EternalBlue \u00e8 una famigerata arma informatica che ha guadagnato notoriet\u00e0 grazie al suo ruolo nel devastante attacco ransomware WannaCry del maggio 2017. Sviluppato dalla National Security Agency (NSA) degli Stati Uniti, EternalBlue \u00e8 un exploit in grado di prendere di mira le vulnerabilit\u00e0 dei sistemi operativi Windows di Microsoft. Questo exploit sfrutta una falla nel protocollo Server Message Block (SMB), consentendo agli aggressori di eseguire codice arbitrario in remoto senza l'interazione dell'utente, rendendolo uno strumento altamente pericoloso nelle mani dei criminali informatici.<\/p>\n
Le origini di EternalBlue possono essere fatte risalire all'unit\u00e0 TAO (Tailored Access Operations) della NSA, responsabile della creazione e dell'impiego di sofisticate armi informatiche per la raccolta di informazioni e scopi di spionaggio. Inizialmente \u00e8 stato creato come parte dell'arsenale di strumenti offensivi utilizzati dalla NSA per infiltrarsi e sorvegliare i sistemi mirati.<\/p>\n
In uno sconvolgente colpo di scena, nell'agosto 2016 un gruppo noto come Shadow Brokers ha fatto trapelare una parte significativa degli strumenti di hacking della NSA. L'archivio trapelato conteneva l'exploit EternalBlue insieme ad altri potenti strumenti come DoublePulsar, che consentiva l'accesso non autorizzato a sistemi compromessi. Ci\u00f2 ha segnato la prima menzione pubblica di EternalBlue e ha posto le basi per il suo uso diffuso e dannoso da parte di criminali informatici e attori sponsorizzati dallo stato.<\/p>\n
EternalBlue sfrutta una vulnerabilit\u00e0 nel protocollo SMBv1 utilizzato dai sistemi operativi Windows. Il protocollo SMB consente la condivisione di file e stampanti tra computer collegati in rete e la vulnerabilit\u00e0 specifica sfruttata da EternalBlue risiede nel modo in cui SMB gestisce determinati pacchetti.<\/p>\n
In caso di sfruttamento riuscito, EternalBlue consente agli aggressori di eseguire in remoto codice su un sistema vulnerabile, consentendo loro di impiantare malware, rubare dati o creare un punto d'appoggio per ulteriori attacchi. Uno dei motivi per cui EternalBlue \u00e8 stato cos\u00ec devastante \u00e8 la sua capacit\u00e0 di diffondersi rapidamente attraverso le reti, trasformandolo in una minaccia simile a un worm.<\/p>\n
Il funzionamento tecnico di EternalBlue \u00e8 complesso e prevede molteplici fasi di sfruttamento. L'attacco inizia con l'invio di un pacchetto appositamente predisposto al server SMBv1 del sistema bersaglio. Questo pacchetto supera il pool del kernel del sistema vulnerabile, portando all'esecuzione dello shellcode dell'aggressore nel contesto del kernel. Ci\u00f2 consente all'aggressore di ottenere il controllo sul sistema compromesso ed eseguire codice arbitrario.<\/p>\n
EternalBlue sfrutta un componente aggiuntivo noto come DoublePulsar, che funge da impianto backdoor. Una volta che il bersaglio \u00e8 stato infettato da EternalBlue, DoublePulsar viene distribuito per mantenere la persistenza e fornire un percorso per attacchi futuri.<\/p>\n
Le caratteristiche principali che rendono EternalBlue un'arma informatica cos\u00ec potente sono:<\/p>\n
Esecuzione del codice remoto<\/strong>: EternalBlue consente agli aggressori di eseguire in remoto codice su sistemi vulnerabili, dando loro il controllo completo.<\/p>\n<\/li>\n Propagazione simile a un verme<\/strong>: La sua capacit\u00e0 di diffondersi autonomamente attraverso le reti lo trasforma in un worm pericoloso, facilitando una rapida infezione.<\/p>\n<\/li>\n Furtivo e persistente<\/strong>: Grazie alle funzionalit\u00e0 backdoor di DoublePulsar, l'aggressore pu\u00f2 mantenere una presenza a lungo termine sul sistema compromesso.<\/p>\n<\/li>\n Targeting per Windows<\/strong>: EternalBlue prende di mira principalmente i sistemi operativi Windows, in particolare le versioni precedenti alla patch che risolveva la vulnerabilit\u00e0.<\/p>\n<\/li>\n<\/ol>\nEsistono tipi di EternalBlue<\/h2>\n