EternalBlue, Windows’un eski SMBv1 dosya paylaşım protokolünü işleyen bileşendeki bir hatayı hedef alan bir istismar kodudur. Microsoft bu açığı MS17-010 bültenıyle Mart 2017’de kapattı; istismarın kaynak kodu ise aynı yıl sızdırılan bir devlet aracı setinden kamuya düştü. Yamadan bağımsız çalışan sistemlerin sayısı yüksek olduğu için kısa sürede yıkıcı saldırıların ana taşıyıcısı hâline geldi.

EternalBlue, SMBv1’in hatalı biçimlendirilmiş paketleri işlerken oluşan bellek bozulmasını kullanarak hedef Windows makinede kimlik doğrulaması olmadan komut çalıştıran bir istismardır.

Zafiyet Nerede Yatıyor?

Sorun, SMBv1’in bazı isteklerdeki dosya uzantısı bilgilerini bellekte dönüştürürken yaptığı hatalı boyut hesabından kaynaklanır. Saldırgan özenle biçimlendirilmiş paketler göndererek ayrılan tampondan taşan bir yazma işlemi tetikler ve çekirdek belleğinde kendi kodunu konumlandırır. İşlem çekirdek düzeyinde gerçekleştiği için ele geçirilen erişim doğrudan en yüksek yetki seviyesindedir. SMB protokolü güvenliği açısından SMBv1’in tümüyle terk edilmesi, bu ailedeki benzer risklerin en kestirme çözümüdür.

Solucan Gibi Yayılması

EternalBlue’yu tarihe geçiren şey, kimlik doğrulaması gerektirmemesi ve tamamen ağ üzerinden çalışmasıydı. Bu iki özellik, istismarı otomatik yayılan koda gömmeyi mümkün kıldı. Mayıs 2017’deki WannaCry salgını, fidye yazılımı ile EternalBlue’yu birleştirerek bir makineyi şifreledikten sonra aynı ağdaki diğer 445 portlarını tarayıp kendini kopyaladı. Aynı yıl NotPetya, benzer bir solucan mantığıyla küresel ölçekte iş kesintilerine yol açtı.

Neden Hâlâ Görülüyor?

Yama yayımlandıktan yıllar sonra bile EternalBlue tarama denemeleri ağ günlüklerinde belirmeye devam ediyor. Bunun nedeni, izole ürün ağlarında, güncellenmeyen gömülü sistemlerde ve unutulmuş sunucularda SMBv1’in yaşamaya devam etmesidir. İnternete açık 445 portu, saldırganlar için düşük maliyetli ve yüksek getirili bir hedef olmayı sürdürüyor.

Korunma ve Sonrası

Öncelik, MS17-010 yamasının envanterdeki her makineye ulaştığını doğrulayan bir yama yönetimi sürecidir. Buna ek olarak SMBv1’in devre dışı bırakılması, 445 portunun ağ segmentleri ve internet sınırında filtrelenmesi katmanlı savunma sağlar. İç ağı düz bir yapıdan segmentlere ayırmak, bir makine ele geçirilse bile yayılımı sınırlar.

EternalBlue izi taşıyan bir olayda saldırının genellikle tek makineyle sınırlı kalmadığını, aynı ağda yatay yayıldığını varsaymak gerekir. Etki alanının gerçek sınırlarını çıkarmak, bırakılmış kalıcılık mekanizmalarını temizlemek ve yayılım zincirini haritalamak için olay inceleme ve olay müdahalesi yürütmek, temiz kabul edilen sistemlerin de doğrulanmasını sağlar.