{"id":200602,"date":"2018-02-06T09:27:01","date_gmt":"2018-02-06T08:27:01","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=200602"},"modified":"2022-03-08T15:19:14","modified_gmt":"2022-03-08T14:19:14","slug":"nsa-exploits-fr-alle-windows-versionen-angepasst","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/02\/06\/nsa-exploits-fr-alle-windows-versionen-angepasst\/","title":{"rendered":"NSA-Exploits f&uuml;r alle Windows-Versionen angepasst"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Voriges Jahr haben Hacker diverse NSA-Tools \u00f6ffentlich gemacht. Exploits wie EternalBlue wurden in Ransomware-Angriffen wie WannaCry, NotPetya und Bad Rabbit genutzt. Jetzt hat ein Sicherheitsforscher weitere Exploits unter die Lupe genommen und konnte diese so modifizieren, dass sie unter allen Windows-Versionen laufen. <\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/186b5237e597471bb6d5f0748b68b696\" width=\"1\" height=\"1\"\/>Ich hatte in diversen Blog-Beitr\u00e4gen \u00fcber die Shadow Browsers-Ver\u00f6ffentlichungen berichtet (z.B. <a href=\"https:\/\/borncity.com\/blog\/2017\/06\/18\/microsofts-shadow-brokers-analyse\/\">Microsofts Shadow Brokers-Analyse<\/a>). Neben dem EternalBlue-Exploits wurden weitere Exploits ver\u00f6ffentlicht. Hier die Liste:<\/p>\n<p><strong>EternalBlue: <\/strong>Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms17-010.aspx\" target=\"_blank\" rel=\"noopener\">MS17-010<\/a><br \/><strong>EmeraldThread<\/strong>: Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms10-061.aspx\"><u>MS10-061<\/u><\/a><br \/><strong>EternalChampion<\/strong>; Adressiert in&nbsp; <a href=\"https:\/\/msrc.microsoft.com\/update-guide\/en-US\/vulnerability\/CVE-2017-0146\"><u>CVE-2017-0146<\/u><\/a> &amp; <a href=\"https:\/\/msrc.microsoft.com\/en-US\/security-guidance\/advisory\/CVE-2017-0147\" target=\"_blank\" rel=\"noopener\"><u>CVE-2017-0147<\/u><\/a><br \/><strong>ErraticGopher: <\/strong>vor der Freigabe von Windows Vista adressiert<br \/><strong>EsikmoRoll: <\/strong>Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms14-068.aspx\" target=\"_blank\" rel=\"noopener\">MS14-068<\/a><br \/><strong>EternalRomance<\/strong>: Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms17-010.aspx\">MS17-010<\/a><br \/><strong>EducatedScholar<\/strong>: Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms09-050.aspx\" target=\"_blank\" rel=\"noopener\">MS09-050<\/a><br \/><strong>EternalSynergy<\/strong>: Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms17-010.aspx\">MS17-010<\/a><br \/><strong>EclipsedWing: <\/strong>Adressiert in <a href=\"https:\/\/technet.microsoft.com\/en-us\/library\/security\/ms08-067.aspx\" target=\"_blank\" rel=\"noopener\">MS08-067<\/a>  <\/p>\n<p>Diese Exploits nutzen Sicherheitsl\u00fccken in Windows, funktionierten aber nur f\u00fcr bestimmte Versionen. Nun hat der RiskSense-Sicherheitsforscher Sean Dillon <a href=\"https:\/\/twitter.com\/zerosum0x0\" target=\"_blank\" rel=\"noopener\">(@zerosum0x0x0<\/a>) den Quellcode f\u00fcr einige dieser weniger bekannten Exploits so modifiziert, dass sie auf einer Vielzahl von Windows-Betriebssystemen funktionieren und Code auf SYSTEM-Ebene ausf\u00fchren k\u00f6nnen.