Se on aika irrota RDP internetistä

Kun BlueKeep (CVE-2019-0708) haavoittuvuus ei ole tähän mennessä aiheuttanut laajaa tuhoa, ja me tarkastelemme syitä, miksi tämä viesti, se on edelleen hyvin varhain sen hyödyntäminen elinkaaren aikana. Tosiasia on, että monia järjestelmiä ei ole vieläkään paikattu, ja täysin matamaton versio hyväksikäytöstä saattaa vielä löytyä. Näiden tekijöiden vuoksi ESET on luonut ilmaisen apuohjelma tarkistaa, onko järjestelmä haavoittuva.,

Joskus sinun täytyy sanoa jotain asioita, jotka ”itsestään selvää” ja se näyttää olevan paras tapa aloittaa tämä viesti on mainitsemalla vain, että koska tämä ei ole aihe, odotin kirjoittaa tässä päivässä ja ikä. Ennen kuin sukellamme sisään, aloitetaan katsomalla vanhaa Maximia.

tietoturvakentässä on vanha sanonta, että jos vastustajalla on fyysinen pääsy tietokoneellesi, se ei ole enää tietokoneesi. Syy tähän on melko yksinkertainen: kun hyökkääjät saavat käsiinsä tietokoneen, he voivat muuttaa mitä haluavat., Asentaa laitteita, kuten laitteiston keyloggers, poistaa kiintolevyt ja kopioimalla ne, ja muutoin poistaa, muuttaa tai lisätä mitään he haluavat järjestelmän kaikki tullut eksponentiaalisesti helpompaa, kun voit kävellä tietokoneeseen. Tämä ei ole erityisen yllättävä käänne, eikä erityisen fiksu. Se on pikemminkin väistämätön totuus. Vastustajille se on vain osa työnkuvaa.

yritykset ja koulut ja kaikenlaiset järjestöt eivät kuitenkaan ole sokeita tälle., Tällaisia paikkoja ei ole laita niiden palvelimet vastaanotossa aulassa, vastaanotto-alue, visitor center, odotushuoneessa tai muissa paikoissa, joissa julkisen tai mahdollisesti tahansa työntekijä, tiedekunnan, opiskelija, tai henkilökunta voi tulla ja saada fyysinen pääsy niitä. Tai ainakaan mikään Bisnes, joka haluaa pysyä mukana, ei sitä salli. Yleensä, siellä on joitakin erottaminen palvelimet, ovatko he olla oma huone, tai jopa piilossa joitakin takaisin nurkkaan, joka on off-limits eniten henkilöstöä.,

Vielä kaikille tätä yhteistä tietoa, opittuja asioita turvallisuus fyysinen maailma eivät aina siirtää hyvin (tai oikein) osaksi internet maailma. On monia palvelimet käynnissä erilaisia versioita Microsoftin Windows server-käyttöjärjestelmät, jotka ovat suoraan yhteydessä internetiin, mikä määrä on vähän tai ei lainkaan käytännön turvallisuuden ympärillä, joka voi käyttää niitä. Tästä pääsemmekin RDP: n keskusteluun.

mikä on RDP?

RDP, lyhenne sanoista Remote Desktop Protocol, mahdollistaa yhden tietokoneen yhteyden toiseen tietokoneeseen verkon yli, jotta sitä voidaan käyttää etänä., Verkkotunnuksen tietokoneissa on Windows Client-käyttöjärjestelmä, kuten Windows XP tai Windows 10, tulevat RDP client-ohjelmisto esiasennettuna osana käyttöjärjestelmä, jonka avulla ne voivat muodostaa yhteyden muihin verkon tietokoneisiin, mukaan lukien organisaation palvelimen(t). Yhteys palvelimeen tässä tapauksessa tarkoittaa, että se voisi olla suoraan palvelimen käyttöjärjestelmä, tai se voi olla käyttöjärjestelmä, käynnissä sisällä virtual machine-palvelimella., Siitä, että yhteys, henkilö voi avata hakemistoja, ja ladata tiedostoja, ja ajaa ohjelmia, kuten jos käytät näppäimistön ja näytön kytketty palvelin.

