Informe sobre EthernalBlue Exploit de Wannacry

https://www.welivesecurity.com/la-es/2018/05/10/exploit-eternalblue-registra-mayor-
actividad-ahora-que-durante-brote-wannacryptor/

https://bitlifemedia.com/2018/05/exploit-eternalblue-usado-wannacry-tiene-mayor-actividad/

https://backtrackacademy.com/articulo/ms17-010-eternalblue-doublepulsar

https://www.redeszone.net/2018/11/29/eternalblue-nueva-oleada-ataques/

https://www.softzone.es/2018/05/11/eternalblue-exploit-wannacry-uso-2018/

EternalRomance exploit

https://underc0de.org/foro/bugs-y-exploits/eternalromance-eternalsynergy-y-
eternalchampion-exploits-de-la-nsa/

http://www.elladodelmal.com/2017/07/como-explotar-eternalromance-synergy-en.html

https://backtrackacademy.com/articulo/explotando-windows-2016-con-eternalromance-
synergy-nsa

https://www.rapid7.com/db/modules/exploit/windows/smb/ms17_010_psexec

https://www.adslzone.net/2018/02/05/exploits-nsa-todos-windows/

https://www.redeszone.net/2018/02/05/tres-exploits-nsa-windows/

https://www.ihacklabs.com/es/poc-eternalromance-smbtouch-y-doublepulsar-en-kali-2017-1-
explotando-servicio-smb-windows-2003-sp1/

Conclusiones

EternalBlue
EternalBlue aprovecha una vulnerabilidad en la implementación del protocolo Server
Message Block (SMB) de Microsoft. Esta vulnerabilidad, denotada como CVE-2017-0144
en el catálogo Common Vulnerabilities and Exposures (CVE), se debe a que la versión 1
del servidor SMB (SMBv1) acepta en varias versiones de Microsoft Windows paquetes
específicos de atacantes remotos, permitiéndoles ejecutar código en el ordenador en
cuestión.7
La actualización de seguridad de Windows del 14 de marzo de 2017 resolvió el problema a
través del parche de seguridad MS17-010, para todas las versiones de Windows que en
ese momento eran mantenidas por la compañía: Windows Vista, Windows 7, Windows
8.1, Windows 10, Windows Server 2008, Windows Server 2012, y Windows Server 2016.89
Las versiones antiguas, como Windows XP, Windows 8, o Windows Server 2003, no han
recibido dicho parche. (La extensión del periodo de mantenimiento para Windows XP
había acabado hace tres años, el 8 de abril de 2014, y el de Windows Server el 14 de julio
de 2015).1011 Microsoft recientemente liberó el parche para Windows XP y Server 2003.12
Por diversos motivos, muchos usuarios de Windows no habían instalado MS17-010
cuando, dos meses más tarde, el 12 de mayo de 2017, se produjo el ataque WannaCry
que empleaba la vulnerabilidad EternalBlue.131415 El 13 de mayo de 2017, un día después
del ataque, Microsoft aportó la actualización de seguridad para Windows XP, Windows 8, y
Windows Server 2003, disponible para descarga en el Microsoft Update Catalog.

Las recientes incidencias de ransomware han sido atribuidas en parte a

herramientas de hackeo de la NSA, en particular al exploit EternalBlue. En la
mayoría de los casos, estas herramientas sólo podían ser utilizadas contra
versiones "antiguas" del sistema operativo Windows. Sin embargo, se ha logrado
utilizar una versión modificada del exploit EternalSynergy contra versiones más
recientes de Windows.
EternalRomance

Los exploits Eternalromance y Eternalsynergy que fueron publicados

por TheShadowBrokers no son estables al momento de atacar sistemas con
Windows Server 2012 y 2016, cuando se intenta utilizarlos desde Fuzzbunch (el
framework de la NSA), ocasionan la mayoría de las veces un BSOD en la máquina
víctima.

Hace unas semanas, Sleepya desarrolló un exploit que aprovecha el mismo bug

de eternalromance y eternalsynergy pero el método de explotación es diferente,
logrando enorme estabilidad al impactar sistemas con Windows Server 2012 y
2016. Pero como ya ha ocurrido con exploits anteriores de Sleepya, no había
ningún comentario ni guía o algo que mostrará cómo utilizarlo, por ende nadie
había publicado nada al respecto. Dos cosas interesantes a mencionar: primero,
que el exploit es autenticado, sin embargo, aun si utilizáramos una cuenta Guest,
la shell que vamos a recibir tendrá privilegios de SYSTEM. Segundo, el exploit NO
está disponible en metasploit, no es eternalblue, sin embargo, es un exploit que
funciona muy bien y hay que tenerlo en cuenta ;-).

Sin más, dejo el link al paper en español: https://drive.google.com/open?

id=0B6QiDzK5icraS2JGWlVDcmRDUzg.

https://www.semecayounexploit.com/?sec=bugs-y-exploits