NSA's EternalBlue-udnyttelse blev overført til enheder, der kører Windows 10 af hvide hatte, og på grund af dette kan enhver upålitelig version af Windows tilbage til XP blive påvirket, en skræmmende udvikling i betragtning af EternalBlue er et af de mest kraftfulde cyberangreb nogensinde blevet offentliggjort.

Det bedste forsvar mod EternalBlue

RiskSense's forskere var blandt de første til at analysere EternalBlue og konkluderede, at de ikke ville frigive kildekoden til Windows 10-porten. En sådan. det bedste forsvar mod EternalBlue fortsætter med at anvende MS17-010-opdateringen leveret af Microsoft tilbage i marts.

Forskere fra RiskSense offentliggjorde en rapport, der forklarede, hvad der var nødvendigt for at bringe NSA-udnyttelsen til Windows 10 og undersøge de foranstaltninger, der er implementeret af Microsoft, der kunne holde disse angreb fremad.

Senior forskningsanalytiker Sean Dillon erklærede, at forskningen var for informationssikkerhedsindustrien med hvid hat til at øge opmærksomheden omkring udnyttelsen og føre til udvikling af nye forebyggelsesteknikker.

Den nye havn er rettet mod Windows 10

Den nye havn er rettet mod Windows 10 x64 version 1511 med kodenavnet Tærskel 2 frigivet tilbage i november. Det understøttede Current Branch for Business. Forskere formåede at omgå reduktioner introduceret i Windows 10, som manglede i Windows XP, 7 eller 8, og de var også i stand til at besejre EternalBlue omgået for DEP og ASLR.

ShadowBrokers lækager var snapshots af NSA's offensive kapaciteter og ikke et billede af deres nuværende arsenal. På nuværende tidspunkt har NSA sandsynligvis en Windows 10-version af EternalBlue, men indtil i dag har denne indstilling ikke været tilgængelig for forsvarere.

Det antages, at NSA kan have advaret Microsoft om den forestående ShadowBroker-lækage til at give virksomheden nok tid til at opbygge, teste og distribuere MS17-010 før lækagen.

Den bedste type udnyttelse

Ifølge Dillon er den bedste udnyttelse, som en angriber har til rådighed, EternalBlue's evne til øjeblikkeligt at lette uautentificeret udførelse af fjernkode på Windows.

Det lykkedes det at bryde en masse ny jord, og Dillon sagde, at dette er et heap-spray-angreb på Windows-kernen. Heap-spray-angreb er sandsynligvis en af ​​de vanskeligste typer udnyttelse specifikt til Windows, et operativsystem, der ikke har kildekode tilgængelig.

Det ville være hårdt at udføre en sådan heap spray på Linux, men ifølge Dillon ville det være lettere end dette. For mere information kan du downloade PDF-rapporten, som sikkerhedsforskere fra RiskSense offentliggjorde om denne udnyttelse.