EsteemAudit explota RDP, ¿el próximo #WannaCry?

Han pasado casi dos semanas desde que el programa de rescate de WannaCry comenzó a propagarse, infectó casi 300.000 computadoras en más de 150 países en tan sólo 72 horas. Aunque Microsoft publicó los parches para las vulnerabilidades de SMB de WannaCry, la compañía aún no lanzó los parches para las otras tres herramientas de hacking publicadas por NSA, denominadas "EnglishmanDentist", "EsteemAudit" y "ExplodingCan".

EsteemAudit es una herramienta de hacking de Windows desarrollada por NSA y también filtrada por Shadow Brokers y apunta al servicio RDP (puerto 3389) en máquinas con Microsoft Windows Server 2003 y Windows XP. En este momento Shodan muestra alrededor 24.000 equipos con sistemas operativos abiertos.

Dado que Microsoft ya no soporta Windows Server 2003 y Windows XP, a diferencia de EternalBlue la compañía no ha lanzado ningún parche de emergencia para EsteemAudit hasta ahora.

Omri Misgav y Tal Liberman, investigadores de seguridad de la empresa Ensilo, que el año pasado presentaron el ataque AtomBombing, ahora han publicado un parche no oficial para EsteemAudit.

EsteemAudit también puede usarse como crear un gusano, similar a WannaCry, y permite a los atacantes propagarlo en las redes empresariales, dejando miles de sistemas vulnerables al ransomware, al espionaje y a otros ataques maliciosos.

Los autores de Ransomware como CrySiS, Dharma y SamSam, que ya están infectando computadoras a través del protocolo RDP usando ataques de fuerza bruta, pueden aprovechar EsteemAudit en cualquier momento para ataques generalizados y tan dañinos como WannaCry.

"Actualmente, los sistemas basados ​​en Windows XP representan más del 7 por ciento de los sistemas operativos de escritorio que todavía están en uso y se calcula que hay más de 600.000 computadoras que alojan más de 175 millones de sitios web sobre Windows Server 2003, representando aproximadamente el 18 por ciento de la cuota de mercado global", dicen los investigadores.

De las tres explotaciones restantes, "EnglishmanDentist", "EsteemAudit" y "ExplodingCan", ninguna se reproduce en plataformas que ejecutan Windows 7 o superior.

Dado que Microsoft no ha publicado ningún parche para esta vulnerabilidad, se recomienda a los administradores actualizar sus sistemas a versiones superiores para protegerse de los ataques de EsteenAudit. Si es difícil actualizar, sería bueno proteger el puerto RDP, ya sea deshabilitándolo o colocándolo detrás de un firewall.

Mientras tanto, enSilo ha lanzado un parche para ayudar a los usuarios de Windows XP y Server 2003 a proteger sus máquinas contra EsteemAudit. Puede aplicar el parche para proteger sus sistemas, pero tenga en cuenta que no es un parche oficial de Microsoft.

Actualización: A Palo Alto Networks ha realizado una disección del Exploit "EsteemAudit" Windows Remote Desktop.

Fuente: The Hacker News