BlueKeep

​

BlueKeep

Um logotipo criado para a vulnerabilidade, apresentando uma torre de menagem, uma torre fortificada construída dentro de castelos.
Identificador CVE	CVE-2019-0708
Data da correção	14 maio 2019; há 5 anos[1]
Descobridor	Centro nacional de segurança cibernética (Reino Unido)[2]
Software afetado	versões do Microsoft Windows anteriores ao Windows 8

O BlueKeep (CVE-2019-0708) é uma vulnerabilidade de segurança descoberta na implementação do protocolo de área de trabalho remota (RDP) da Microsoft, que permite a execução remota de código.

Relatado pela primeira vez em maio de 2019, ele está presente em todas as versões do Microsoft Windows sem correção baseadas no Windows NT, do Windows 2000 ao Windows Server 2008 R2 e Windows 7. A Microsoft lançou uma correção de segurança (incluindo uma atualização fora de banda para várias versões do Windows que atingiran o fim de sua vida útil, como o Windows XP) em 14 de maio de 2019. Em 13 de agosto de 2019, vulnerabilidades de segurança relacionadas ao BlueKeep, coletivamente chamadas de DejaBlue, afetaram versões mais recentes do Windows, incluindo o Windows 7 e todas as versões recentes até o Windows 10 do sistema operacional, bem como as versões anteriores do Windows.^[3] Em 6 de setembro de 2019, uma exploração Metasploit da vulnerabilidade de segurança worm BlueKeep foi anunciada como tendo sido lançada no domínio público.^[4]

A vulnerabilidade de segurança BlueKeep foi observada pela primeira vez pelo centro nacional de segurança cibernética do Reino Unido^[2] e, em 14 de maio de 2019, relatada pela Microsoft. A vulnerabilidade foi chamada de BlueKeep pelo especialista em segurança de computador Kevin Beaumont no Twitter. O BlueKeep é oficialmente rastreado como: CVE-2019-0708 e é uma vulnerabilidade de execução remota de código "worm".^[5][6]

Tanto a agência de segurança nacional dos Estados Unidos (que emitiu seu próprio comunicado sobre a vulnerabilidade em 4 de junho de 2019)^[7] e a Microsoft afirmaram que esta vulnerabilidade poderia ser usada por worms autopropagados, com a Microsoft (com base na estimativa de um pesquisador de segurança de que quase 1 milhão de dispositivos eram vulneráveis), dizendo que tal ataque teórico poderia ser de uma escala semelhante a ataques baseados no EternalBlue, como o NotPetya e o WannaCry.^[8][9][7]

No mesmo dia do comunicado da NSA, os pesquisadores do centro de coordenação CERT divulgaram um problema de segurança separado relacionado ao RDP na atualização do Windows 10 de maio de 2019 e no Windows Server 2019, citando um novo comportamento em que as credenciais de login usadas na autenticação em nível de rede (NLA) do RDP são armazenadas em cache no sistema do cliente e o usuário pode obter acesso novamente à sua conexão RDP automaticamente se a conexão de rede for interrompida. A Microsoft descartou essa vulnerabilidade como sendo um comportamento intencional e pode ser desabilitada por meio da diretiva de grupo.^[10]

Desde 1º de junho de 2019, nenhum malware ativo da vulnerabilidade parecia ser conhecido publicamente; no entanto, códigos de prova de conceito (PoC) não divulgados que exploram a vulnerabilidade podiam estar disponíveis.^{[8][11][12][13]} Em 1º de julho de 2019, a Sophos, uma empresa de segurança britânica, relatou um exemplo de funcionamento de um PoC, a fim de enfatizar a necessidade urgente de corrigir a vulnerabilidade.^[14][15][16] Em 22 de julho de 2019, mais detalhes de uma exploração foram supostamente revelados por um palestrante de uma empresa de segurança chinesa.^[17] Em 25 de julho de 2019, especialistas em informática relataram que uma versão comercial do exploit poderia estar disponível.^[18][19] Em 31 de julho de 2019, especialistas em informática relataram um aumento significativo na atividade maliciosa de RDP e avisaram, com base em históricos de explorações de vulnerabilidades semelhantes, que uma exploração ativa da vulnerabilidade BlueKeep em poderia ser iminente.^[20]

Em 13 de agosto de 2019, vulnerabilidades de segurança BlueKeep relacionadas, coletivamente chamadas DejaBlue, foram relatadas como afetando as versões mais recentes do Windows, incluindo o Windows 7 e todas as versões recentes do sistema operacional até o Windows 10, bem como as versões mais antigas do Windows.^[3]

Em 6 de setembro de 2019, uma exploração da vulnerabilidade de segurança BlueKeep worm foi anunciada como tendo sido lançada no domínio público.^[4] A versão inicial desse exploit, no entanto, não era confiável, sendo conhecido por causar erros de "tela azul da morte" (BSOD). Uma correção foi anunciada posteriormente, removendo a causa do erro BSOD.^[21]

Em 2 de novembro de 2019, a primeira campanha hacking do BlueKeep em grande escala foi relatada e incluiu uma missão malsucedida de criptojacking.^[22]

Em 8 de novembro de 2019, a Microsoft confirmou um ataque do BlueKeep e pediu aos usuários que corrigissem imediatamente seus sistemas Windows.^[23]

O RDP usa "canais virtuais", configurados antes da autenticação, como um caminho de dados entre o cliente e o servidor para fornecer extensões. O RDP 5.1 define 32 canais virtuais "estáticos" e os canais virtuais "dinâmicos" estão contidos em um desses canais estáticos. Se um servidor vincular o canal virtual "MS_T120" (um canal para o qual não há razão legítima para um cliente se conectar) a um canal estático diferente de 31, ocorre corrupção de memória que permite a execução de código arbitrário em nível de sistema.^[24]

O Windows XP, o Windows Vista, o Windows 7, o Windows Server 2003, o Windows Server 2008 e o Windows Server 2008 R2 foram citados pela Microsoft como vulneráveis a esse ataque. Versões mais recentes que 7, como o Windows 8 e o Windows 10, não foram afetadas. A agência de segurança cibernética e de infraestrutura afirmou que também obteve êxito na execução de código por meio da vulnerabilidade no Windows 2000.^[25]

A Microsoft lançou cooreções para a vulnerabilidade em 14 de maio de 2019, para Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2. Isso inclui versões do Windows que chegaram ao fim de sua vida útil (como Vista, XP e Server 2003) e, portanto, não são mais elegíveis para atualizações de segurança.^[8] A correção força o referido canal "MS_T120" a sempre ser vinculado a 31, mesmo se solicitado de outra forma por um servidor RDP.^[24]

A NSA recomendou medidas adicionais, como desabilitar os serviços de área de trabalho remota e sua porta associada (TCP 3389), se não estiverem sendo usados, e exigir a autenticação em nível de rede (NLA) para o RDP.^[26] ​De acordo com a empresa de segurança de computadores Sophos, a autenticação de dois fatores pode tornar o problema do RDP menos vulnerável. No entanto, a melhor proteção é tirar o RDP da Internet: desligar o RDP se não for necessário e, se necessário, tornar o RDP acessível apenas por meio de uma VPN. ^[27]

• BlueKeep: correções de atualização do Windows aqui (em inglês), aqui (em inglês) e aqui (Microsoft).
• Prova de conceito da falha - Sophos (em inglês)
• Discussão técnica da falha no YouTube (em inglês)

• Portal de economia e negócios