How To: BlueKeep-Check für Windows

[English]Der Blog-Beitrag befasst sich in einem How To mit der Frage, wie Endanwender und Administratoren mit einfachen Mitteln prüfen können, ob ihre Systeme mit Windows XP bis Windows 7 sowie den Server-Pendants mit einem Patch für die kritische Schwachstelle BlueKeep (CVE-2019-0708) versorgt oder anfällig sind. Zudem wird kurz beleuchtet, wie man ein Netzwerk auf angreifbare Rechner scannen kann. Anmerkung: Gegenüber der ersten Fassung des Artikels habe ich die Batchprogramme umgestellt und eine Lösung erweitert.

BlueKeep: Ein paar grundlegende Information

In Windows XP bis Windows 7 sowie den Server-Pendants gibt es eine BlueKeep genannte, kritische Schwachstelle (CVE-2019-0708), mit der sich Systeme u.U. übernehmen lassen. Systeme ab Windows 8 sind nicht anfällig für die BlueKeep-Schwachstelle. Microsoft stellt zwar seit dem 14. Mai 2019 Sicherheitsupdates zum Schließen dieser Schwachstelle für betroffene Windows-Systeme bereit – und das sogar für die längt aus dem Support gefallene Versionen wie Windows XP oder Windows Server 2003 (siehe mein Blog-Beitrag Sicherheitupdate für CVE-2019-0708 für Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008/R2).

Das Ganze wird also als kritisch eingeschätzt, selbst das BSI (WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitslücke in Windows) und Microsoft (BlueKeep-Schwachstelle: Auch Microsoft warnt, es droht eine Malware-Pandemie) warnen davor, Systeme ohne installierte Sicherheitsupdates zu betreiben.

Ergänzung: Das US-CERT hat nun auch eine Warnung ausgesprochen und gibt konkrete Anweisungen, was neben dem Patchen von Systemen ggf. zu tun ist:

• Blockieren Sie den TCP-Port 3389 an Ihren Firewalls, insbesondere an allen Firewalls, die dem Internet ausgesetzt sind. Dieser Port wird im RDP-Protokoll verwendet und blockiert Versuche, eine Verbindung herzustellen.
• Aktivieren Sie die Authentifizierung auf Netzwerkebene (siehe meinen Hinweis im Beitrag Authentifizierung im Netzwerk ohne Gruppenrichtlinien erzwingen). Diese Sicherheitsverbesserung erfordert, dass Angreifer über gültige Anmeldeinformationen verfügen, um eine Remote-Codeauthentifizierung durchzuführen.
• Deaktivieren Sie Remote Desktop Services, wenn sie nicht benötigt werden. Die Deaktivierung nicht genutzter und nicht benötigter Dienste trägt dazu bei, die Gefährdung durch Sicherheitsschwachstellen insgesamt zu verringern und ist eine bewährte Vorgehensweise auch ohne die BlueKeep-Bedrohung.

Sicherheitsforscher haben trotzdem kürzlich bei einem Scan über 950.000 angreifbare Windows-Systeme ohne das erforderliche Sicherheitsupdate, die per Internet erreichbar sind, gefunden (siehe Fast 1 Million Windows-Maschinen über BlueKeep-Schwachstelle angreifbar). Ich hatte hier im Blog ja ausgiebig darüber berichtet (siehe Linkliste am Artikelende)

Es ist also eine groteske Situation: Sicherheitsupdates sind verfügbar, Gegenmaßnahmen und das Risiko eines Angriffs ist bekannt, aber die Leute patchen bzw. reagieren nicht. Manche Nutzer scheitern aber an der Aufgabe, schnell zu prüfen, ob die zum Schließen der BlueKeep-Schwachstelle erforderlichen Updates installiert sind. Von Microsoft kommt da wenig – Administratoren im Firmenumfeld müssten wissen, wie man so etwas überprüft. Auf Grund von Nachfragen und Diskussionen hier im Blog habe ich mich daher entschlossen, die nachfolgenden Informationen bereitzustellen.

Bin ich eigentlich gefährdet?

