🔵 EternalBlue (CVE-2017-0144)

Vulnerabilidade Crítica de Execução Remota de Código no SMBv1 da Microsoft

📌 Visão Geral

EternalBlue é uma vulnerabilidade crítica no protocolo Server Message Block versão 1 (SMBv1) da Microsoft que permite a atacantes remotos executar código arbitrário em sistemas Windows vulneráveis sem autenticação.

O exploit foi desenvolvido pela NSA e posteriormente vazado pelo grupo de hackers Shadow Brokers em 2017. Tornou-se amplamente conhecido após ser utilizado por campanhas globais de ransomware como WannaCry e NotPetya.

🆔 Detalhes da Vulnerabilidade

⚠️ Impacto

A exploração bem-sucedida pode levar a:

• 💀 Execução remota de código com privilégios de SYSTEM
• 🖥️ Tomada total de máquinas vulneráveis
• 🌐 Propagação semelhante a worm através de redes
• 🔐 Implantação de ransomware ou malware
• 📂 Roubo, destruição ou encriptação de dados
• 🚨 Interrupções organizacionais em larga escala

📸 Demonstração

🛑 Ransomware WannaCry (Maio de 2017) 🛑

O WannaCry usou o EternalBlue para se espalhar automaticamente pelas redes.

Impacto:

• 🌍 Mais de 200.000 computadores infetados
• 🌎 Afetou mais de 150 países
• 🏥 Hospitalares, empresas, telecomunicações e serviços governamentais interrompidos
• 💰 Causou milhares de milhões de dólares em danos

🛑 Ransomware NotPetya (Junho de 2017) 🛑

O NotPetya combinou o EternalBlue com outras técnicas de propagação.

Impacto:

• 🏢 Visou organizações multinacionais
• 💾 Destruiu dados em vez de simplesmente os encriptar
• 💸 Danos estimados superiores a 10 mil milhões de dólares
• 🌍 Um dos ataques cibernéticos mais destrutivos da história

🔥 Porque o EternalBlue era Perigoso

Internet
    |
    v
Porta SMBv1 exposta (TCP 445)
    |
    v
Pacote SMB especialmente construído
    |
    v
Corrupção de memória do kernel
    |
    v
Execução remota de código
    |
    v
Acesso ao nível do SYSTEM
    |
    v
Propagação automática na rede

🛡️ Mitigação

Ações Imediatas

• ✅ Aplicar a atualização de segurança MS17-010 da Microsoft
• ✅ Desativar SMBv1 se não for necessário
• ✅ Bloquear tráfego SMB (porta TCP 445) de redes não confiáveis
• ✅ Segmentar redes internas
• ✅ Manter os sistemas Windows atualizados
• ✅ Utilizar proteção moderna de endpoint
• ✅ Monitorizar atividade SMB em busca de comportamentos anómalos

🔍 Indicadores de Deteção

Possíveis sinais de exploração:

• Tráfego SMB incomum através de TCP/445
• Movimentação lateral rápida entre sistemas
• Criação inesperada de processos como cmd.exe ou powershell.exe
• Atividade de ransomware ou modificações em massa de ficheiros

📊 Vetor CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 Linha do Tempo

📚 Referências

• Boletim de Segurança Microsoft MS17-010
• MITRE CVE-2017-0144
• Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA

⚠️ Aviso Legal

Este repositório é apenas para fins educacionais e de defesa cibernética.
Não utilize estas informações para atacar sistemas sem autorização explícita.

🔵 EternalBlue • CVE-2017-0144 • RCE SMBv1