| Eternal - Anonymous | |
|---|---|
| Detalhes do malware | |
| Nome técnico | |
| Tipo | Exploit |
| Autor | Equation Group |
| Detalhes técnicos | |
| Plataformas | Windows 95, Windows 98, Windows Me, Windows NT 3.x, Windows NT 4.0, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 8.1, Windows 10, Windows NT 3.1–2000 Server Editions, Windows Server 2003, Windows Server 2003 R2, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 |
O EternalBlue é um software de exploit desenvolvido pela Agência de Segurança Nacional dos Estados Unidos (NSA). Ele é baseado em uma vulnerabilidade de dia zero no software Microsoft Windows que permitia que atacantes obtivessem acesso a qualquer número de computadores conectados a uma rede. A NSA estava ciente dessa vulnerabilidade, mas não a divulgou à Microsoft por vários anos, pois pretendia usar o exploit em suas operações cibernéticas ofensivas. Em 2017, a NSA descobriu que o software havia sido roubado pelo grupo de hackers conhecido como The Shadow Brokers. A Microsoft foi subsequentemente informada e lançou atualizações de segurança em março de 2017 corrigindo a vulnerabilidade. Enquanto isso acontecia, o grupo de hackers tentou leiloar o software, mas não encontrou um comprador. O EternalBlue foi então divulgado publicamente em 14 de abril de 2017.
Em 12 de maio de 2017, um verme de computador em forma de ransomware, apelidado de WannaCry, usou o exploit EternalBlue para atacar computadores com Windows que não haviam recebido as atualizações de sistema mais recentes. Em 27 de junho de 2017, o exploit foi novamente utilizado para realizar o ataque cibernético NotPetya de 2017 em mais computadores vulneráveis.
Também foi relatado que o exploit vinha sendo usado desde março de 2016 pelo grupo de hackers chinês Buckeye (APT3), após provavelmente terem encontrado e reaproveitado o software, além de ter sido identificado como parte do trojan bancário Retefe desde pelo menos 5 de setembro de 2017.
O EternalBlue explora uma vulnerabilidade na implementação do protocolo Server Message Block (SMB) da Microsoft. Esta vulnerabilidade é designada pela entrada CVE-2017-0144 no catálogo de Vulnerabilidades e Exposições Comuns (CVE). A vulnerabilidade existe porque o servidor da versão 1 do SMB (SMBv1) em várias edições do Microsoft Windows manipula incorretamente pacotes especialmente adulterados por atacantes remotos, permitindo a execução remota de código no computador de destino.
A NSA não alertou a Microsoft sobre a vulnerabilidade, mantendo posse dela por mais de cinco anos até que o vazamento forçasse sua ação. A agência alertou a empresa após saber do possível roubo do EternalBlue, permitindo a preparação de uma correção lançada em março de 2017, após um adiamento na liberação regular de correções de segurança em fevereiro de 2017. Na terça-feira de correções, 14 de março de 2017, a Microsoft emitiu o boletim de segurança MS17-010, detalhando a falha e anunciando que correções de segurança haviam sido lançadas para todas as versões do Windows suportadas na época, incluindo Windows Vista, Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 e Windows Server 2016.
O grupo The Shadow Brokers divulgou publicamente o código do exploit EternalBlue em 14 de abril de 2017, juntamente com várias outras ferramentas de hacking da NSA.
Muitos usuários do Windows não haviam instalado as correções quando, em 12 de maio de 2017, o ataque do ransomware WannaCry começou a usar a vulnerabilidade do EternalBlue para se espalhar. No dia seguinte (13 de maio de 2017), a Microsoft lançou correções de emergência para versões sem suporte, como Windows XP, Windows 8 e Windows Server 2003.
Em fevereiro de 2018, o EternalBlue foi portado para todos os sistemas operacionais Windows lançados desde o Windows 2000 pelo pesquisador de segurança Sean Dillon, da RiskSense. EternalChampion e EternalRomance, dois outros exploits originalmente desenvolvidos pela NSA e vazados pelo The Shadow Brokers, também foram portados no mesmo evento e disponibilizados como módulos de código aberto do Metasploit.
