EternalBlue

Définition

EternalBlue (CVE-2017-0144, MS17-010) est un exploit développé par la NSA et rendu public en avril 2017 par le groupe Shadow Brokers, ciblant une vulnérabilité dans l'implémentation SMBv1 de Windows. Il a été utilisé dans les cyberattaques WannaCry (mai 2017) et NotPetya (juin 2017), causant des dommages estimés à plusieurs dizaines de milliards de dollars mondialement. La vulnérabilité réside dans la gestion des transactions SMB (Trans2) dans le protocole SMBv1. Un paquet SMB malformé peut provoquer un buffer overflow permettant l'exécution de code arbitraire en mode kernel avec les privilèges SYSTEM. L'exploit ne nécessite aucune authentification et fonctionne sur tous les systèmes Windows de Windows XP à Windows Server 2008 R2 non patchés. EternalBlue est intégré dans Metasploit (exploit/windows/smb/ms17_010_eternalblue) et a été implémenté dans de nombreux outils offensifs. Dans le contexte de WannaCry et NotPetya, il était combiné avec DoublePulsar (une backdoor kernel NSA) pour installer et propager les ransomwares latéralement sur les réseaux internes sans interaction utilisateur. Bien que le patch MS17-010 soit disponible depuis mars 2017, des systèmes non patchés continuent d'être découverts lors de pentests internes, notamment des systèmes embarqués, des OT/SCADA Windows, des postes médicaux, et des systèmes isolés de patches. En 2024, EternalBlue reste dans les top exploits utilisés dans des attaques réelles. L'impact de WannaCry/NotPetya a catalysé des changements majeurs : désactivation de SMBv1 par défaut dans Windows 10, obligation de patcher MS17-010 dans de nombreuses organisations, et prise de conscience accrue sur la gestion des patchs en entreprise.