¿Por qué debería preocuparme BlueKeep? (CVE-2019-0708)
La vulnerabilidad BlueKeep RDP (CVE-2019-0708) es una falla de ejecución remota de código que afecta a aproximadamente un millón de sistemas (al 29 de mayo de 2019) que ejecutan versiones anteriores de los sistemas operativos de Microsoft. La atención se desplazó a BlueKeep hace unas dos semanas, durante el martes de parches de mayo de 2019 de Microsoft. Microsoft lanzó parches, pero su advertencia de que la vulnerabilidad es gusano llamó la atención de los investigadores de seguridad, que han descubierto hallazgos más preocupantes sobre esta amenaza cibernética emergente.
Cinco razones para preocuparse por BlueKeep
1. BlueKeep es un defecto "gusano"
Eso significa que es similar al exploit EternalBlue que se utilizó en ataques de ransomware como WannaCry y NotPetya. Los ataques de gusanos son especialmente peligrosos, ya que pueden propagarse automáticamente en sistemas desprotegidos.
2. BlueKeep afecta principalmente a los sistemas más antiguos y vulnerables
Las vulnerabilidades que afectan a los sistemas más antiguos son un doble golpe para el riesgo de ciberseguridad. Los sistemas que se ejecutan en sistemas operativos antiguos no suelen estar bien mantenidos por el proveedor (en este caso, Microsoft) o por el usuario final, ya que suelen ejecutar aplicaciones heredadas. Por ejemplo, Windows XP se ve afectado, que no es compatible. Es muy preocupante que Microsoft sintiera que BlueKeep era lo suficientemente importante como para justificar el primer lanzamiento de Patch Tuesday para XP en cinco años.
3. La naturaleza de la vulnerabilidad se presta a ataques peligrosos
El riesgo de una vulnerabilidad de ejecución remota de código en Servicios de Escritorio Remoto (RDS) es que puede ser explotada por los atacantes, conectándose al sistema objetivo a través del RDP (Protocolo de Escritorio Remoto) y ejecutando código arbitrario en el sistema. Dado que RDS/RDP está involucrado, es probable que una proporción de los ~ 1 millón de objetivos expuestos sean objetivos de alto valor, como cajas de salto, que son un punto de entrada a una red más valiosa.
4. Se han detectado amenazas inminentes
Los informes indican que varios actores de amenazas están ejecutando escaneos de puertos para detectar la vulnerabilidad BlueKeep en los sistemas Windows. Se ha detectado que estos actores se esconden detrás de docenas de nodos de salida de TOR, lo que indica que una ola de ataques cibernéticos relacionados con BlueKeep podría ser la próxima. Afortunadamente, los investigadores de seguridad aún no han publicado ningún código de exploit de prueba de concepto para BlueKeep. Sin embargo, varias empresas han revelado públicamente que han desarrollado con éxito un código de explotación para BlueKeep, que tienen la intención de mantener en privado. La lista incluye McAfee, Kaspersky, Check Point y MalwareTech.
5. Los sistemas vulnerables son fácilmente detectables
Nunca ha sido tan fácil encontrar hosts expuestos. Herramientas como Masscan y Zmap se pueden utilizar para escanear todo Internet en minutos, lo que hace que sea trivial para los atacantes encontrar sistemas vulnerables. El autor de Masscan, Robert Graham de Errata Security, ya ha publicado un escáner de código abierto para BlueKeep en GitHub.
¿Qué sistemas son vulnerables a BlueKeep?
La vulnerabilidad BlueKeep afecta a versiones anteriores de Microsoft Windows, entre ellas:
- Windows XP
- Windows Vista
- Windows 7
- Windows Server 2003
- Windows Server 2008
- Windows Server 2008 R2
Las versiones más recientes de Windows, como Windows 10 y Windows 8, se consideran seguras en esta etapa.
Cómo mitigar los riesgos que plantea BlueKeep
Las organizaciones que utilizan UpGuard pueden identificar instantáneamente cualquier máquina vulnerable en su red y ayudar a responder preguntas clave que eliminen el riesgo de esta amenaza emergente:
- ¿Los equipos internos y orientados a Internet de mi organización exponen el puerto 3389? ¿Están expuestos mis proveedores externos?
- ¿RDP se está ejecutando en esos puertos?
- ¿Qué equipos vulnerables ejecutan ediciones heredadas de Windows y están parcheados? UpGuard ya ha publicado una política para que nuestros clientes detecten esto.
- ¿El equipo tiene habilitada la autenticación de nivel de red (NLA)? Estas máquinas aún podrían ser explotadas por un atacante que tenga credenciales válidas. Sin embargo, son menos vulnerables a los ataques anónimos basados en gusanos.
Si su organización está buscando ayuda con la vulnerabilidad BlueKeep RDP, UpGuard puede identificar y gestionar esta amenaza antes de un ataque.