RDP keksi Citrix vuonna 1995 ja myi osana parannettu versio Windows NT 3.51 nimeltä WinFrame. Vuonna 1998 Microsoft lisäsi RDP: n Windows NT 4.0 Terminal Server Editioniin., Sittemmin protokollaa on ollut osa kaikkia versioita Microsoft on line Windows Server-käyttöjärjestelmät, sekä on mukana kaikki ei-koti-user Windows Client-käyttöjärjestelmien alkaen Windows XP julkaistiin vuonna 2001. Tänään, yhteisen käyttäjille RDP sisältää järjestelmän ylläpitäjät tekevät etähallinnan palvelimia, niiden kennot ilman mennä palvelinhuoneeseen, sekä kauko työntekijöitä, jotka voivat muodostaa yhteyden virtualisoitu työpöytä-koneet sisällä niiden organisaation toimialueen.

mitä hyökkääjät tekevät RDP: llä?,

viimeiset pari vuotta, ESET on nähnyt kasvava määrä tapauksia, joissa hyökkääjät ovat kytketty kauko Windows-Palvelimen internetistä käyttäen RDP ja kirjautuneena tietokoneen järjestelmänvalvojana. Kun hyökkääjät ovat kirjautuneet palvelimelle järjestelmänvalvojana, he suorittavat tyypillisesti jonkin verran tiedustelua määrittääkseen, mihin palvelinta käytetään, kenen toimesta ja milloin sitä käytetään.

kun hyökkääjät tietävät, millainen palvelin heillä on hallussaan, He voivat aloittaa haittaohjelmien suorittamisen.,s olemme nähneet ovat:

• selvitys-lokitiedostot sisältävät todisteita niiden läsnäolo järjestelmä
• poistaa käytöstä ajoitetut varmuuskopiot ja shadow kopiot
• poistaa käytöstä tietoturvaohjelmisto tai perustamalla poissulkemiset (joka on sallittu pääkäyttäjille)
• lataaminen ja asentaminen eri ohjelmien päälle palvelimelle
• poistaminen tai korvaaminen vanhat varmuuskopiot, jos ne ovat saatavilla
• exfiltrating tiedot palvelimelta

Tämä ei ole täydellinen luettelo kaikki asioita, joita hyökkääjä voi tehdä, eikä hyökkääjä välttämättä tule suorittaa kaikki nämä toimet., Hyökkääjät voivat muodostaa yhteyden useita kertoja päivien tai vain kerran, jos heillä on ennalta määrätty agenda., Vaikka tarkka luonne, mitä hyökkääjät tekevät vaihtelee suuresti, kaksi yleisintä ovat:

• asentaa kolikon kaivos-ohjelmia, jotta voidaan luoda kryptovaluutta, kuten Monero
• asentaa ransomware jotta kiristää rahaa organisaation, usein maksetaan käyttämällä kryptovaluutta, kuten bitcoin

joissakin tapauksissa, hyökkääjä voi asentaa lisää kauko-ohjaus ohjelmisto säilyttää yhteys (pysyvyys) vaarantunut palvelimille, jos niiden RDP toimintaa havaitaan ja lopetetaan.,

– Emme ole nähneet mitään palvelimia, jotka olivat vaarassa sekä kiristää kautta ransomware ja minun kryptovaluutta, mutta olemme nähneet tapauksia, joissa palvelin oli heikentynyt yhden hyökkääjän minun kryptovaluutta, sitten myöhemmin vaarantaa muut hyökkääjät, joka muuttaa kolikon miner niin, että tuotto meni heille, sijaan. Varkaiden keskuudessa ei näytä olevan juurikaan kunniaa.

Tietoa noin RDP hyökkäyksiä on saavuttanut pisteen, että jopa sextortion huijarit ovat ottaneet mainita se heidän ransom toteaa, yrittää tehdä heidän huijauksia ääntä enemmän oikeutettua.,

Kuva 1. Kuva sextortion sähköposti huijaus mainita, RDP

lisätietoja näistä tyyppisiä sähköposti huijauksia, suosittelen tämän sarjan artikkeleita kollegani Bruce P. Burrell: Osa I, Osa II ja Osa III.

Massa RDP-iskujen

– Iskut suoritetaan RDP on ollut hitaasti, mutta tasaisesti kasvava, ja edellyttää useita valtion neuvot FBI, BRITANNIAN NCSC, Kanadan CCCS, ja Australia on ACSC, muutamia mainitakseni.,

Kuitenkin, Toukokuussa 2019 padot avataan saapumista CVE-2019-0708, aka ”BlueKeep,” turvallisuus haavoittuvuus RDP vaikuttavat Windows 2000, Windows XP, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2003 R2, Windows Server 2008 ja Windows Server 2008 R2. Työpöydällä, Windows 8 ja uudempi, ja palvelimilla, Windows Server 2012 ja myöhemmin, eivät vaikuta.

