近100万台设备存在高危漏洞BlueKeep隐患 黑客已扫描寻找潜在目标

援引外媒SecurityWeek报道，将近100万台设备存在BlueKeep高危漏洞安全隐患，而且已经有黑客开始扫描寻找潜在的攻击目标。该漏洞编号为CVE-2019-0708，存在于Windows远程桌面服务（RDS）中，在本月的补丁星期二活动日中已经得到修复。

该漏洞被描述为蠕虫式（wormable），可以利用RDS服务传播恶意程序，方式类似于2017年肆虐的WannaCry勒索软件。目前已经有匿名黑客尝试利用该漏洞执行任意代码，并通过远程桌面协议（RDP）来发送特制请求，在不需要用户交互的情况下即可控制计算机。

目前微软已经发布了适用于Windows 7、Windows Server 2008、Windows XP、Windows Server 2003的补丁。Windows 7和Windows Server 2008用户可以通过启用Network Level Authentication (NLA)来防止未经身份验证的攻击，并且还可以通过阻止TCP端口3389来缓解威胁。

很多专家可以发现了基于BlueKeep的网络攻击，不过目前还没有成熟的PoC。

最初是由0-day收集平台Zerodium的创始人Chaouki Bekrar发现，BlueKeep漏洞无需任何身份验证即可被远程利用。

“我们已经确认微软近期修补的Windows Pre-Auth RDP漏洞（CVE-2019-0708）可被恶意利用。在没有身份验证的情况下，攻击者可以远程操作，并获得Windows Srv 2008、Win 7、Win 2003、XP上的SYSTEM权限。启用NLA可在一定程度上缓解漏洞。最好马上打补丁，”Bekrar发推文表示。

周六，威胁情报公司GreyNoise开始检测黑客的扫描活动。其创始人Andrew Morris表示，攻击者正在使用RiskSense检测到的Metasploit模块扫描互联网，来寻找易受BlueKeep漏洞攻击的主机。他周六发推说：“仅从Tor出口节点观察到此活动，其可能由一个黑客执行。”

目前，这些只是扫描，不是实际的利用尝试。然而，至少有一个黑客投入了相当多的时间和精力来编制易受攻击的设备列表，为实际的攻击做准备。至少有6家公司透露已开发出BlueKeep漏洞的利用，并且至少可以在网上找到两篇非常详细的关于BlueKeep漏洞细节的文章，所以黑客们开发出自己的利用方式也只是时间问题。

在过去两周里，infosec社区一直密切关注攻击迹象、可以简化RDP漏洞利用以及后续攻击的PoC代码的发布。到目前为止，没有研究人员或安全公司发布此类漏洞的利用代码。原因显而易见，它可以帮助黑客展开大规模攻击。一些公司已经成功开发了Bluekeep漏洞的利用，但打算保密。 这些公司包括：Zerodium，McAfee，Kaspersky，Check Point，MalwareTech和Valthek。