Erste Frage, die sich vielleicht viele Nutzer stellen: Muss ich wirklich davon ausgehen, dass ich gefährdet bin? Microsoft stellt zwar Updates für Windows XP bis Windows 7 sowie den Server-Pendants bereit – und im Blog-Beitrag WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitslücke in Windows hatte die die zu installierenden KB-Beiträge samt Links zu den Update-Quellen verlinkt. Aber es kam relativ schnell hier im Blog die Frage auf: 'Sind auch Heimanwender betroffen?' und es wurde angemerkt, dass eine Maschine, die hinter einer Firewall hängt, die bestimmte Ports für das Remote Desktop Protocol (RDP) sperrt, nicht per Internet angreifbar sind.

In erster Näherung kann man davon ausgehen, dass im Bereich Heimanwender keine Gefährdung existieren sollte. Gefährdet sind in einer Näherung vor allem Windows Server, auf denen ein Remote Desktop Server zur Abwicklung eingehender Anfragen aufgesetzt wurde. Es gibt zudem von Talos den Security-Artikel Using Firepower to defend against encrypted RDP attacks like BlueKeep, der erklärt, dass man in Windows 7 wohl mehrere Hürden überwinden muss, um angreifbar zu sein.

Hier könnte man also schlussfolgern: Alles halb so wild. Aber es ist nie sicher, ob man nicht doch was übersehen hat oder die Remote Desktop Dienste vielleicht doch erreichbar sind. Ich verweise mal auf die Diskussion zu diesem Artikel.  Und wenn Microsoft ein Sicherheitsupdate bereitstellt, sollte man das auch installieren.

Ergänzung: Ein Metasploit für gefährdete Systeme ist inzwischen verfügbar aber unter Verschluss. Siehe Metasploit für BlueKeep vorhanden, z.Z. noch privat.

Ab Windows 8 sind die Systeme aber nicht mehr über diese Schwachstelle angreifbar. Allerdings gibt es in Windows 10 eine RDP-Schwachstelle, die einen Sperrbildschirm umgehen kann (siehe mein Beitrag Windows RDP Network Level Authentication kann Sperrbildschirm umgehen).

Ist das BlueKeep-Sicherheitsupdate installiert?

Die einfachste Möglichkeit zur Prüfung, ob ein Risiko bezüglich BlueKeep existiert, besteht im Check, ob das erforderliche Sicherheitsupdate installiert ist.

Hinweis: Gegenüber den ersten Fassungen des Artikels habe ich jetzt die Reihenfolge der in diesem Abschnitt beschriebenen Prüfungen umgestellt. Grund ist, dass mein ursprünglich als erste Lösung beschriebenes Batchprogramm auf Grund einer Beschränkung im benutzten Hilfsprogramm die Update nicht alle zuverlässig findet.

Kontrolle der installierten Updates per Systemsteuerung

Die erste Möglichkeit ist, den Verlauf installierter Windows Updates per Systemsteuerung einzusehen. hierzu führt man folgende Schritte aus:

1. Einfach in der Suche des Startmenüs 'Updates' eintippen und den Befehl 'Installierte Updates anzeigen' wählen.

2. Dann dort den Updateverlauf im Fenster Installierte Updates auf die betreffenden Updates kontrollieren oder über das Suchfeld danach suchen lassen.

[Suchen nach installierten Updates (Windows 7)]

Wichtig: Man muss warten, bis die Fortschrittsanzeige im Adressfeld signalisiert, dass der Vorgang fertig ist. Ich falle da gerne darauf herein und finde dann das Update nicht.

Wird das für die Windows-Version erforderliche Update dort aufgelistet, braucht man nichts zu tun. Für die jeweiligen Windows-Versionen gelten folgende Updates:

Windows XP: KB4500331
Windows Server 2003 SP2: KB4500331
Windows Vista: KB4499149 oder KB4499180
Windows Server 2008 SP1: KB4499149 oder KB4499180
Windows 7 SP1: KB4499164 oder KB4499175
Windows Server 2008 R2: KB4499164 oder KB4499175

Sind in obiger Liste zwei Updates für eine Windows-Version aufgeführt, braucht nur eines davon installiert zu sein. Fehlt das Update in der Liste der installierten Patches, einfach das betreffende Paket von Microsoft herunterladen und manuell installieren. Ist das Update bereits vorhanden, wird die zweite Installation wohl mit einem entsprechenden Hinweis abgelehnt. Weiterhin bliebe ja noch der nachfolge Netzwerk-Scan als Test übrig, ob das System angreifbar ist.

