Instalações crackeadas do Windows estão infectadas com EternalBlue
O EternalBlue, é o exploit da NSA que fez estragos com o DOUBLEPULSAR no ataque WannaCry.
O código malicioso foi vazado on-line pelo grupo de hackers Shadow Brokers que o roubou do arsenal do Equation Group vinculado à NSA.
O EternalBlue tem como alvo o protocolo SMBv1 do Servidor na porta 445; ele se tornou amplamente adotado na comunidade de desenvolvedores de malware para atingir os sistemas Windows 7 e Windows XP.
A Microsoft solucionou a falha com o MS17-010 e também lançou um patch de emergência para o Windows XP e o Server 2003 em resposta aos ataques de ransomware do WannaCry.
De acordo com uma nova publicação da Avira, os sistemas não corrigidos permanecem expostos a ataques cibernéticos e são serialmente infectados por ameaças.
Ainda há um número significativo de máquinas repetidamente infectadas mais de um ano após os grandes ataques de WannaCry e Petya, disse Mikel Echevarria-Lizarraga, analista sênior de vírus do Avira Protection Lab.
Nossa pesquisa vinculou isso a máquinas Windows que não foram atualizadas em relação à exploração Eternal Blue da NSA e são um alvo aberto para malware.
O número de sistemas não corrigidos expostos online é muito alto, os especialistas apontaram que a maioria deles foi infectada várias vezes. Eles descobriram que as máquinas rodavam instalações crackeadas do Windows, o que significa que não receberam as atualizações de segurança da Microsoft.
Estávamos pesquisando as razões por trás de uma série de máquinas com infecções repetidas, acrescentou Mikel. Descobrimos que muitas dessas máquinas infectadas em série estavam executando falhas de ativação, o que significa que não podem ou não querem atualizar o Windows e instalar atualizações. Isso também significa que eles não receberam o patch de emergência de março de 2017 da Microsoft para esta vulnerabilidade.
A Avira decidiu desativar o protocolo SMB1 totalmente na máquina infectada para interromper o ciclo de infecção sem fim.
Os especialistas descobriram cerca de 300.000 computadores afetados pelo problema, e o Avira Protection está desativando o protocolo SMB1 em cerca de 14.000 computadores diariamente.
A lista dos dez principais países para máquinas infectadas em série é:
- Indonésia
- Taiwan
- Vietnam
- Tailândia
- Egito
- Rússia
- China
- Filipinas
- Índia
- Turquia
A lista acima não surpreende os especialistas, de acordo com estudos da Statista, os países acima são os principais países para o uso de software não licenciado.
O predomínio de máquinas infectadas fora da América do Norte e da Europa é semelhante aos estudos da Statista sobre o uso de software não licenciado, concluiu a Avira.
Este estudo encontrou taxas de software não licenciadas em média em torno de 52 a 60% fora dos Estados Unidos e da União Européia e caiu para 16% e 28% respectivamente nessas áreas. Geralmente, o software não licenciado não consegue obter os patches mais recentes contra vulnerabilidades como o EternalBlue.
Fonte: securityaffairs.co