<\/p>\n<p>Der Forscher hat vor kurzem diese modifizierten Versionen von EternalChampion, EternalRomance und EternalSynergy in das Metasploit Framework, ein Open-Source-Penetrationstestprojekt, auf <a href=\"https:\/\/github.com\/rapid7\/metasploit-framework\/pull\/9473\" target=\"_blank\" rel=\"noopener\">GitHub<\/a> integriert. Auf Twitter hat er diese Meldung gepostet.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">MS17-010 <a href=\"https:\/\/twitter.com\/hashtag\/EternalSynergy?src=hash&amp;ref_src=twsrc%5Etfw\">#EternalSynergy<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/EternalRomance?src=hash&amp;ref_src=twsrc%5Etfw\">#EternalRomance<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/EternalChampion?src=hash&amp;ref_src=twsrc%5Etfw\">#EternalChampion<\/a> exploit and auxiliary modules for <a href=\"https:\/\/twitter.com\/metasploit?ref_src=twsrc%5Etfw\">@Metasploit<\/a>. Support for Windows 2000 through 2016. I basically bolted MSF psexec onto <a href=\"https:\/\/twitter.com\/sleepya_?ref_src=twsrc%5Etfw\">@sleepya_<\/a> zzz_exploit. <a href=\"https:\/\/t.co\/UnGA1u4gWe\">https:\/\/t.co\/UnGA1u4gWe<\/a> <a href=\"https:\/\/t.co\/Y9SMFJguH1\">pic.twitter.com\/Y9SMFJguH1<\/a><\/p>\n<p>\u2014 z\u01dd\u0279osum0x0 (@zerosum0x0) <a href=\"https:\/\/twitter.com\/zerosum0x0\/status\/957839430777057280?ref_src=twsrc%5Etfw\">29. Januar 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Die modifizierten Exploits k\u00f6nnen die folgenden Sicherheitsl\u00fccken ausnutzen:<\/p>\n<table cellspacing=\"0\" cellpadding=\"2\" width=\"640\" border=\"1\">\n<tbody>\n<tr>\n<td valign=\"top\" width=\"213\">CVE<\/td>\n<td valign=\"top\" width=\"213\">Sicherheitsl\u00fccke<\/td>\n<td valign=\"top\" width=\"213\">NSA Exploit<\/td>\n<\/tr>\n<tr>\n<td valign=\"top\" width=\"213\">CVE-2017-0143<\/td>\n<td valign=\"top\" width=\"213\">Type confusion between WriteAndX and Transaction requests<\/td>\n<td valign=\"top\" width=\"213\">EternalRomance<br \/>EternalSynergy<\/td>\n<\/tr>\n<tr>\n<td valign=\"top\" width=\"213\">CVE-2017-0146<\/td>\n<td valign=\"top\" width=\"213\">Race condition with Transaction requests<\/td>\n<td valign=\"top\" width=\"213\">EternalChampion<br \/>EternalSynergy<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Diese Exploits sollten nun auf allen ungepatchten Windows-Versionen aus folgender Liste funktionieren.  <\/p>\n<ul>\n<li>Windows 2000 SP0 x86  <\/li>\n<li>Windows 2000 Professional SP4 x86  <\/li>\n<li>Windows 2000 Advanced Server SP4 x86  <\/li>\n<li>Windows XP SP0 x86  <\/li>\n<li>Windows XP SP1 x86  <\/li>\n<li>Windows XP SP2 x86  <\/li>\n<li>Windows XP SP3 x86  <\/li>\n<li>Windows XP SP2 x64  <\/li>\n<li>Windows Server 2003 SP0 x86  <\/li>\n<li>Windows Server 2003 SP1 x86  <\/li>\n<li>Windows Server 2003 Enterprise SP 2 x86  <\/li>\n<li>Windows Server 2003 SP1 x64  <\/li>\n<li>Windows Server 2003 R2 SP1 x86  <\/li>\n<li>Windows Server 2003 R2 SP2 x86  <\/li>\n<li>Windows Vista Home Premium x86  <\/li>\n<li>Windows Vista x64  <\/li>\n<li>Windows Server 2008 SP1 x86  <\/li>\n<li>Windows Server 2008 x64  <\/li>\n<li>Windows 7 x86  <\/li>\n<li>Windows 7 Ultimate SP1 x86  <\/li>\n<li>Windows 7 Enterprise SP1 x86  <\/li>\n<li>Windows 7 SP0 x64  <\/li>\n<li>Windows 7 SP1 x64  <\/li>\n<li>Windows Server 2008 R2 x64  <\/li>\n<li>Windows Server 2008 R2 SP1 x64  <\/li>\n<li>Windows 8 x86  <\/li>\n<li>Windows 8 x64  <\/li>\n<li>Windows Server 2012 x64  <\/li>\n<li>Windows 8.1 Enterprise Evaluation 9600 x86  <\/li>\n<li>Windows 8.1 SP1 x86  <\/li>\n<li>Windows 8.1 x64  <\/li>\n<li>Windows 8.1 SP1 x64  <\/li>\n<li>Windows Server 2012 R2 x86  <\/li>\n<li>Windows Server 2012 R2 Standard 9600 x64  <\/li>\n<li>Windows Server 2012 R2 SP1 x64  <\/li>\n<li>Windows 10 Enterprise 10.10240 x86  <\/li>\n<li>Windows 10 Enterprise 10.10240 x64  <\/li>\n<li>Windows 10 10.10586 x86  <\/li>\n<li>Windows 10 10.10586 x64  <\/li>\n<li>Windows Server 2016 10.10586 x64  <\/li>\n<li>Windows 10 10.0.14393 x86  <\/li>\n<li>Windows 10 Enterprise Evaluation 10.14393 x64  <\/li>\n<li>Windows Server 2016 Data Center 10.14393 x64<\/li>\n<\/ul>\n<p>Wer also f\u00fcr die Administration von Systemen zust\u00e4ndig ist, sollte sich versichern, dass diese auf dem aktuellen Update-Stand sind. Mehr Details finden sich in obigem GitHub-Post oder <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/nsa-exploits-ported-to-work-on-all-windows-versions-released-since-windows-2000\/\" target=\"_blank\" rel=\"noopener\">bei Bleeping Computer<\/a>. <\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/><a href=\"https:\/\/borncity.com\/blog\/2016\/09\/23\/neues-vom-nsa-shadow-broker-hack\/\">Neues vom NSA Shadow Brokers-Hack<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/01\/14\/tschssikowski-shadow-browser-stellt-nsa-tools-online\/\">Tsch\u00fcssikowski: Shadow Brokers stellt NSA-Tools online<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2016\/12\/21\/shadow-broker-kein-hack-sondern-durch-nsa-insider-geklaut\/\">Shadow Brokers: Kein Hack, sondern durch NSA-Insider geklaut<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/04\/24\/nsa-software-hundertausende-systeme-infiziert\/\">NSA-Software: Hundertausende Systeme infiziert<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/06\/18\/microsofts-shadow-brokers-analyse\/\">Microsofts Shadow Brokers-Analyse<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/05\/14\/wannacrypt-zwischenruf-wir-mssen-reden\/\">WannaCrypt-Zwischenruf: Wir m\u00fcssen reden \u2026<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/05\/30\/shadow-brokers-starten-zero-day-abo-fr-21-000-us\/\">Shadow Brokers starten Zero-Day-Abo f\u00fcr 21.000 US $<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/07\/01\/shadowbrokers-senden-juni-exploit-pack-an-abonnenten\/\">Shadow Brokers senden Juni Exploit Pack an Abonnenten<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Voriges Jahr haben Hacker diverse NSA-Tools \u00f6ffentlich gemacht. Exploits wie EternalBlue wurden in Ransomware-Angriffen wie WannaCry, NotPetya und Bad Rabbit genutzt. Jetzt hat ein Sicherheitsforscher weitere Exploits unter die Lupe genommen und konnte diese so modifizieren, dass sie unter allen &hellip; <a href=\"https:\/\/borncity.com\/blog\/2018\/02\/06\/nsa-exploits-fr-alle-windows-versionen-angepasst\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[4328,4325],"class_list":["post-200602","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-sicherheit","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/200602","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=200602"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/200602\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=200602"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=200602"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=200602"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}