{"id":224752,"date":"2019-11-12T01:57:14","date_gmt":"2019-11-12T00:57:14","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=224752"},"modified":"2020-01-09T08:53:42","modified_gmt":"2020-01-09T07:53:42","slug":"microsofts-meltdown-patch-erzeugt-bluekeep-bsods","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2019\/11\/12\/microsofts-meltdown-patch-erzeugt-bluekeep-bsods\/","title":{"rendered":"Microsofts Meltdown-Patch erzeugt BlueKeep BSODs"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Interessante Erkenntnis: Der Exploit f\u00fcr die BlueKeep-Schwachstelle, der k\u00fcrzlich f\u00fcr Angriffe benutzt wurde, erzeugt auf einigen Windows-Maschinen nur deshalb einen BlueScreen, weil die Entwickler keinen Meltdown-Support integriert haben.<\/p>\n<p><!--more--><\/p>\n<h2>Worum geht es?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/305c369101244f0c84f0af1bc668405d\" alt=\"\" width=\"1\" height=\"1\" \/>Die BlueKeep-Schwachstelle im RDP-Dienst von Windows bedroht ungepatchte Systeme von Windows XP bis Windows 7 und die betreffenden Server-Pendants. Ich hatte seit Monaten einen Angriff \u00fcber die BlueKeep-Schwachstelle erwartet (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/07\/23\/bluekeep-warnung-exploit-drfte-bald-kommen\/\">BlueKeep-Warnung: Exploit d\u00fcrfte bald kommen<\/a>).<\/p>\n<p>Sicherheitsforscher Kevin Beaumont hatte nach dem Bekanntwerden der BlueKeep-Schwachstelle und der Verf\u00fcgbarkeit erster Exploits ein weltweites Netz von Honeypots f\u00fcr die RDP-Schwachstelle aufgesetzt. Im Oktober 2019 stellte der Sicherheitsforscher pl\u00f6tzlich fest, dass die virtuellen Maschinen mit diesen Honeypots pl\u00f6tzlich BlueScreens warfen. Eine Analyse ergab, dass dort offenbar Angriffe \u00fcber die RDP-BlueKeep-Schwachstelle auf die Honeypots versucht wurden. Ziel war es, einen Crypto-Miner auf den Systemen zu installieren.<\/p>\n<p>Ich hatte im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/11\/04\/windows-erste-bluekeep-angriffe-gesichtet\/\">Windows: Erste BlueKeep-Angriffe gesichtet<\/a> dar\u00fcber berichtet. Aus diesem Anlass hat Microsoft nochmals seine Warnung vor der BlueKeep-Schwachstelle verst\u00e4rkt (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/11\/10\/neue-warnungen-vor-bluekeep-von-microsoft-co\/\">Neue Warnungen vor BlueKeep von Microsoft &amp; Co.<\/a>) und empfiehlt die Windows-Systeme schnellstm\u00f6glich zu patchen. Updates stehen f\u00fcr betroffene Windows-Versionen bereit (siehe <a href=\"https:\/\/borncity.com\/blog\/2019\/05\/15\/sicherheitupdate-fr-windows-xp-windows-server-2003-windows-vista-und-windows-7-windows-server-2008-r2\/\">Sicherheitupdate f\u00fcr CVE-2019-0708 f\u00fcr Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008\/R2<\/a>).<\/p>\n<h2>Meltdown-Patch erzeugt BlueScreens<\/h2>\n<p>Nun hat eine Analyse der Angriffe offen gelegt, warum der BlueKeep-Exploit auf den Honeypots einen BlueScreen ausgel\u00f6st hat. Catalin Cimpanu fasst es in seinem nachfolgenden Tweet zusammen.<\/p>\n<blockquote class=\"twitter-tweet\">\n<p dir=\"ltr\" lang=\"en\">BlueKeep exploit to get a fix for its BSOD problem<\/p>\n<p>&gt; Microsoft's Meltdown patch was causing BlueKeep attacks to crash on some systems.<br \/>\n&gt; Patch for MSF BlueKeep module coming later this week<a href=\"https:\/\/t.co\/WuA3gARsGa\">https:\/\/t.co\/WuA3gARsGa<\/a> <a href=\"https:\/\/t.co\/gNiY8iYRtN\">pic.twitter.com\/gNiY8iYRtN<\/a><\/p>\n<p>\u2014 Catalin Cimpanu (@campuscodi) <a href=\"https:\/\/twitter.com\/campuscodi\/status\/1193763030737313794?ref_src=twsrc%5Etfw\">November 11, 2019<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Die Malware-Autoren der letzten Angriffe haben das BlueKeep Metasploit-Modul aus einem Proof-of-Concept-Code zusammengestellt, der vom RiskSense-Sicherheitsforscher Sean Dillon (@zerosum0x0) im Sommer ver\u00f6ffentlicht wurde. Der Exploit funktioniert zwar prinzipiell, hat aber einen Nachteil. Auf einigen Systemen erzeugt der Exploit einen Blue Screen of Death (BSOD)-Fehler der das System abst\u00fcrzen l\u00e4sst, anstatt den Angreifern eine Remote-Shell zu \u00f6ffnen.<\/p>\n<p>Nach einer Analyse von Sicherheitsforscher Sean Dillon tritt der BlueScreen nur auf, weil die Autoren des Exploits keine Kernel-Unterst\u00fctzung von Windows-Maschinen mit installiertem Meltdown-Patch implementiert haben.