# EternalBlue

O EternalBlue é um exploit de ataque cibernético desenvolvido pela Agência de Segurança Nacional (NSA) dos Estados Unidos da América. Foi divulgado ("vazado") pelo grupo de hackers Shadow Brokers em 14 de abril de 2017, um mês depois que a Microsoft lançou correções para a vulnerabilidade.
Em 12 de maio de 2017, o ransomware mundial WannaCry usou este exploit para atacar computadores não corrigidos.$^{:1}$ Em 27 de junho de 2017, o exploit foi usado novamente para ajudar a realizar o ataque cibernético NotPetya de 2017 em mais computadores não corrigidos.
O exploit também foi relatado como tendo sido usado desde março de 2016 pelo grupo de hackers chinês Buckeye (APT3), depois que eles provavelmente encontraram e reaproveitaram a ferramenta,$^{:1}$, bem como relatado ter sido usado como parte do cavalo de Troia bancário Retefe desde pelo menos 5 de setembro de 2017.
O EternalBlue estava entre os vários exploits usados, em conjunto com a ferramenta de implante backdoor DoublePulsar.

## Detalhes

O EternalBlue explora uma vulnerabilidade na implementação da Microsoft do protocolo SMB.Esta vulnerabilidade é denotada pela entrada CVE-2017-0144 no catálogo Vulnerabilidades e exposições comuns (CVE). A vulnerabilidade existe porque o servidor SMB versão 1 (SMBv1) em várias versões do Microsoft Windows manipula mal pacotes especialmente criados de atacantes remotos, permitindo a execução de código arbitrário no computador de destino.
A NSA não alertou a Microsoft sobre as vulnerabilidades e manteve sua posição por mais de cinco anos antes de a violação a forçar. A agência então avisou a Microsoft, após saber sobre o possível roubo do EternalBlue, permitindo que a empresa preparasse uma correção de software lançada em março de 2017, após atrasar o lançamento regular de correções de segurança em fevereiro de 2017. Na terça-feira, 14 de março de 2017, a Microsoft publicou o boletim de segurança MS17-010, que detalhou a falha e anunciou que as correções foram lançadas para todas as versões do Windows que eram suportadas naquela época (Windows Vista, Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012 e Windows Server 2016).
Muitos usuários do Windows não tinham instalado as correções quando, dois meses depois, em 12 de maio de 2017, o ataque ransomware WannaCry usou a vulnerabilidade EternalBlue para se espalhar. No dia seguinte, 13 de maio de 2017, a Microsoft lançou correções de segurança de emergência para o Windows XP, o Windows 8 e o Windows Server 2003 sem suporte.
Em fevereiro de 2018, o EternalBlue foi portado para todos os sistemas operacionais Windows desde o Windows 2000 pelo pesquisador de segurança da RiskSense, Sean Dillon. O EternalChampion e o EternalRomance, dois outros exploits originalmente desenvolvidos pela NSA e vazados pelo The Shadow Brokers, também foram portados no mesmo evento. Eles foram disponibilizados como módulos Metasploit de código aberto.
No final de 2018, milhões de sistemas ainda estavam vulneráveis ao EternalBlue. Isso gerou milhões de dólares em danos, principalmente devido a worms ransomware. Após o impacto massivo do WannaCry, tanto o NotPetya quanto o BadRabbit causaram mais de 1 bilhão de dólares em danos em mais de 65 países, usando o EternalBlue como um vetor de compromisso inicial ou como um método de movimento lateral.
Em maio de 2019, a cidade de Baltimore enfrentou um ataque cibernético de extorsionários digitais. O ataque congelou milhares de computadores, desligou e-mails e interrompeu vendas de imóveis, contas de água, alertas de saúde e muitos outros serviços. Nicole Perlroth, escrevendo para o New York Times, inicialmente atribuiu este ataque ao EternalBlue mas, em um livro de memórias publicado, em fevereiro de 2021 esclareceu que o EternalBlue não tinha sido responsável pelo ciberataque em Baltimore, enquanto criticava outros por apontar "o aspecto técnico detalhe que, neste caso específico, o ataque ransomware não se espalhou com o EternalBlue".
Desde 2012, quatro diretores de informação da cidade de Baltimore foram demitidos ou renunciaram (dois deixaram enquanto sob investigação). Alguns pesquisadores de segurança disseram que a responsabilidade pela violação em Baltimore é da cidade, por não atualizar seus computadores. O consultor de segurança Rob Graham escreveu em um tweet: "Se uma organização tem um número substancial de máquinas Windows que ficaram 2 anos sem correções, então isso é totalmente culpa da organização, não do EternalBlue."

## EternalRocks

O EternalRocks ou MicroBotMassiveNet é um worm de computador que infecta o Microsoft Windows. Ele usa sete exploits desenvolvidos pela NSA. Comparativamente, o programa ransomware WannaCry que infectou 230.000 computadores em maio de 2017 usa apenas dois exploits NSA, fazendo os pesquisadores acreditarem que o EternalRocks é significativamente mais perigoso. O worm foi descoberto por meio de um honeypot.
O EternalRocks primeiro instala o Tor, uma rede privada que esconde a atividade da Internet, para acessar seus servidores ocultos. Após um breve "período de incubação" de 24 horas, o servidor responde à solicitação do malware baixando e se auto replicando na máquina "hospedeira (host)".
O malware até se chama WannaCry para evitar a detecção de pesquisadores de segurança. Ao contrário do WannaCry, o EternalRocks não possui um kill switch e não é um ransomware.

## Responsabilidade

De acordo com a Microsoft, foi a NSA dos Estados Unidos a responsável por sua estratégia polêmica de não divulgar, mas armazenar vulnerabilidades. A estratégia evitou que a Microsoft soubesse (e posteriormente corrigisse) desse erro e, provavelmente, outros erros ocultos.