BlueKeep

BlueKeep (CVE-2019-0708) è una vulnerabilità trovata nell'implementazione del server Remote Desktop Protocol (RDP) di Microsoft, che permette a un malintenzionato di eseguire codice arbitrario da remoto sul sistema della vittima.

Scoperto per la prima volta nel maggio 2019, BlueKeep è presente in quasi tutte le versioni di Microsoft Windows basate su Windows NT, ovvero tutte le versioni tra Windows 2000 a Windows Server 2008 R2 incluso Windows 7. Microsoft ha rilasciato una patch di sicurezza (incluso un aggiornamento fuori banda per diverse versioni di Windows fuori supporto come Windows XP) il 14 maggio 2019. Il 13 agosto 2019, sono state segnalate vulnerabilità di sicurezza correlate a BlueKeep, denominate collettivamente DejaBlue, che interessavano delle versioni più recenti di Windows rilasciate prima di Windows 10, tra cui Windows 7, Windows 8, Windows 8.1.^[1] Il 6 settembre 2019 è stato annunciato che un modulo per exploitare BlueKeep sviluppato per Metasploit è stato reso pubblico.^[2]

BlueKeep è stato scoperto per la prima volta dal UK National Cyber Security Centre e, il 14 maggio 2019, è stato segnalato a Microsoft. La vulnerabilità è stata denominata BlueKeep dall'esperto di sicurezza informatica Kevin Beaumont su Twitter. BlueKeep è ufficialmente tracciato come CVE-2019-0708 ed è una vulnerabilità di remote code execution (RCE) di tipo wormable.^[3][4]

Sia la statunitense National Security Agency (che ha emesso il proprio avviso riguardo la vulnerabilità il 4 giugno 2019)^[5] che Microsoft hanno confermato che questa vulnerabilità potrebbe potenzialmente essere utilizzata da worm. Basandosi sulla stima di un altro esperto, che quasi 1 milione di dispositivi erano vulnerabili, Microsoft ha confermato che BlueKeep potrebbe essere usato per degli attacchi estremamente distruttivi di scala mondiale, paragonando la vulnerabilità ad EternalBlue, una vulnerabilità trovata in SMB e usata nel 2017 per attacchi di scala mondiale, come l'attacco russo verso l'Ucraina (che poi si è propagato in Europa) NotPetya e il ransomware WannaCry.^[5][6][7]

Subito dopo l'avviso emesso dalla NSA, i ricercatori del CERT Coordination Center hanno scoperto un altro problema (non correlato a BlueKeep) che riguarda la versione di RDP trovata in Windows 10 May 2019 Update e Windows Server 2019, citando un comportamento in cui le credenziali per l'accesso a un server RDP con Network Level Authentication (NLA) abilitato vengono memorizzate dal client, permettendo all'utente di ri-accedere automaticamente alla sessione senza dover reinserire le credenziali casomai la connessione dovesse interrompersi. Microsoft ha ignorato questo problema, descrivendolo come una feature intenzionale che può essere disabilitata tramite Group Policy.^[8]

Alla data del 1º giugno 2019 non è ancora stato trovato malware che sfrutti la vulnerabilità BlueKeep, tuttavia, proof of concept (PoC) non ancora divulgati potrebbero essere stati disponibili.^{[6][9][10][11]} Il 1º luglio 2019, Sophos, un'azienda di sicurezza britannica, è riuscita a sviluppare un PoC funzionante, evidenziando la pericolosità della vulnerabilità.^[8][12][13] Il 22 luglio 2019, ulteriori dettagli su un exploit sono stati divulgati in una conferenza di un'azienda di sicurezza cinese.^[14] Il 25 luglio 2019, alcuni esperti hanno ipotizzato che una versione commerciale dell'exploit era disponibile.^[15][16] Il 31 luglio 2019, gli esperti hanno rilevato un aumento sostanziale del traffico RDP, ipotizzando che una gran parte di esso era causato da malintenzionati che cercavano di attaccare aziende usando BlueKeep e, basandosi su quanto accaduto con WannaCry, hanno ipotizzato che un altro attacco di scala mondiale potrebbe arrivare.^[17]

Il 13 agosto 2019 sono state trovate altre vulnerabilità correlate a BlueKeep, collettivamente denominate DejaBlue, vulnerabilità che interessavano varie versioni più recenti di Windows, tra cui Windows 7 e altre versioni di Windows rilasciate prima di Windows 10.^[1]

Il 6 settembre 2019 è stato reso pubblico il modulo BlueKeep per Metasploit, un modulo che facilita l'attacco tramite BlueKeep.^[2] La versione iniziale del modulo non era molto affidabile, molto spesso causando un blue screen of death (BSOD) sui sistemi delle vittime. Successivamente è stata rilasciata una nuova versione, riducendo la frequenza dei BSOD.^[18]

Il 2 novembre 2019 è stato rilevato il primo attacco su larga scala che exploitava BlueKeep. L'obiettivo dell'attacco era di minare cryptovalute sui sistemi delle vittime, ma l'attacco non ha avuto successo.^[19]

L'8 novembre 2019 Microsoft ha confermato un altro attacco e ha vivamente consigliato agli utenti di aggiornare il prima possibile.^[20]

BlueKeep è una vulnerabilità di tipologia Use After Free (UAF). Il protocollo RDP utilizza dei "canali virtuali", configurati prima dell'autenticazione, che stabilisce la comunicazione tra il client e il server, usati per aggiungere funzionalità mancanti se il server o il client sta usando una versione più vecchia. RDP 5.1 ha 32 canali virtuali statici e i canali virtuali dinamici sono contenuti in uno di questi canali statici. Normalmente, il client non si connette mai al canale "MS_T120", ma se un client prova ad accederci tramite pacchetti modificati e il server associa il canale virtuale MS_T120 ad un canale statico diverso dal 31, il client può iniziare ad inviare pacchetti che vengono scritti sul heap, permettendo al client di sovrascrivere i pointer consentendo l'esecuzione di codice arbitrario.^[21]

Microsoft ha avvisato che Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 sono vulnerabili. Tutte le versioni rilasciate dopo 7, come Windows 8, Windows 10 e Windows 11, non sono vulnerabili. Nonostante Windows 2000 non fosse incluso nella lista di sistemi operativi vulnerabili, la Cybersecurity and Infrastructure Security Agency è riuscita ad exploitarlo usando la stessa vulnerabilità.^[22]

Microsoft ha rilasciato patch di sicurezza il 14 maggio 2019 per Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2. Microsoft ha pure rilasciato delle patch per versioni di Windows che erano già in EOL (sistemi operativi che normalmente non ricevono più patch di sicurezza) come Vista, XP e Server 2003 per cercare di evitare un altro disastro come quello di WannaCry.^[6] La patch costringe il canale "MS_T120" a essere sempre associato al canale 31 anche se richiesto diversamente dal server RDP.^[21]

La NSA ha consigliato delle misure aggiuntive, tipo disabilitare il server RDP se non serve e bloccare tutto il traffico che passa attraverso la porta tipicamente usata da RDP (TCP 3389), e l'attivazione del Network Level Authentication (NLA) se RDP viene usato.^[5] Secondo Sophos il miglior modo per proteggersi è disabilitare RDP se non necessario e, se necessario, rendere RDP accessibile solo tramite una VPN.^[23]

• WannaCry ransomware (2017)
• Blaster worm (2003)
• Mirai (2016)
• Sasser (2004)
• EternalBlue

Portale Sicurezza informatica: accedi alle voci di Wikipedia che trattano di Sicurezza informatica