O que é EternalBlue?

EternalBlue é um exploit da Microsoft que foi usado pela NSA em operações de coleta de inteligência. O exploit, oficialmente chamado de MS17-010 pela Microsoft — deu à Agência de Segurança Nacional dos EUA (NSA) acesso de back-end a dispositivos que executam sistemas operacionais Windows, como Windows XP e Windows 7.

Depois de estar ciente de uma fraqueza no protocolo de compartilhamento de arquivos SMBv1 (Server Message Block versão 1) da Microsoft por cinco anos, a NSA finalmente informou a Microsoft de sua existência. No entanto, quando o fizeram, ele havia sido vazado por um notório coletivo de hackers conhecido como Shadow Brokers.

O vazamento colocou milhões de usuários em risco e todo o incidente sublinhou as ameaças representadas pelo desenvolvimento e manutenção de backdoors de software pela NSA.

Como EternalBlue foi desenvolvido?

O EternalBlue foi desenvolvido pela NSA, que passou anos procurando possíveis vulnerabilidades no software da Microsoft. Quando finalmente encontrou uma fraqueza no protocolo SMBv1, a NSA desenvolveu sua exploração como uma maneira de tirar proveito dessa vulnerabilidade.

Em vez de alertar a Microsoft sobre os riscos que seus usuários enfrentavam, a NSA usou o EternalBlue para ajudar em operações antiterrorismo e de contrainteligência por meia década. EternalBlue é apenas um exemplo do uso de exploits e backdoors de software pela NSA.

Quando a NSA finalmente decidiu alertar a Microsoft, foram tomadas medidas para corrigir a vulnerabilidade. A Microsoft lançou patches para o exploit, mas até então, para muitos, já era tarde demais. Vamos agora dar uma olhada mais de perto em como essa exploração realmente funciona.

Como funciona o EternalBlue?

O exploit EternalBlue funcionou aproveitando o protocolo SMBv1 inseguro. Esse protocolo permitia que os dispositivos da Microsoft se comunicassem com outros sistemas da Microsoft — realizando serviços de arquivo e impressão, por exemplo —, mas era vulnerável à manipulação.

Para realizar a exploração EternalBlue, os invasores só precisavam enviar um pacote de dados SMBv1 malicioso para um servidor Windows que tivesse a vulnerabilidade. O pacote conteria uma carga de malware, que poderia ser rapidamente disseminada para outros dispositivos instalados com o software vulnerável da Microsoft.

Assim que os Shadow Brokers vazaram o exploit em 2017, os hackers aproveitaram a vulnerabilidade para realizar ataques devastadores e espalhar grandes quantidades de malware. Dois incidentes notáveis exemplificam os efeitos da vulnerabilidade.

WannaCry

Em 12 de maio de 2017, o ransomware WannaCry começou a se espalhar rapidamente pela vulnerabilidade EternalBlue, infectando 10.000 dispositivos por hora. Em 24 horas, 230.000 máquinas Microsoft Windows foram infectadas em 150 países diferentes. O ransomware, que criptografa dados no dispositivo infectado, acabou impactando grandes organizações como FedEx, Deutsche Bahn e NHS do Reino Unido.

NotPetya

O ataque de ransomware Petya usou o exploit EternalBlue para se espalhar rapidamente pelos dispositivos da Microsoft em 2017. O malware se instalaria, criptografaria dados no dispositivo host e, em seguida, exigiria um resgate de US$ 300 dólares em troca de uma chave de descriptografia.

EternalBlue ainda está por aí?

A vulnerabilidade explorada pelo EternalBlue foi resolvida com um patch de segurança da Microsoft em 2017, depois que a NSA informou a Microsoft de que ela existia. Como resultado, os dispositivos Windows com software atualizado estão protegidos contra essa ameaça específica.

Embora a vulnerabilidade tenha sido corrigida em 2017, os ataques de EternalBlue ainda ocorrem regularmente. A empresa de segurança Avast estima que todos os meses bloqueia cerca de 20 milhões de tentativas de exploração do EternalBlue. Com isso em mente, você pode estar se perguntando se ainda deve ter medo de EternalBlue hoje.

Devo ter medo de EternalBlue?

Se você usa versões mais antigas do Windows ou não atualizou dispositivos desde 2017, quase certamente ainda corre risco com o EternalBlue. Se você estiver usando uma versão atualizada do Windows e instalar novas atualizações regularmente, não precisa se preocupar com a exploração do EternalBlue.

No entanto, isso não significa que você está imune a ataques de malware e ransomware, como WannaCry e Petya. Esses programas maliciosos podem se espalhar de outras maneiras, por isso é importante ficar atento, mesmo que o exploit EternalBlue não represente uma ameaça específica para você.

A boa notícia é que você pode tomar medidas para se proteger de malware e outras ameaças on-line agora.

Como se proteger

Para se proteger de riscos on-line como ransomware, siga estas etapas simples:

• Mantenha o software atualizado. Se você aprende uma lição com a situação do EternalBlue, é a importância de atualizar seu software. Assim que as atualizações estiverem disponíveis para aplicativos e sistemas operacionais, instale-as para que você possa se beneficiar dos patches de segurança mais recentes.
• Use software antimalware. Certifique-se de que o seu dispositivo está protegido com software anti-malware forte. Esses sistemas podem proteger seu dispositivo contra software mal-intencionado e outras ameaças on-line, embora — como todas as ferramentas de segurança cibernética — nenhum o torne completamente seguro.
• Desconfie de links. Mesmo se você não estiver mais em risco de EternalBlue, você ainda pode baixar malware clicando em um link perigoso. Os e-mails de phishing geralmente tentam enganá-lo para que ele visite páginas que infectarão seu dispositivo. Para se proteger, nunca clique em um link em uma mensagem on-line, a menos que você tenha certeza absoluta de que o remetente é genuíno.