Da maggio la falla BlueKeep (CVE-2019-0708) nel Desktop remoto di Windows era la minaccia che tutti aspettavano. Questo fine settimana è arrivata la conferma: viene sfruttata su Internet contro i sistemi non aggiornati.
Ad accorgersene è stato un ricercatore britannico che aveva disseminato nel mondo una rete di honeypot, computer esca con la porta RDP 3389 aperta, proprio per intercettare il primo attacco. Dal 23 ottobre le macchine hanno cominciato a bloccarsi e a riavviarsi con la schermata blu. Il 2 novembre l’analisi della memoria salvata al momento dei crash, condotta insieme a un altro noto ricercatore, ha trovato le tracce dell’exploit e il codice che scarica il resto.
La catena parte da un comando PowerShell codificato, che scarica altri script fino a un eseguibile che installa un miner di Monero. Quando è stato analizzato, il file veniva riconosciuto da poco più di un terzo degli antivirus. Gli attacchi sono comparsi sugli honeypot di quasi tutti i Paesi coperti.
Per ora non si propaga da solo
A differenza di WannaCry nel 2017, questa campagna non salta da un computer all’altro. Gli aggressori cercano le macchine con RDP esposto e le colpiscono una per una, usando il modulo pubblicato a settembre in Metasploit, il framework per i test di intrusione. È un codice poco affidabile, tanto che spesso manda in crash il sistema invece di prenderne il controllo. I riavvii improvvisi sono stati proprio il campanello d’allarme.
Chi oggi installa un miner, però, domani può installare un ransomware. E la versione capace di propagarsi da sola resta una questione di tempo.
Sono vulnerabili Windows XP, Vista, 7, Server 2003 e Server 2008/2008 R2. Non serve alcuna password: basta che il Desktop remoto sia raggiungibile. Microsoft ha distribuito la patch il 14 maggio, anche per i sistemi fuori supporto, ma le scansioni pubbliche contano ancora centinaia di migliaia di macchine esposte e non aggiornate.
Installa l’aggiornamento di maggio su tutti questi sistemi, compreso il vecchio server che nessuno ricorda di avere. Chiudi la porta 3389 sul firewall e usa una VPN per l’accesso remoto. Attiva l’autenticazione a livello di rete (NLA), che costringe l’attaccante ad avere credenziali valide prima di raggiungere il codice vulnerabile. E se un server si riavvia con la schermata blu senza motivo apparente, non archiviarlo come un capriccio di Windows: controllalo.
