A BlueKeep (CVE-2019-0708) é uma vulnerabilidade de segurança descoberta na implementação do Protocolo de Área de Trabalho Remota (RDP) da Microsoft, que permite a possibilidade de execução de código remota.
Relatada pela primeira vez em maio de 2019, a vulnerabilidade está presente em todas as versões do Microsoft Windows baseadas no Windows NT que não foram corrigidas, desde o Windows 2000 até o Windows Server 2008 R2 e o Windows 7. A Microsoft lançou uma correção de segurança (incluindo uma atualização fora do cronograma para várias versões do Windows que atingiram o fim de seu ciclo de vida, como o Windows XP) em 14 de maio de 2019. Em 13 de agosto de 2019, vulnerabilidades de segurança relacionadas à BlueKeep, coletivamente chamadas de DejaBlue, foram relatadas como afetando versões mais recentes do Windows, incluindo o Windows 7 e todas as versões recentes até o Windows 10, bem como versões mais antigas do Windows. Em 6 de setembro de 2019, foi anunciado que uma exploração (exploit) do Metasploit para a vulnerabilidade de segurança da BlueKeep, que era propagável como um worm, havia sido liberada para o público.
História A vulnerabilidade de segurança BlueKeep foi inicialmente identificada pelo e, em 14 de maio de 2019, relatada pela Microsoft. A vulnerabilidade foi denominada BlueKeep pelo especialista em segurança da computação Kevin Beaumont no Twitter. A BlueKeep é oficialmente rastreada como: e é uma vulnerabilidade de execução remota de código "propagável como um worm".
Tanto a Agência de Segurança Nacional dos EUA (que emitiu seu próprio alerta sobre a vulnerabilidade em 4 de junho de 2019) quanto a Microsoft afirmaram que essa vulnerabilidade poderia ser potencialmente explorada por worms autopropagáveis, com a Microsoft (baseada na estimativa de um pesquisador de segurança de que quase 1 milhão de dispositivos eram vulneráveis) afirmando que um ataque teórico desse tipo poderia ter uma escala semelhante a ataques baseados na EternalBlue, como o NotPetya e o WannaCry.
No mesmo dia do alerta da NSA, pesquisadores do Centro de Coordenação da Equipe de resposta a emergências cibernéticas (CERT) divulgaram um problema de segurança separado relacionado ao Protocolo de Área de Trabalho Remota (RDP) na atualização de maio de 2019 do Windows 10 e no Windows Server 2019, citando um novo comportamento em que as credenciais de login da Autenticação no Nível da Rede (NLA) do RDP são armazenadas em cache no sistema cliente e o usuário pode recuperar o acesso à sua conexão do RDP automaticamente se a sua conexão de rede for interrompida. A Microsoft descartou essa vulnerabilidade como sendo um comportamento intencional, e ela pode ser desativada por meio de Diretiva de Grupo.
Em 1º de junho de 2019, nenhum malware ativo que explorasse a vulnerabilidade parecia ser de conhecimento público; no entanto, códigos de prova de conceito (PoC) não divulgados que exploravam a vulnerabilidade podem ter estado disponíveis. Em 1º de julho de 2019, a Sophos, uma empresa britânica de segurança, relatou um exemplo funcional de tal PoC, a fim de enfatizar a necessidade urgente de corrigir a vulnerabilidade. Em 22 de julho de 2019, mais detalhes de uma exploração foram supostamente revelados por um palestrante de uma empresa de segurança chinesa. Em 25 de julho de 2019, especialistas em informática relataram que uma versão comercial da exploração poderia estar disponível. Em 31 de julho de 2019, especialistas em informática relataram um aumento significativo na atividade maliciosa de RDP e alertaram, com base em históricos da explorações de vulnerabilidades semelhantes, que uma exploração ativa da vulnerabilidade BlueKeep em ambiente real poderia ser iminente.
Em 13 de agosto de 2019, vulnerabilidades de segurança relacionadas à BlueKeep, coletivamente denominadas DejaBlue, foram relatadas afetando versões mais recentes do Windows, incluindo o Windows 7 e todas as versões recentes do sistema operacional até o Windows 10, bem como as versões mais antigas do Windows.
Em 6 de setembro de 2019, foi anunciado o lançamento público de uma exploração da vulnerabilidade de segurança BlueKeep, que se propagava como um worm. A versão inicial dessa exploração, no entanto, era instável, sendo conhecida por causar erros de "tela azul da morte" (BSOD). Uma correção foi anunciada posteriormente, removendo a causa do erro de BSOD.
Em 2 de novembro de 2019, foi relatada a primeira campanha de hacking em larga escala baseada na BlueKeep, incluindo uma missão malsucedida de (cryptojacking).
Em 8 de novembro de 2019, a Microsoft confirmou um ataque baseado na BlueKeep e instou os usuários a corrigirem imediatamente seus sistemas Windows.
Mecanismo O protocolo RDP utiliza "canais virtuais", configurados antes da autenticação, como um caminho de dados entre o cliente e o servidor para fornecer extensões. O RDP 5.1 define 32 canais virtuais "estáticos", e canais virtuais "dinâmicos" estão contidos em um desses canais estáticos. Se um servidor associar o canal virtual "MS_T120" (um canal para o qual não há motivo legítimo para um cliente se conectar) a um canal estático diferente do 31, ocorrerá , permitindo a execução de código arbitrário no nível do sistema.
O Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 foram apontados pela Microsoft como vulneráveis a esse ataque. Versões posteriores à 7, como o Windows 8, Windows 10 e Windows 11, não foram afetadas. A (CISA) afirmou ter obtido sucesso na execução de código por meio da vulnerabilidade no Windows 2000.
Mitigação
A Microsoft lançou correções para a vulnerabilidade em 14 de maio de 2019 para Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2. Isso incluiu versões do Windows que atingiram o (como Vista, XP e Server 2003) e, portanto, não são mais elegíveis para atualizações de segurança. A correção força o canal "MS_T120" mencionado anteriormente a ser sempre vinculado ao canal estático 31, mesmo que solicitado de outra forma por um servidor RDP.
A NSA recomendou medidas adicionais, como desativar os Serviços de Área de Trabalho Remota e sua porta associada (TCP 3389) se não estiverem sendo usados e exigir Autenticação no Nível da Rede (NLA) para o RDP. De acordo com a empresa de segurança cibernética Sophos, a autenticação de dois fatores pode tornar o problema do RDP menos vulnerável. No entanto, a melhor proteção é tirar o RDP da Internet: desativar o RDP se não for necessário e, se necessário, tornar o RDP acessível apenas por meio de uma VPN.
Ver também
Ataque de ransomware Bad Rabbit - 2017 Ataque de ransomware WannaCry
Blaster (worm de computador) EternalBlue Sasser (worm de computador)
Referências
Categoria:2019 na informática Categoria:Administração do Windows Categoria:Falhas em segurança de computadores