{"id":218883,"date":"2019-06-06T07:21:28","date_gmt":"2019-06-06T05:21:28","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=218883"},"modified":"2021-12-23T09:37:46","modified_gmt":"2021-12-23T08:37:46","slug":"metasploit-fr-bluekeep-vorhanden-z-z-noch-privat","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/06\/06\/metasploit-fr-bluekeep-vorhanden-z-z-noch-privat\/","title":{"rendered":"Metasploit f&uuml;r BlueKeep vorhanden, z.Z. noch privat"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>[English]Ein Sicherheitsforscher hat einen weiteren Metasploit f\u00fcr due BlueKeep-Schwachstelle in den Remote Desktop Diensten von Windows entwickelt. Aktuell ist der noch nicht freigegeben, da der Entwickler das Ganze (wegen fast einer Million ungepatchter Systeme) f\u00fcr zu riskant h\u00e4lt. <\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/vg01.met.vgwort.de\/na\/51ba5d4f68824a9ca63f091672bc6109\" width=\"1\" height=\"1\"\/>Bei BlueKeep handet es sich um eine kritische Schwachstelle (CVE-2019-0708 ), mit der sich Systeme u.U. \u00fcbernehmen lassen. Gef\u00e4hrdet sind Windows XP bis Windows 7 sowie deren Server-Pendants. Systeme ab Windows 8 sind nicht anf\u00e4llig f\u00fcr die BlueKeep-Schwachstelle. <\/p>\n<p>Microsoft bietet seit dem 14. Mai 2019 Sicherheitsupdates zum Schlie\u00dfen dieser Schwachstelle f\u00fcr betroffene Windows-Systeme an \u2013 selbst f\u00fcr die l\u00e4ngt aus dem Support gefallene Versionen wie Windows XP oder Windows Server 2003 (siehe mein Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/05\/15\/sicherheitupdate-fr-windows-xp-windows-server-2003-windows-vista-und-windows-7-windows-server-2008-r2\/\">Sicherheitupdate f\u00fcr CVE-2019-0708 f\u00fcr Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008\/R2<\/a>).<\/p>\n<p>Das Ganze wird also als kritisch eingesch\u00e4tzt, das BSI (<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/17\/wannacry-reloaded-bsi-warnung-vor-schwerer-remote-desktop-services-sicherheitslcke-in-windows\/\">WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitsl\u00fccke in Windows<\/a>), Microsoft (<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/31\/bluekeep-schwachstelle-auch-microsoft-warnt-es-droht-eine-malware-pandemie\/\">BlueKeep-Schwachstelle: Auch Microsoft warnt, es droht eine Malware-Pandemie<\/a>) und das <a href=\"https:\/\/web.archive.org\/web\/20210810174112\/https:\/\/www.nsa.gov\/News-Features\/News-Stories\/Article-View\/Article\/1865726\/nsa-cybersecurity-advisory-patch-remote-desktop-services-on-legacy-versions-of\/\" target=\"_blank\" rel=\"noopener noreferrer\">US-CERT<\/a> haben Warnungen ausgesprochen.  <\/p>\n<p>Allerdings gibt es noch eine gro\u00dfe Anzahl von Systemen, die noch ungepatcht sind, obwohl die Schwachstelle seit Mitte Mai 2019 bekannt ist und Updates bereitstehen. Ich hatte im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/05\/29\/fast-1-million-windows-maschinen-ber-bluekeep-schwachstelle-angreifbar\/\">Fast 1 Million Windows-Maschinen \u00fcber BlueKeep-Schwachstelle angreifbar<\/a> \u00fcber diesen Sachverhalt berichtet. In <a href=\"https:\/\/twitter.com\/Querulantenwahn\/status\/1134441083209953287\" target=\"_blank\" rel=\"noopener noreferrer\">diesem Tweet<\/a> hat jemand mal einen kleinen Netzwerkscan durchlaufen lassen \u2013 das Ergebnis vom 31. Mai 2019 war erschreckend.  <\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"de\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Bluekeep?src=hash&amp;ref_src=twsrc%5Etfw\">#Bluekeep<\/a> ist ja zum Gl\u00fcck erst ein paar Wochen alt.. <a href=\"https:\/\/t.co\/QSWtXdhbrG\">https:\/\/t.co\/QSWtXdhbrG<\/a> spukt schon nach ein paar Sekunden die ersten Treffer in den lokalen Netzen aus.. <\/p>\n<p>Machmal&#8230; <a href=\"https:\/\/t.co\/zvAXMfj7li\">pic.twitter.com\/zvAXMfj7li<\/a><\/p>\n<p>\u2014 Millenium Falcon (@Querulantenwahn) <a href=\"https:\/\/twitter.com\/Querulantenwahn\/status\/1134441083209953287?ref_src=twsrc%5Etfw\">31. Mai 2019<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<h2>MetaSploit f\u00fcr BlueKeep<\/h2>\n<\/p>\n<p>Bisher gab es nur bei Sicherheitsfirmen wie den Antivirusherstellern ein Proof of Concept zur Ausnutzung der Schwachstelle \u2013 die nicht \u00f6ffentlich verf\u00fcgbar waren. Auch ein Netzwerkscanner f\u00fcr die RDP-Schwachstelle liegt vor (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/06\/04\/how-to-bluekeep-check-fr-windows\/\">How To: BlueKeep-Check f\u00fcr Windows<\/a>). Was bisher fehlt, ist ein funktionierender Metasploit f\u00fcr Penetrationstests. Ein <a href=\"https:\/\/de.wikipedia.org\/wiki\/Metasploit\" target=\"_blank\" rel=\"noopener noreferrer\">Metasploit<\/a> ist ein von Sicherheitsforschern f\u00fcr Penetrationstests entwickelter Ansatz, um Sicherheitsl\u00fccken auszunutzen und so die Angreifbarkeit eines Systems nachzuweisen.  <\/p>\n<p>Jetzt scheint ein Sicherheitforscher einen Metasploit fertig zu haben. Das entwickelte Modul stammt von <a href=\"https:\/\/twitter.com\/zerosum0x0\" target=\"_blank\" rel=\"noopener noreferrer\">Z\u01dd\u0279osum0x0<\/a>, der dieses auf Twitter ank\u00fcndigte.  <\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">Rough draft MSF module. Still too dangerous to release, lame sorry. Maybe after first mega-worm?<\/p>\n<p> PATCH <a href=\"https:\/\/twitter.com\/hashtag\/BlueKeep?src=hash&amp;ref_src=twsrc%5Etfw\">#BlueKeep<\/a> CVE-2019-0708  <\/p>\n<p>35c2571801b3b6c4297ed362cf901dc4e907ff32a276fb6544a2b9d0f643f207 <a href=\"https:\/\/t.co\/y0g9R9HNnc\">pic.twitter.com\/y0g9R9HNnc<\/a><\/p>\n<p>\u2014 z\u01dd\u0279osum0x0 (@zerosum0x0) <a href=\"https:\/\/twitter.com\/zerosum0x0\/status\/1135866953996820480?ref_src=twsrc%5Etfw\">4. Juni 2019<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Es handelt sich bei dem Metasploit noch um einen Entwurf (Draft). Dieses wird aber wegen der Gefahr f\u00fcr eine gro\u00dfe Anzahl von Systemen, die noch ungepatcht sind, nicht \u00f6ffentlich freigegeben.&nbsp; <\/p>\n<blockquote>\n<p>Die Entwicklung eines Metasploits f\u00fcr die BlueKeep-Schwachstelle ist schwierig. Denn es sind keine Einzelheiten bekannt, sondern nur die Info, dass es die Schwachstelle gibt. Die Sicherheitsforscher versuchen sich daher in der Analyse, was von Microsoft in Windows gepatcht wurde und probieren einfach aus. Noch schwieriger sei es, die Ausf\u00fchrung von Remote-Code zu erreichen, da dies mehrere Schritte erfordert. Meist l\u00e4uft es dann auf eine Denial-of-Service Bedingung in Form eines BlueScreens hinaus. Allerdings scheint die Community der Sicherheitsforscher inzwischen ein wenig Hintergrundwissen haben, was f\u00fcr den Exploit erforderlich ist, wie das Beispiel zeigt.<\/p>\n<\/blockquote>\n<p>Der Sicherheitsforscher hat \u00fcber obigen Tweet den Hinweis auf ein Video ver\u00f6ffentlicht, das eine erfolgreiche Nutzung des Metasploits auf einer Windows 2008-Maschine zeigt. Nachdem vom Metasploit die Anmeldeinformationen f\u00fcr das Zielsystem mit dem Mimikatz-Tool extrahiert wurden, konnte die volle Kontrolle \u00fcber das System erreicht werden.  <\/p>\n<p>Der Sicherheitsforscher gab gegen\u00fcber <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/metasploit-module-created-for-bluekeep-flaw-private-for-now\/\" target=\"_blank\" rel=\"noopener noreferrer\">BleepingComputer<\/a> an, dass der gleiche Exploit sowohl f\u00fcr Windows 7 als auch f\u00fcr Server 2008 R2 funktioniert, da die beiden Betriebssysteme \"im Wesentlichen identisch sind, abgesehen von einigen zus\u00e4tzlichen Programmen auf dem Server\". Bez\u00fcglich der Ausnutzbarkeit unter Windows 7 bin ich aber skeptisch, da auf den meisten Systemen keine Remote Desktop Dienste laufen \u2013 bei meinen Scans, waren die Windows 7-Systeme f\u00fcr das Tool <em>rdpscan <\/em>nicht erreichbar.  <\/p>\n<p>Obwohl Windows Server 2003 auch f\u00fcr BlueKeep anf\u00e4llig ist, konnte das Metasploit-Team den Fehler nicht ausl\u00f6sen und auf diesem Betriebssystem ausnutzen. @zerosum0x0 ist ein Sicherheitsforscher, der an <a href=\"https:\/\/web.archive.org\/web\/20211114050754\/https:\/\/github.com\/zerosum0x0\/CVE-2019-0708\" target=\"_blank\" rel=\"noopener noreferrer\">diesem BlueKeep-Scanner<\/a> mit entwickelt hat. Wie man Systeme auf ihre Sicherheit gegen BlueKeep pr\u00fcft, habe ich ja im Artikel <a href=\"https:\/\/borncity.com\/blog\/2019\/06\/04\/how-to-bluekeep-check-fr-windows\/\">How To: BlueKeep-Check f\u00fcr Windows<\/a> skizziert. <\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/27\/angreifer-scannen-windows-systeme-auf-bluekeep-lcke\/\">Angreifer scannen Windows-Systeme auf BlueKeep-L\u00fccke<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/29\/fast-1-million-windows-maschinen-ber-bluekeep-schwachstelle-angreifbar\/\">Fast 1 Million Windows-Maschinen \u00fcber BlueKeep-Schwachstelle angreifbar<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/21\/bluekeep-wie-stehts-um-die-remote-desktop-services-schwachstelle-cve-2019-0708-in-windows\/\">BlueKeep: Wie steht's um die Remote Desktop Services-Schwachstelle CVE-2019-0708 in Windows<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/17\/wannacry-reloaded-bsi-warnung-vor-schwerer-remote-desktop-services-sicherheitslcke-in-windows\/\">WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitsl\u00fccke in Windows<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/15\/sicherheitupdate-fr-windows-xp-windows-server-2003-windows-vista-und-windows-7-windows-server-2008-r2\/\">Sicherheitupdate f\u00fcr CVE-2019-0708 f\u00fcr Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008\/R2<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/21\/bluekeep-wie-stehts-um-die-remote-desktop-services-schwachstelle-cve-2019-0708-in-windows\/\">BlueKeep: Wie steht's um die Remote Desktop Services-Schwachstelle CVE-2019-0708 in Windows<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/05\/31\/bluekeep-schwachstelle-auch-microsoft-warnt-es-droht-eine-malware-pandemie\/\">BlueKeep-Schwachstelle: Auch Microsoft warnt, es droht eine Malware-Pandemie<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2019\/06\/04\/how-to-bluekeep-check-fr-windows\/\">How To: BlueKeep-Check f\u00fcr Windows<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Ein Sicherheitsforscher hat einen weiteren Metasploit f\u00fcr due BlueKeep-Schwachstelle in den Remote Desktop Diensten von Windows entwickelt. Aktuell ist der noch nicht freigegeben, da der Entwickler das Ganze (wegen fast einer Million ungepatchter Systeme) f\u00fcr zu riskant h\u00e4lt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,2557],"tags":[7602,4328,4325],"class_list":["post-218883","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows-server","tag-bluekeep","tag-sicherheit","tag-windows"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/218883","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=218883"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/218883\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=218883"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=218883"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=218883"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}