Anmerkung: Die Kontrolle im Updateverlauf sollte zuverlässig funktionieren. Man muss aber warten, bis die Funktion fertig ist und alle Updates aufgelistet hat (sollte im Adressfeld angezeigt werden). Andernfalls gibt es schlicht das Problem, dass Updates nicht gefunden werden. Erinnerungsmäßig habe ich aber immer wieder Fälle gehabt, wo ich in diese Falle getappt bin und die Suche nach einer KB-Nummer über das Feld in der rechten oberen Ecke nichts angezeigt hat – möglicherweise war ich da zu schnell mit der Suche. Ich musste dann die Update-Liste durchgehen. Im aktuellen Fall kein Problem, da das Feld 'Installiert am' das Update noch an oberster Stelle anzeigt. Aber eine Nachschau nach einem bestimmten Update in mehreren hundert Einträgen – meine Liste reicht bis 2014 zurück, halte ich für recht komplex – speziell, da noch viele andere installierte Updates zu .NET und Office auftauchen.

Test #1: Prüfung per Batchdatei

Ich persönlich habe aber gerne Lösungen, die ich per Doppelklick ausführen kann und die mir dann ein Ergebnis anzeigen. Ist weniger fehleranfällig als der obige Ansatz. Von Blog-Leser Bernhard M. habe ich  zwei kleine Batch-Programme (eines für Windows 8.1 und eines für Windows 7) per Mail bekommen – danke dafür. Bernhard benutzt die Batch-Programme, um die installierten Updates auflisten zu lassen und zu prüfen, ob Sicherheitsupdates installiert wurden. Ich habe das für Windows 7 erstellte Batch-Programm so modifiziert, dass es von Windows XP bis Windows 7 sowie den Server-Pendants funktionieren sollte.

Anmerkung: Ich habe das Batch-Programm inzwischen auf Version 1.2 aktualisiert. Es zeigt bei der Ausführung jetzt die Windows-Version und die Liste der verfügbaren Updates an, das ist etwas handlicher als die Urfassung.

Das Batchprogramm ermittelt die Windows-Version und überprüft, ob die erforderlichen Updates zum Schließen der BlueKeep-Schwachstelle unter Windows XP bis Windows 7 installiert sind. Hier die betreffenden Anweisungen:

REM *******************************************************
REM BlueKeep Update Check Version 1.2
REM Info: https://borncity.com/blog/?p=218795
REM *******************************************************
@ECHO OFF
CLS
ECHO BlueKeep Update Check Version 1.2
ECHO ————————————————–
ECHO.
ECHO Check auf installierte BlueKeep Sicherheitsupdates
Echo Infos unter: https://borncity.com/blog/?p=218795
ECHO.
ECHO Liste der verfuegbaren Sicherheitsupdates
ECHO ————————————————–
ECHO.
ECHO Windows XP: KB4500331
ECHO Windows Server 2003 SP2: KB4500331
ECHO Windows Vista: KB4499149 oder KB4499180
ECHO Windows Server 2008 SP1: KB4499149 oder KB4499180
ECHO Windows 7 SP1: KB4499164 oder KB4499175
ECHO Windows Server 2008 R2: KB4499164 oder KB4499175
ECHO ————————————————–
ECHO.
ECHO Je nach Windows-Version sollte eines der Sicherheitsupdates
ECHO installiert sein. Bitte warten, bis die Pruefung
ECHO durchgelaufen ist. Wird beim Programmdurchlauf kein
ECHO Paket gemeldet, fehlt das BlueKeep-Sicherheitsupdate.
ECHO.
REM ### Ermittle Version des Betriebssystems und zeige diese an
REM Windows XP?
ver | find "5.1" > nul
if errorlevel = 1 goto next0
if errorlevel = 0 echo Windows XP gefunden
goto end1