No final de 2018, milhões de sistemas continuavam vulneráveis ao EternalBlue, resultando em prejuízos milionários causados por vermes de ransomware. Após o impacto massivo do WannaCry, que causou mais de US$ 8 bilhões em danos em 150 países, surtos posteriores como NotPetya e BadRabbit também se propagaram utilizando o EternalBlue como vetor inicial de comprometimento ou método de movimentação lateral.
Em maio de 2019, a cidade de Baltimore enfrentou um ataque cibernético por extorquistas digitais; o ataque congelou milhares de computadores, tirou o e-mail do ar e interrompeu vendas imobiliárias, contas de água, alertas de saúde e outros serviços. Nicole Perlroth, escrevendo para o The New York Times, atribuiu inicialmente esse ataque ao EternalBlue; contudo, em um livro sobre o mercado de armas cibernéticas publicado em fevereiro de 2021, Perlroth esclareceu que o EternalBlue não foi responsável pelo ataque a Baltimore, criticando outros por apontarem "o detalhe técnico de que, neste caso específico, o ataque de ransomware não havia se espalhado com o EternalBlue".
Como resultado do ataque cibernético, quatro diretores de tecnologia da cidade de Baltimore foram demitidos ou pediram demissão; dois saíram enquanto estavam sob investigação. Alguns pesquisadores de segurança afirmaram que a responsabilidade pela violação de Baltimore cabia à própria cidade por não atualizar seus sistemas. O consultor de segurança Rob Graham escreveu no Twitter: "Se uma organização possui um número substancial de máquinas Windows que estão há 2 anos sem atualizações, a culpa é inteiramente da organização, não do EternalBlue."
Aparecendo pela primeira vez em fevereiro de 2017, uma versão atualizada do EternalBlue emergiu em maio de 2017, de acordo com relatórios em fóruns da Kaspersky Lab. O malware afetou sistemas internos do Ministério dos Assuntos Internos da Rússia e computadores em várias regiões, incluindo o Tartaristão. O ransomware WannaCry (WCry ou WannaCryptor) criptografava os arquivos do usuário, adicionava a extensão ".WNCRY" e exigia pagamento em bitcoins por uma ferramenta de decodificação sob ameaça de exclusão permanente dos dados. Em todo o mundo, mais de 36 mil computadores foram infectados, a maioria na Rússia, Ucrânia e Taiwan, segundo a empresa de segurança Avast.
Após o ataque do WannaCry, a Microsoft assumiu a responsabilidade primária de lidar com essas questões, mas criticou agências governamentais como a NSA e a CIA por acumularem vulnerabilidades em vez de divulgá-las. A Microsoft afirmou que "um cenário equivalente com armas convencionais seria as Forças Armadas dos Estados Unidos terem alguns dos seus mísseis Tomahawk roubados". Essa estratégia de acúmulo impediu que a Microsoft identificasse e corrigisse a falha antecipadamente. Contudo, comentaristas incluindo Alex Abdo, do Knight First Amendment Institute da Universidade Columbia, criticaram a Microsoft por transferir a culpa para a NSA, argumentando que a empresa deve ser responsabilizada por lançar um produto vulnerável. A empresa também foi criticada por inicialmente limitar a correção do EternalBlue aos sistemas suportados e clientes de Suporte Estendido, deixando entidades como o NHS vulneráveis. Um mês depois, a Microsoft liberou patches gratuitos para edições legadas até o Windows XP.
EternalRocks (também conhecido como MicroBotMassiveNet) é um verme de computador que infecta sistemas Windows utilizando sete exploits desenvolvidos pela NSA. Em comparação, o WannaCry usava apenas dois, levando pesquisadores a considerá-lo potencialmente mais perigoso. O verme foi identificado inicialmente por meio de um honeypot.
O EternalRocks instala inicialmente o Tor para comunicar-se de forma oculta com servidores de comando. Após um período de incubação de 24 horas, ele baixa arquivos executáveis e autorreplica-se nas máquinas hospedeiras.
O malware se identifica como WannaCry nas propriedades do arquivo para evitar detecção. No entanto, diferentemente do WannaCry, o EternalRocks não contém um mecanismo de interrupção (kill switch) nem entrega uma carga útil de ransomware.