BlueKeep-haavoittuvuuden avulla hyökkääjät voivat käyttää mielivaltaista ohjelmakoodia uhriensa tietokoneilla., Kun jopa yksittäiset hyökkääjät voivat olla laajalle levinnyt uhka, koska ne voivat käyttää automaattisia työkaluja hyökkäyksiä, tämä haavoittuvuus on ”wormable”, mikä tarkoittaa hyökkäys voisi levittää itseään automaattisesti verkkojen välillä ilman väliintuloa käyttäjät, aivan kuten Win32/Diskcoder.C (alias NotPetya) ja Conficker worms ovat menneisyydessä.

madollisten haavoittuvuuksien hyödyntämistä pidetään yleisesti vakavana ongelmana., Microsoft on luokitellut haavoittuvuuden sen korkein vakavuus tasolla, Kriittinen, sen julkaissut ohjeita asiakkaille, ja YHDYSVALTAIN hallituksen Kansallisen Haavoittuvuus-Tietokanta, tulo CVE-2019-0708 pisteytetään 9.8 pistettä 10. Microsoft julkaisi blogi suosittelee voimakkaasti, että käyttäjät asentaa sen laastaria, mukaan lukien out-of-tuki käyttöjärjestelmiä kuten Windows XP ja Windows Server 2003., Huoli wormable exploit olivat niin korkeat, että kesäkuun alussa, että YHDYSVALTAIN National Security Agency antoi harvinainen neuvoa-antava suositella asennus Microsoftin korjaustiedostot virhe.

syyskuun alussa, Rapid7, kehittäjä Metasploit pentesting työkalu, ilmoittanut julkaisevansa BlueKeep hyödyntää. Vaikka BlueKeep-toiminnassa ei ole raportoitu suuria eskalaatioita pariin kuukauteen, tilanne on viime aikoina muuttunut. Marraskuun alussa julkisuuteen tuli massaraportteja Bluekeepin hyväksikäytöstä, kuten muun muassa ZDNet ja WIRED totesivat., Hyökkäykset ovat tiettävästi ollut vähemmän kuin onnistunut, noin 91% haavoittuvia tietokoneita kaatuu kanssa stop-virhe (aka viantarkistus tai Blue Screen of Death) kun hyökkääjä yrittää hyödyntää BlueKeep haavoittuvuutta. Loput 9% haavoittuvista tietokoneista hyökkääjät kuitenkin asentivat onnistuneesti Monero cryptomining-ohjelmiston. Joten, kun ei pelätty wormable hyökkäys, se ei näytä rikollinen ryhmä on automatisoitu hyödyntäminen, vaikkakin ilman korkea onnistumisprosentti.,

Kun olen alun perin alkanut kirjoittaa tätä blogia, se ei ole minun tarkoitus mennä yksityiskohtainen kuvaus haavoittuvuutta, eikä se ollut tarjota aikajanalla sen hyödyntämisestä: tavoitteenani oli antaa lukijoille käsitys siitä, mitä on tehtävä suojella itseään tätä uhkaa vastaan. Katsotaanpa, mitä on tehtävä.

puolustaminen RKP: n kannattamia hyökkääjiä

niin, että kaikki se mielessä, mitä voit tehdä? No, ensimmäinen asia, tietenkin, on lopettaa yhteyden suoraan palvelimiin Internetissä käyttäen RDP., Tämä voi olla ongelmallista joillekin yrityksille, koska siihen voi olla joitakin näennäisesti perusteltuja syitä. Kuitenkin, tukee sekä Windows Server 2008 ja Windows 7 päättyy päivään tammikuuta 2020 mennessä, ottaa tietokoneita käynnissä ja nämä on saatavilla suoraan käyttämällä RDP internetin kautta edustaa riskin liiketoimintaa, että sinun pitäisi jo olla suunnittelemassa lieventämiseksi.