:next0
ver | find "6.0" > nul
if errorlevel = 1 goto next1
if errorlevel = 0 echo Windows Vista gefunden
goto end1

:next1
ver | find "6.1"
if errorlevel = 1 goto next2
if errorlevel = 0 echo Windows 7 (o.ä.) gefunden
goto end1

:next2
ver | find "6.2" > nul
if errorlevel = 1 goto next3
if errorlevel = 0 echo Windows 8 (o.ä.) gefunden
goto end1

:next3
ver | find "6.3" > nul
if errorlevel = 1 goto next4
if errorlevel = 0 echo Windows 8.1 (o.ä.) gefunden
goto end1

:next4
ver | find "10.0" > nul
if errorlevel = 1 goto other
if errorlevel = 0 echo Windows 10 (o.ä.) gefunden
goto end1
:other
REM Windows Server 2003 (?) oder früheres Windows
ECHO Windows version nicht ermittelbar
:end1

REM ### Prüfe, ob BlueKeep-Update vorhanden ist
SETLOCAL
wmic qfe > %TEMP%\check-updates.txt

REM *** Windows XP: KB4500331
type %TEMP%\check-updates.txt | findstr KB4500331

REM *** Windows Server 2003 SP2:
type %TEMP%\check-updates.txt | findstr KB4500331

REM *** Windows Vista: KB4499149 oder KB4499180
type %TEMP%\check-updates.txt | findstr KB4499149
type %TEMP%\check-updates.txt | findstr KB4499180

REM *** Windows Server 2008 SP1: KB4499149 oder KB4499180

type %TEMP%\check-updates.txt | findstr KB4499149
type %TEMP%\check-updates.txt | findstr KB4499180

REM *** Windows 7 SP1/Windows Server 2008 R2: KB4499164 oder KB4499175
type %TEMP%\check-updates.txt | findstr KB4499164
type %TEMP%\check-updates.txt | findstr KB4499175

del %TEMP%\check-updates.txt
Pause Bitte zum Beenden eine Taste drücken

Einfach den obigen Code markieren, mit Strg+C in die Zwischenablage kopieren, dann den Windows Editor öffnen und die Zwischenablage mit Strg+V einfügen. Das Ganze speichert man anschließend in eine Datei BlueKeepCheck.bat und schließt den Editor. Dann reicht ein Doppelklick auf diese Batch-Datei, um die Prüfung auszuführen. Die Ergebnisse werden anschließend gemeldet. Der Ablauf ist in nachfolgendem Screenshot zu sehen (ich habe mal die relevanten Informationen mit einem roten Pfeil markiert).

Die Interpretation der Ergebnisse ist recht einfach: Wird kein Update bei dieser Prüfung gemeldet, fehlt dieses und der Rechner ist nicht gegen BlueKeep geschützt. Wird dagegen ein Update gemeldet (wie in obigem Bild), ist der Patch installiert.

Anmerkung: Es ist jetzt eine Quick-and-dirty-Lösung, die ich nur unter Windows 7 SP1 getestet habe. Die sollte aber auch unter Windows XP, Vista und den Server-Pendants funktionieren. Einzig bei der Anzeige der nachträglich ergänzten Prüfung auf die Windows-Version bin ich nicht sicher, ob die Windows Server-Versionen (z.B. 2003) korrekt angezeigt werden.

Fehlt das Update, sollte es umgehend nachinstalliert werden. Ich denke, das sollte eigentlich jeder Nutzer hinbekommen – und als 'Turnschuh-Administrator' kann man sich die Batch-Datei auf einen USB-Stick ziehen, um mal schnell eine Prüfung vor Ort an einem System durchzuführen.

Test #2: Zweite Lösung – ist aber unzuverlässig

Der Vollständigkeit halber belasse ich mal die zweite Lösung, die ich ursprünglich hier im Artikel beschrieben habe, im Text – viele Kommentare beziehen sich ja auf diesen (leider unzuverlässigen Ansatz). In diesem Kommentar hatte ich drei Shell-Befehle vorgeschlagen, mit denen man eine Prüfung auf installierte BlueKeep-Updates versuchen kann. Ich habe die Befehle auf die Schnelle mal in eine kleine Batch-Datei überführt, die sich per Doppelklick aufrufen lässt.

