🔵 EternalBlue (CVE-2017-0144)

重大なMicrosoft SMBv1 リモートコード実行脆弱性

📌 概要

EternalBlueは、Microsoftの**Server Message Block version 1 (SMBv1)**プロトコルにおける重大な脆弱性であり、認証不要で脆弱なWindowsシステム上で任意のコードを実行することを可能にします。

このエクスプロイトはNSAによって開発され、その後2017年にハッキンググループShadow Brokersによってリークされました。WannaCryやNotPetyaなどの世界的なランサムウェアキャンペーンに悪用された後、広く知られるようになりました。

🆔 脆弱性の詳細

⚠️ 影響

正常な悪用により以下が発生する可能性があります：

• 💀 SYSTEM権限でのリモートコード実行
• 🖥️ 脆弱なマシンの完全な乗っ取り
• 🌐 ネットワーク全体へのワームのような拡散
• 🔐 ランサムウェアやマルウェアの展開
• 📂 データの窃取、破壊、または暗号化
• 🚨 大規模な組織の停止

📸 デモ

🛑 WannaCry ランサムウェア (2017年5月) 🛑

WannaCryはEternalBlueを使用してネットワーク全体に自動的に拡散しました。

影響：

• 🌍 20万台以上のコンピュータが感染
• 🌎 150か国以上に影響
• 🏥 病院、企業、通信会社、政府サービスを混乱
• 💰 数十億ドルの損害を引き起こした

🛑 NotPetya ランサムウェア (2017年6月) 🛑

NotPetyaはEternalBlueと他の拡散手法を組み合わせました。

影響：

• 🏢 多国籍企業を標的に
• 💾 単に暗号化するのではなくデータを破壊
• 💸 推定損害額は100億ドルを超える
• 🌍 歴史上最も破壊的なサイバー攻撃の一つ

🔥 EternalBlueが危険だった理由

Internet
    |
    v
Exposed SMBv1 Port (TCP 445)
    |
    v
Specially Crafted SMB Packet
    |
    v
Kernel Memory Corruption
    |
    v
Remote Code Execution
    |
    v
SYSTEM-Level Access
    |
    v
Automatic Network Spread

🛡️ 緩和策

即時対応

• ✅ Microsoftのセキュリティ更新プログラム MS17-010 を適用
• ✅ 不要な場合はSMBv1を無効化
• ✅ 信頼できないネットワークからのSMBトラフィック（TCPポート445）をブロック
• ✅ 内部ネットワークをセグメント化
• ✅ Windowsシステムを最新の状態に保つ
• ✅ 最新のエンドポイント保護を使用
• ✅ 異常な動作がないかSMBアクティビティを監視

🔍 検出指標

悪用の可能性がある兆候：

• TCP/445上の異常なSMBトラフィック
• システム間の急速な横方向の移動
• cmd.exeやpowershell.exeなどのプロセスの予期しない作成
• ランサムウェアの活動や大量のファイル変更

📊 CVSSベクトル

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 タイムライン

📚 参考文献

• Microsoft Security Bulletin MS17-010
• MITRE CVE-2017-0144
• CISA既知の悪用された脆弱性カタログ

⚠️ 免責事項

このリポジトリは教育および防御的なサイバーセキュリティ目的のみです。
明示的な許可なしにこの情報をシステムへの攻撃に使用しないでください。

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE