EternalBlue (MS17-010, CVE-2017-0144): уязвимость SMBv1, стоящая за WannaCry и NotPetya

Публично раскрыта: 14 марта 2017

14 марта 2017 года Microsoft выпустила бюллетень безопасности MS17-010, исправляющий несколько уязвимостей в протоколе общего доступа к файлам SMBv1 в Windows. Одна из них, позже известная по утёкшему эксплойту «EternalBlue», позволяла удалённо выполнять код по сети без пароля. В мае 2017 года шифровальщик WannaCry использовал её для автоматического распространения с компьютера на компьютер, а в июне за ним последовал NotPetya — оба нанесли огромный ущерб организациям, не установившим мартовское обновление.

Уроки, которые актуальны до сих пор

1. Быстро устанавливайте обновления безопасности — исправление существовало за два месяца до WannaCry.
2. Отключите SMBv1 — современной Windows он не нужен.
3. Никогда не открывайте SMB (порт 445) в интернет.
4. Сегментируйте сеть, чтобы червь не мог добраться сразу до всех компьютеров и серверов.
5. Заменяйте неподдерживаемые версии Windows или изолируйте их, если они управляют оборудованием, которое нельзя изменить.
6. Храните офлайн- или неизменяемые копии — многим пострадавшим они позволили восстановиться.

Самые дорогие инциденты часто происходят из-за обновлений, которые были доступны, но не установлены.

Источники: Microsoft MS17-010, NVD CVE-2017-0144.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи