Acceso y Control de CMD de Windows 7 desde Kali Linux con EternalBlue

Acceso y Control de CMD de Windows 7 desde Kali Linux con EternalBlue

Por Erick Barrientos.

EternalBlue, en ocasiones escrito como ETERNALBLUE,  es un exploit supuestamente desarrollado por la NSA. Fue filtrado por el grupo de hackers "Shadow Workers" el 14 de abril de 2017, y fue utilizado en el ataque mundial de RamsonWare con WanaCry del 12 de mayo de 2017.

Esta vulnerabilidad, denotada como CVE-2017-0144 en el catálogo Common Vulnerabilities and Exposures (CVE), se debe a que la versión 1 del servidor SMB (SMBv1) acepta en varias versiones de Microsoft Office paquetes específicos de atacantes remotos, permitiéndoles ejecutar códigos en el ordenador en cuestión.

Requisitos:

• Conectividad entre Kali Linux y Windows 7
• Conocer la IP del usuario Windows 7
• Puerto 445 abierto

 

Primero que todo, necesitamos conocer la IP del usuario Windows 7, con el comando “ipconfig” en cmd:

En la imagen a continuación se muestran los puertos abiertos de la IP en Windows 7 con el comando “nmap -Pn 192.168.88.134” como usuario root en Kali Linux para corroborar que se encuentre activado el puerto 445:

Verificamos que Firewall de Windows se encuentre activado:

 

Una vez completados los pasos anteriores, ingresamos a la terminal metasploit con el comando “msfconsole” y usaremos el exploit eternalblue como se muestra a continuación:

Vemos las opciones disponibles para el exploit:

Seleccionamos la IP de Windows 7 y el puerto que usaremos para el ingreso, y por último corremos el exploit:

Una vez finalizados los pasos anteriores, habremos entrado con éxito a CMD de Windows 7:

Al poner el comando "ipconfig" podemos apreciar la misma información que nos proporcionaba Windows 7 anteriormente:

A modo prueba, utilizamos el comando “Net stop WinDefend” para detener el funcionamiento de Windows defender de Windows 7:

Una vez puesto el comando, en Windows aparecerá un mensaje de dando aviso de que Windows Defender está desactivado, lo clickeamos y veremos que está desactivado:

Como segunda prueba, utilizamos el comando “Netsh firewall set opmode disable” para apagar Firewall de Windows:

Al revisar Firewall de Windows, podemos ver que ahora se encuentra desactivado:

El echo de haber desactivado Firewall y Windows Defender, hace posible el uso de otros tipos de exploits a Windows 7.