Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Pesquisa Recurso - BlogRecurso - WebinarRecurso - RelatórioRecurso - Eventoícones_066 ícones_067ícones_068ícones_069ícones_070

Blog da Tenable

Inscrever-se
  • Twitter
  • Facebook
  • LinkedIn

CVE-2019-0708: BlueKeep Exploited in the Wild to Deliver Cryptocurrency Miner

CVE-2019-0708: BlueKeep Exploited in the Wild to Deliver Cryptocurrency Miner

Researchers identify the first in-the-wild exploit of the BlueKeep vulnerability nearly six months after it was disclosed.

Contexto

On November 2, security researchers Kevin Beaumont (@GossiTheDog) and Marcus Hutchins (@MalwareTechBlog) confirmed the first in-the-wild exploitation of CVE-2019-0708, also known as BlueKeep.

Análise

CVE-2019-0708, a critical remote code execution vulnerability in Microsoft’s Remote Desktop Services, was patched back in May 2019. The vulnerability raised eyebrows, particularly because Microsoft released security updates for out-of-support versions of Windows, in an effort to thwart a potential worm that could spread just as WannaCry did in 2017. Beaumont is credited with naming the vulnerability “BlueKeep,” inspired by Game of Thrones. He subsequently set up BlueKeep honeypots to keep tabs on global attempts to exploit the flaw in-the-wild.

This weekend, Beaumont observed blue screens of death (BSODs) for his BlueKeep honeypots starting on November 2.

Beaumont shared a kernel crash dump from his honeypots with Hutchins, who confirmed this as the first exploitation of BlueKeep in the wild.

Hutchins shared his analysis in a blog post, where he identified the attackers were utilizing a recently released exploit module to distribute a cryptocurrency (or “coin”) miner, dubbed “BlueKeep Monero Miner” which is detected by 44% of scanners on VirusTotal as of November 3. Beaumont shared his insights in a blog post as well.

Though it took several months for the first in-the-wild exploit of BlueKeep to be seen, the expectation has always been there. Back in July, a cryptocurrency mining botnet known as WatchBog incorporated a BlueKeep scanning module to identify vulnerable systems. In August, there was chatter that a BlueKeep exploit would be incorporated into open-source tools.

While this in-the-wild exploit isn’t a WannaCry-level event, it serves as a cautionary reminder that organizations with vulnerable systems should prioritize patching them immediately.

Solução

Tenable recommends applying patches immediately. The following table contains the relevant security updates and monthly rollups for various products.

Security Update Produtos
4499175 (Security Only)
4499164 (Monthly Rollup)
  • Windows 7 32-bit (Service Pack 1)
  • Windows 7 x64 (Service Pack 1)
  • Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
4499180 (Security Only)
4499149 (Monthly Rollup)
  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for Itanium-Based Systems Service Pack 2
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
4499180 (Security Update)
  • Windows Vista SP2
  • Windows Vista x64 Edition SP2
4500331 (Security Update)
  • Windows XP SP3 x86 Windows XP Professional x64 Edition SP2
  • Windows XP Embedded SP3 x86
  • Windows Server 2003 SP2 x86
  • Windows Server 2003 x64 Edition SP2
  • Windows Server 2003 R2 SP2
  • Windows Server 2003 R2 x64 Edition SP2

In addition to patching, Tenable recommends the following mitigation steps:

  • Enable Network Level Authentication (NLA). Microsoft recommends NLA as a mitigation, however, NLA may be something an organization chooses to deploy in addition to patching.
  • Block RDP (Default is TCP port 3389) at your perimeter firewall.
  • Disable any unused services.
  • Upgrade end-of-life (EOL) operating systems. As a reminder, Windows 7 goes EOL on January 14, 2020.

Identificação de sistemas afetados

Tenable released a remote check plugin for CVE-2019-0708 after Microsoft disclosed the vulnerability. This plugin can identify affected systems without providing credentials.

To identify systems that do not have NLA enabled, please use plugin 58453.

A list of all plugins to identify BlueKeep (CVE-2019-0708) are available here.

Obtenha mais informações

Junte-se à equipe de resposta de segurança da Tenable na Tenable Community.

Learn more about Tenable, the first Cyber Exposure platform for holistic management of your modern attack surface. Get a free 60-day trial of Tenable.io Vulnerability Management.

Artigos relacionados

Você está vulnerável às últimas explorações?

Insira seu e-mail para receber os alertas de cyber exposure mais recentes em sua caixa de entrada.

Teste gratuito Comprar agora
Tenable.io AVALIAÇÃO GRATUITA POR 30 DIAS

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Inscreva-se agora mesmo.

Tenable.io COMPRAR

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

65 ativos

Escolha sua opção de assinatura:

Compre já
Teste gratuito Comprar agora

Teste gratuitamente o Nessus Professional

GRÁTIS POR 7 DIAS

O Nessus® é o verificador de vulnerabilidades mais abrangente do mercado atualmente. O Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos seus ciclos de conformidade e permitirá que você envolva a sua equipe de TI.

Comprar o Nessus Professional

O Nessus® é o verificador de vulnerabilidades mais abrangente do mercado atualmente. O Nessus Professional ajudará a automatizar o processo de verificação de vulnerabilidades, economizar tempo nos seus ciclos de conformidade e permitirá que você envolva a sua equipe de TI.

Compre uma licença para vários anos e economize. Inclua o Suporte avançado para ter acesso ao suporte por telefone, pela comunidade e por bate-papo 24 horas por dia, 365 dias por ano. Detalhes completos aqui.

Teste gratuito Comprar agora

Teste o Tenable.io Web Application Scanning

GRÁTIS POR 30 DIAS

Tenha acesso completo à nossa oferta mais recente de verificação de aplicações Web desenvolvida para aplicações modernas como parte da plataforma do Tenable.io. Verifique com segurança por vulnerabilidades em todo o seu portfólio online com um alto grau de precisão sem grandes esforços manuais ou interrupção de aplicações Web críticas. Inscreva-se agora mesmo.

Comprar o Tenable.io Web Application Scanning

Tenha acesso completo a uma plataforma moderna de gerenciamento de vulnerabilidades baseada na nuvem, que permite que você veja e rastreie todos os seus ativos com uma precisão sem precedentes. Compre hoje a sua assinatura anual.

5 FQDNs

US$ 3.578,00

Compre já

Teste gratuito Entre em contato com o setor de vendas

Teste o Tenable.io Container Security

GRÁTIS POR 30 DIAS

Tenha acesso completo à única oferta de segurança de contêiner integrada a uma plataforma de gerenciamento de vulnerabilidades. Monitore imagens de contêiner por vulnerabilidades, malware e violações de segurança. Unifique sistemas de integração contínua e implantação contínua (CI/CD) para dar suporte às práticas de DevOps, reforçar a segurança e ajudar na conformidade com as políticas da empresa.

Comprar o Tenable.io Container Security

O Tenable.io Container Security habilita com perfeição e segurança os processos de DevOps ao fornecer visibilidade da segurança das imagens de contêiner, incluindo vulnerabilidades, malware e violações de segurança através da integração com o processo de compilação.

Teste gratuito Entre em contato com o setor de vendas

Avalie o Tenable Lumin

GRÁTIS POR 30 DIAS

Visualize e explore sua Cyber Exposure, monitore a redução do risco ao longo do tempo e faça uma análise comparativa com outras empresas do mesmo setor com o Tenable Lumin.

Compre o Tenable Lumin

Entre em contato com um representante de vendas para ver como o Lumin pode ajudar você a obter informações sobre toda a organização e gerenciar o risco cibernético.