REM *******************************************************
REM BlueKeep Update Check
REM *******************************************************
ECHO OFF
CLS
ECHO Check auf installierte BlueKeep Sicherheitsupdates
ECHO
ECHO Je nach Windows-Version sollte eins der folgenden
ECHO Sicherheitsupdates unter Windows installiert sein.
ECHO
ECHO Windows XP: KB4500331
ECHO Windows Server 2003 SP2: KB4500331
ECHO Windows Vista: KB4499149 oder KB4499180
ECHO Windows Server 2008 SP1: KB4499149 oder KB4499180
ECHO Windows 7 SP1: KB4499164 oder KB4499175
ECHO Windows Server 2008 R2: KB4499164 oder KB4499175
ECHO
ECHO Bitte warten, bis sich der Windows Editor mit den Ergebnissen
ECHO öffnet und dort nach dem erforderlichen Update suchen lassen.
Echo ON
systeminfo > check-updates.txt
notepad check-updates.txt
del check-updates.txt
Pause Bitte zum Beenden eine Taste drücken

Einfach den obigen Code markieren, mit Strg+C in die Zwischenablage kopieren, dann den Windows Editor öffnen und die Zwischenablage mit Strg+V einfügen. Das Ganze speichert man anschließend in eine Datei BlueKeepCheck.bat und schließt den Editor. Dann reicht ein Doppelklick auf diese Batch-Datei, um die Prüfung auszuführen. Der Ablauf ist in nachfolgendem Screenshot zu sehen.

(BlueKeep Update-Check für Windows, Zum Vergrößern klicken)

Das Batch-Programm öffnet das Fenster einer Eingabeaufforderung (was mit Standard-Benutzerrechten funktioniert). Dann werden die für die Windows-Versionen benötigten Update-KB-Nummern angezeigt. Im Anschluss werden mittels Systeminfo.exe die installierten Updates ermittelt und in eine Textdatei geschrieben. Ist das abgeschlossen, öffnet sich der Windows Editior Notepad und lädt die Prüfdatei. Da jeder Benutzer weiß eigentlich, unter welcher Windows-Version er unterwegs ist, kann er die zu prüfende KB-Nummer für das Update aus der Meldung ermitteln und im Windows-Editor danach suchen lassen.

Je nach Windows-Version muss der Nutzer ggf. zwei Updates (Rollup oder Security-only) überprüfen – eines der Updates sollte installiert sein. Kennt er die Windows-Version nicht, lässt sich diese mit der Tastenkombination Windows+Pause in den Systeminformationen ermitteln.

Ergänzung: Das war die erste Quick & Dirty-Lösung, die ich beim Schreiben des Beitrags als Idee zusammen gezimmert hatte. Ist natürlich für den Benutzer aufwändiger als die erste Batch-Lösung (er muss selbst suchen) – funktionierte bei mir auch – aber das Ganze ist nicht zuverlässig. Weiter unten weist ein Blog-Leser per Kommentar darauf hin, dass die Abfrage der installierten Updates 'mit der Zeit eventuell nicht mehr klappt'. Auch Blog-Leser Gero S. hat mich per Mail kontaktiert:

'bei beiden Varianten werden die Win 7-Updates nicht gefunden, obwohl sie im Updateverlauf gelistet sind. Wie soll ich nun vorgehen?'

Weitere Blog-Leser haben dann darauf hingewiesen, dass das von mir verwendete Windows-Programm systeminfo leider nicht alle installierten Updates (dort auch noch als Hotfixes bezeichnet) anzeigt, sondern die Auflistung irgendwann abbricht. Ist natürlich etwas strange, wenn man sich nicht mehr auf die Windows-Funktionen verlassen kann. Verwendet daher das weiter oben bereitgestellte Batch-Programm.

Netzwerk-Scan auf verwundbare Systeme

Administratoren, die größere Installationen, auch mit Servern, auf denen der Remote Desktop Dienst läuft, betreuen, brauchen eine bessere Prüfmethode. Dort geht es um die Fragestellung: Ist ein Rechner aus dem Internet oder per Netzwerk erreichbar und ist der wegen eines fehlenden Updates angreifbar?

