Header
└── Command: 0x32 (TRANSACTION2)
    └── Setup: 0x000E (SESSION_SETUP)
        └── Parameter: TotalDataCount = 0x1000
            └── Data: 
                [FEALIST]
                  SizeOfListInBytes = 0x1100
                  [FEA #1] NameLen=0, Name="A"*0x1000
                  [FEA #2] ...
                [GROOM x100] → Spray heap
                [OVERFLOW] → Overwrite pool
                [SHELLCODE] → x64 ring0

---

🛠️ Strumenti Exploit Reali

Strumento	Linguaggio	Modulo
Metasploit	Ruby	exploit/windows/smb/ms17_010_eternalblue
Impacket	Python	smbclient.py, psexec.py
FuzzBunch	Python (NSA)	EternalBlue-2.2.0
C2 personalizzato	C/C++	WannaCry, NotPetya