<\/p>\n<p>Laut <a href=\"https:\/\/www.zdnet.com\/article\/bluekeep-exploit-to-get-a-fix-for-its-bsod-problem\/\" target=\"_blank\" rel=\"noopener noreferrer\">diesem ZDNet-Beitrag<\/a> von Catalin Cimpanu wird das BlueKeep Metasploit-Module diese Woche aber noch einen Fix f\u00fcr diesen Bug bekommen. Damit macht der Fix den Exploit f\u00fcr BlueKeep-Angriffe zuverl\u00e4ssiger. Es k\u00f6nnte also sein, dass wir bald erfolgreichere BlueKeep-Angriffe sehen werden.<\/p>\n<h2>Hintergrund zur BlueKeep-Schwachstelle<\/h2>\n<p>\u00dcber die BlueKeep-Schwachstelle CVE-2019-0708 hatte ich in diversen Blog-Beitr\u00e4gen berichtet. Eine Erkl\u00e4rung zur Schwachstellen findet sich im Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/05\/15\/sicherheitupdate-fr-windows-xp-windows-server-2003-windows-vista-und-windows-7-windows-server-2008-r2\/\">Sicherheitupdate f\u00fcr CVE-2019-0708 f\u00fcr Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008\/R2<\/a>. Es gibt zwar einen Patch f\u00fcr die betroffenen Systeme, aber dieser wurde nicht auf allen Systemen installiert.<\/p>\n<p>In meinem Blog-Beitrag <a href=\"https:\/\/borncity.com\/blog\/2019\/06\/04\/how-to-bluekeep-check-fr-windows\/\">How To: BlueKeep-Check f\u00fcr Windows<\/a> habe ich beleuchtet, wie sich ein System sowohl lokal auf installierte Patches als auch in einem Netzwerk auf die Schwachstellen scannen l\u00e4sst. Kevin Beaumont schl\u00e4gt vor, dass Unternehmen alle ungepatchten Systeme (Endpunkte), die direkt im Internet f\u00fcr das Remote Desktop Protocol verf\u00fcgbar sind, herunterfahren, bis sie gepatcht sind.<\/p>\n<p><strong>\u00c4hnliche Artikel:<br \/>\n<\/strong><a href=\"https:\/\/borncity.com\/blog\/2019\/06\/04\/how-to-bluekeep-check-fr-windows\/\">How To: BlueKeep-Check f\u00fcr Windows<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/27\/angreifer-scannen-windows-systeme-auf-bluekeep-lcke\/\">Angreifer scannen Windows-Systeme auf BlueKeep-L\u00fccke<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/29\/fast-1-million-windows-maschinen-ber-bluekeep-schwachstelle-angreifbar\/\">Fast 1 Million Windows-Maschinen \u00fcber BlueKeep-Schwachstelle angreifbar<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/21\/bluekeep-wie-stehts-um-die-remote-desktop-services-schwachstelle-cve-2019-0708-in-windows\/\">BlueKeep: Wie steht's um die Remote Desktop Services-Schwachstelle CVE-2019-0708 in Windows<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/17\/wannacry-reloaded-bsi-warnung-vor-schwerer-remote-desktop-services-sicherheitslcke-in-windows\/\">WannaCry-Reloaded? BSI-Warnung vor schwerer Remote Desktop Services-Sicherheitsl\u00fccke in Windows<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/05\/15\/sicherheitupdate-fr-windows-xp-windows-server-2003-windows-vista-und-windows-7-windows-server-2008-r2\/\">Sicherheitupdate f\u00fcr CVE-2019-0708 f\u00fcr Windows XP, Windows Server 2003, Windows Vista und Windows 7, Windows Server 2008\/R2<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/11\/04\/windows-erste-bluekeep-angriffe-gesichtet\/\">Windows: Erste BlueKeep-Angriffe gesichtet<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2019\/11\/10\/neue-warnungen-vor-bluekeep-von-microsoft-co\/\">Neue Warnungen vor BlueKeep von Microsoft &amp; Co.<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Interessante Erkenntnis: Der Exploit f\u00fcr die BlueKeep-Schwachstelle, der k\u00fcrzlich f\u00fcr Angriffe benutzt wurde, erzeugt auf einigen Windows-Maschinen nur deshalb einen BlueScreen, weil die Entwickler keinen Meltdown-Support integriert haben.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,301],"tags":[4328,3288],"class_list":["post-224752","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-windows","tag-sicherheit","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/224752","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=224752"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/224752\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=224752"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=224752"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=224752"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}