Tämä ei tarkoita, että sinun olisi välittömästi lopetettava RDP: n käyttö, vaan että sinun on toteutettava lisätoimenpiteitä sen varmistamiseksi mahdollisimman pian ja nopeasti., Tätä varten olemme luoneet pöydän, jossa on kymmenen parasta vaihetta, joita voit ottaa aloittaaksesi tietokoneiden varmistamisen RDP-pohjaisista hyökkäyksistä.

*oletuksena RDP toimii porttiin 3389. Jos olet muuttanut tämän portin toiseen arvoon, se on portti, joka pitäisi estää.

Tämä taulukko perustuu löyhästi tärkeysjärjestykseen ja toteutuksen helppouteen, mutta se voi vaihdella organisaatiostasi riippuen., Jotkin näistä eivät ehkä sovellu järjestöösi, tai saattaa olla käytännöllisempää tehdä ne toisessa järjestyksessä, tai saattaa olla muita askeleita, joita organisaatiosi tarvitsee.

sinun tulee varmistaa, että endpoint-tietoturvaohjelmistosi havaitsee BlueKeep-haavoittuvuuden. BlueKeep havaitaan RDP / hyödyntää.CVE-2019-0708 SYMANTEC Network Hyökkäys Suoja-moduuli, joka on laajennus ESET palomuuri teknologian läsnä VIPRE Internet Security ja ESET Smart Security Premium kuluttajille, ja F on cloud antivirus ohjelmia yrityksille.,

Kuva 2. ESET Antimalware tekniikka selitti: Verkko Hyökkäys Suoja

olisi huomattava, kuitenkin, että on olemassa tilanteita, joissa havaitseminen voi esiintyä, kuten exploit ensin kaatuu järjestelmän, koska se on epäluotettava. Jotta se olisi tehokkaampi, sen täytyy olla yhdistetty toista hyväkseen, kuten tietojen paljastumisen haavoittuvuus, joka paljastaa ytimen muistin osoitteet niin, että ne ei enää tarvitse arvailla., Tämä voisi vähentää kaatumisia, koska nykyinen hyödyntää suorittaa niin suuri kasa spray.

Jos käytät toisen myyjän tietoturvaohjelmistoja, tarkista heiltä, onko BlueKeep havaittu ja miten.

muista, että nämä vaiheet edustavat vain alkua sille, mitä voit tehdä suojautuaksesi RDP-hyökkäyksiltä. Vaikka iskujen havaitseminen on hyvä alku, se ei korvaa haavoittuvien tietokoneiden paikkaamista tai korvaamista. Tiedot turvallisuus henkilöstö ja luotettu turvallisuus partners voi tarjota sinulle lisäohjeita erityisiä ympäristöön.,

ESETin BlueKeep-työkalulla (CVE-2019-0708) haavoittuvuuden Tarkistaja

ESET on julkaissut ilmaisen BlueKeep-työkalun (CVE-2019-0708) tarkistaakseen, onko Windowsia käyttävä tietokone altis hyväksikäytölle. Vuodesta julkaisuhetkellä, työkalun voi ladata osoitteesta:

(tarkista ESET Työkaluja ja Apuohjelmia sivu uudempia versioita)

Tämä ohjelma on testattu 32-bittinen ja 64-bittiset versiot Windows XP, Windows Vista, Windows Server 2003, Windows Server 2003 R2, Windows Server 2008 ja Windows Server 2008 R2 ennen ja jälkeen soveltamalla Microsoftin päivitykset BlueKeep., Jos haluat käyttää ohjelmaa, suorita suoritustiedosto. Alkuperäisen julkaisun yhteydessä ei ole käytössä komentoriviargumentteja.

Kun ajaa, ohjelma ilmoittaa, jos järjestelmä on altis hyväksikäytölle, jos järjestelmä on paikattu hyväksikäyttöä vastaan, tai jos järjestelmä ei ole altis BlueKeep hyödyntämistä. Mikäli järjestelmä on haavoittuvainen, työkalu vie käyttäjän verkkosivulle lataamaan sopivan laastarin Microsoftin verkkosivuille.,

vaikka kyseessä on henkilökohtaiseen käyttöön tarkoitettu kertakäyttöinen työkalu, jota ei ole tarkoitus käyttää massakäyttöön automatisoidussa ympäristössä, sen Virheraportointi on vähäistä. Scripting työkalu palauttaa ERRORLEVEL nolla, jos järjestelmä on suojattu, ja yksi, jos se on haavoittuva tai on tapahtunut virhe.

