eternalblue - Cyber SEC TSM | サイバーセキュリティTSM

EternalBlue** は、マイクロソフトのWindowsオペレーティングシステムの脆弱性を悪用するエクスプロイトの名前です。この脆弱性は、Windowsのサーバーメッセージブロック（SMB）プロトコルに存在し、攻撃者がリモートからコードを実行するために使用されました。

### 1. **背景**
EternalBlueは、アメリカ国家安全保障局（NSA）が開発したエクスプロイトとされており、2017年4月にハッキンググループ「Shadow Brokers」によってインターネット上に公開されました。エクスプロイトの公開後、広範な攻撃に利用され、多くの企業や組織に甚大な被害をもたらしました。

### 2. **脆弱性の詳細**

• **CVE-2017-0144**: EternalBlueが悪用する脆弱性は、CVE-2017-0144として登録されています。これはWindowsのSMBv1プロトコルにおけるバッファオーバーフローの脆弱性であり、リモートの攻撃者が認証を必要とせずに任意のコードを実行できるというものです。
• **対象OS**: この脆弱性はWindows XPからWindows Server 2016までの広範なバージョンに影響を与えました。

### 3. **悪用の流れ**
EternalBlueは、以下のステップで攻撃を実行します:
1. **SMBリクエストの送信**: 攻撃者は、標的のWindowsシステムに対して特別に作成されたSMBリクエストを送信します。
2. **バッファオーバーフローの発生**: SMBプロトコルの脆弱性により、メモリのバッファオーバーフローが発生します。
3. **シェルコードの実行**: オーバーフローを利用して、攻撃者が任意のシェルコード（悪意のあるコード）を実行します。
4. **リモートコード実行**: 攻撃者は、標的システム上で任意の操作を行うことができるようになります。

### 4. **EternalBlueを利用した攻撃**

• **WannaCryランサムウェア**: 2017年5月、EternalBlueを利用して拡散されたランサムウェア「WannaCry」は、数十万台のコンピュータに感染し、データを暗号化して身代金を要求しました。特に病院や企業、公共機関が多大な影響を受けました。
• **NotPetya**: 同じく2017年に発生した「NotPetya」もEternalBlueを利用して拡散しましたが、これはランサムウェアのように見せかけたデータ破壊を目的とするものでした。

### 5. **防御策**

• **パッチ適用**: マイクロソフトは2017年3月にこの脆弱性に対するパッチ（MS17-010）をリリースしました。EternalBlueの影響を受けるすべてのシステムには、このパッチを迅速に適用する必要があります。
• **SMBv1の無効化**: 既に時代遅れとなっているSMBv1プロトコルを無効にすることで、EternalBlueによる攻撃を防ぐことができます。
• **ネットワークセキュリティ**: ファイアウォールやIDS/IPS（侵入検知・防御システム）を適切に設定し、外部からのSMBトラフィックを制限します。

### 6. **技術的インサイト**
EternalBlueの威力は、特に認証を必要としない点にあります。これにより、攻撃者は標的システムのセキュリティ境界を容易に突破し、権限昇格やさらなる攻撃（例えば、ランサムウェアのインストール）を行うことが可能です。また、エクスプロイトコード自体が非常に効率的に設計されており、ネットワーク全体に急速に拡散する能力を持っています。

### 7. **現状と影響**
現在でも、EternalBlueは依然として危険なエクスプロイトとして存在しており、パッチが適用されていないシステムに対しては有効です。そのため、システム管理者はパッチの適用とセキュリティ設定の確認を徹底することが求められます。また、EternalBlueの公開は、政府やセキュリティ機関が保有する脆弱性情報の管理と、その潜在的リスクに対する意識を高めるきっかけとなりました。