Ich hatte in diesem Kommentar darauf hingewiesen, dass es von Kevin Beaumont einen scriptbasierten Scanner in einem Docker-Container gibt. Diese Lösung sehe ich aber schlicht als zu komplex und aufwändig an, um schnell und einfach eingesetzt zu werden. Eher was für große Firmenumgebungen, wo man das Netz testet und eh eine Infrastruktur mit Docker-Containern vorhält.

Und das zweite Programm zum Scannen von Netzwerken auf die BlueKeep-Schwachstelle stammt von David Graham und trägt den Namen rdpscan. Es wurde auch schon in den Kommentaren hier im Blog vorgestellt. David Graham hat den Quellcode als Visual Studio-Projekt auf GitHub veröffentlicht. Ich war der Meinung, dass nur der Quellcode vorliegt, welcher mit Visual Studio compiliert werden muss. Dann habe ich aber die GitHub-Seite von Graham gefunden, wo er vorcompilierte Binärversionen des Programms für Windows und macOS anbietet. Auf seiner Blog-Seite (gelöscht) gibt es neben einer Linux-Version zum Download noch eine Beschreibung. Das Programm ist aus einer Eingabeaufforderung mit:

rdpscan 192.168.1.1-192.168.1.1.255

aufzurufen. Die IP-Adresse sollte dem zu überprüfenden Netzwerk-Adressraum entsprechen. Die IP-Adresse des eigenen Systems kann mit dem Befehl ipconfig /all in der Eingabeaufforderung ermittelt werden.

Das Tool kennt drei Ergebnisse, die in der Eingabeaufforderung als einzeilige Meldungen ausgegeben werden können.

• VULNERABLE wenn eine RDP-Verbindung aufgebaut werden kann und das Update nicht vorhanden sind, das  System also angreifbar ist
• SAFE wenn eine RDP-Verbindung aufgebaut werden kann und das Update gefunden wird, die Zugriffe also vermutlich sicher sind.
• UNKNOWN wenn keine RDP-Verbindung aufgebaut werden kann

Bei meinem Test unter Windows 10 und Windows 7, wo kein Remote Desktop Service läuft, kam die Meldung 'UNKNOWN – no connection – timeout', da der Dienst nicht antwortete.

Man weiß dann natürlich nicht, ob es daran liegt, dass man eine falsche IP-Adresse angegeben hat oder ob der Rechner keinen Remote Desktop Dienst bereitstellt, der über das Netzwerk erreichbar ist. Ich denke aber, dass erfahrene Administratoren da andere Fehlerursachen ausschließen oder gegen einen funktionierenden RDP-Server testen. Zusammen mit dem obigen BlueKeep-Update-Check sollte man aber weiterkommen. Vielleicht hilft es euch weiter. Falls Anmerkungen, Verbesserungsvorschläge etwas vorhanden sind, hinterlasst einen Kommentar.

Ergänzung 11.6.2019: Bleeping Computer hat jetzt diesen Artikel veröffentlicht, der noch einige zusätzliche Hinweise zum rdpscan beinhaltet.

Ähnliche Artikel:
Angreifer scannen Windows-Systeme auf BlueKeep-Lücke
Fast 1 Million Windows-Maschinen über BlueKeep-Schwachstelle angreifbar
BlueKeep: Wie steht's um die Remote Desktop Services-Schwachstelle CVE-2019-0708 in Windows
WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitslücke in Windows
Sicherheitupdate für CVE-2019-0708 für Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008/R2
BlueKeep: Wie steht's um die Remote Desktop Services-Schwachstelle CVE-2019-0708 in Windows
BlueKeep-Schwachstelle: Auch Microsoft warnt, es droht eine Malware-Pandemie
BlueKeep: Patch auch für Raubkopien; Risikofaktor SSL-Tunnel
Metasploit für BlueKeep vorhanden, z.Z. noch privat
Windows RDP Network Level Authentication kann Sperrbildschirm umgehen