Kuva 3. Esimerkiksi käynnissä työkalu unpatched Windows 7-järjestelmän

Kuva 4., Esimerkiksi käynnissä työkalu paikattu Windows 7-järjestelmän

Kuva 5. Esimerkiksi käynnissä työkalu ei-haavoittuva Windows 10-järjestelmään

Lopullinen ajatuksia ja lisälukemista

Kun BlueKeep hyödyntäminen voi koskaan yleistynyt, sen sisällyttäminen pentesting työkalut tarkoittaa, että siitä tulee pysyvä osa talon turvallisuus testit. Joten, todellinen ratkaisu estää BlueKeep hyödyntämistä on poistaa haavoittuvia laitteita yrityksesi verkosta.,

aina se ei kuitenkaan välttämättä ole mahdollista, koska haavoittuvalla laitteella on kriittinen rooli liiketoiminnassa kustannusten tai muiden syiden vuoksi. Olemme jo pitkään kannattaneet kerrostunutta suhtautumista turvallisuuteen, eikä Sinilevältä suojautuminen ole poikkeus. Itse asiassa, jotkut edellä kuvatut vaiheet, esimerkiksi asentamalla 2FA sovelluksen, kuten ESET Secure Authentication, voi auttaa suojaamaan verkkoja tunkeutujia ja muita uhkia kuin hyvin.

lisätietoja RDP ja BlueKeep löytyy osoitteesta:

• CSO Verkossa., Microsoft kehottaa Windows-asiakkaita paikkaamaan madollisen RDP-virheen. (15. Toukokuuta 2019)
• Kuvaus tietoturvapäivityksen koodin suorittamisen haavoittuvuus Windows XP SP3, Windows Server 2003 SP2, Windows Server 2003 R2 SP2, Windows XP Professional x64 Edition SP2, Windows XP Embedded SP3, Windows Embedded POSReady 2009, ja Windows Embedded Standard 2009. (17. kesäkuuta 2019)
• Asiakkaan ohjausta CVE-2019-0708 | Remote Desktop Services Koodin Suorittamisen Haavoittuvuus: 14. Toukokuuta 2019., (14. toukokuuta 2019)
• CVE-2019-0708 | Etätyöpöytäpalvelut etäkoodin suorittamisen haavoittuvuus. (14.toukokuuta 2019)
• Määritä verkkotason todennus etätyöpöytäpalvelujen yhteyksille. Kesäkuuta 2013)
• CVE-2019-0708. (päiväämätön)
• NSA: n Security Advisory: Patch Remote Desktop Services Perintö Versioita Windows. (4. kesäkuuta 2019)
• päivitys Microsoft Windows RDP ”BlueKeep” Haavoittuvuus (CVE-2019-0708) . (22.toukokuuta 2019)
• US-CERT, Technical Alert AA19-168a: Microsoftin käyttöjärjestelmät BlueKeep-haavoittuvuus., (17.kesäkuuta 2019)
• ensimmäinen BlueKeep-hyökkäys herättää uusia varoituksia. (11.marraskuuta 2019)
• Microsoft varoittaa uusista BlueKeep-tyyppisistä vioista. (15.elokuuta 2019)
• BlueKeep patching ei etene riittävän nopeasti. (17.heinäkuuta 2019)
• NSA yhtyy kertosäkeeseen kehottaen Windows-käyttäjiä paikkaamaan ”Bluekeepin”. (6. kesäkuuta 2019)
• Patch now! Miksi BlueKeep haavoittuvuus on iso juttu. (22.toukokuuta 2019)
• voimakas skannaus havaittu BlueKeep RDP virhe. (26. toukokuuta 2019)

erityiskiitos kollegoilleni Alexis Dorais-Joncasille, Bruce P. Burrellille, Michal F., Nick FitzGerald, Branislav O., Matúš P., Peter R., Peter Stančík, Štefan S., muiden kollegoiden kanssa ESET heidän avustaan tämän artikkelin.

MITRE ATT&CK tekniikoita

oletko yhä käyttävät tietokoneet alttiiksi BlueKeep? Auttoiko ESETin BlueKeep (CVE-2019-0708) haavoittuvuustarkistaja? Jos olet, niin mihin toimiin olet ryhtynyt riiston lieventämiseksi? Muista kertoa meille, alla!,