Acceso y Control de CMD de Windows 7 desde Kali Linux con EternalBlue

Por Erick Barrientos.

EternalBlue, en ocasiones escrito como ETERNALBLUE,  es un exploit supuestamente desarrollado por la NSA. Fue filtrado por el grupo de hackers "Shadow Workers" el 14 de abril de 2017, y fue utilizado en el ataque mundial de RamsonWare con WanaCry del 12 de mayo de 2017.

Mediante VMware se procedio a virutalizar dos maquinas: Windows 7 y Kali.

• En la siguiente figura se muestra que primero mediante Msfvenom se genera un exploit llamado "Aplicación" mediante el terminal de Kali para poder generar conexion o ataque con Windows 7:

Ataque a Windows 7 explotando la vulnerabilidad “ms11_003_ie_css_import” a nivel LAN

• Primero levantamos las máquinas virtuales con Windows 7 y kali para verificar si están en el mismo segmento de red con el comando “ipconfig” en Windows y “ifconfig” en Kali.

Para este laboratorio se utilizó Windows 7 y Kali Linux en el cual se vulnera la seguridad de Windows mediante un payload desde un link malicioso. Primero seleccionamos el exploit a utilizar ms10_46 para iniciar la configuración.

Para este laboratorio se virtualizo Windows 7 y Kali en un mismo segmento de red la cual a través de Setoolkit se creó un archivo Payload que al ser ejecutado por el "dispositivo a vulnerar" podemos ver su escritorio en tiempo real, sin ser detectado.

Abajo dejo un video con los pasos a seguir

Requerimientos:

Acceso al Shell de un sistema Android 5.1 a través de reverse tcp ejecutado desde Metasploit sobre Kali Linux

Vulnerabilidad en Windows Shell de Microsoft Windows Server 2008 SP2 y R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 Gold y R2, Windows RT 8.1, Windows 10 Gold, 1511, 1607, 1703, y Windows Server 2016 permite a los usuarios locales o atacantes remotos para ejecutar código arbitrario a través de un archivo .LNK diseñado, que no se maneja correctamente durante la visualización de iconos en el Explorador de Windows o en cualquier otra aplicación que analice el icono del acceso directo.

La CVE-2015-1701 está enfocada en la vulnerabilidad asociada a los controladores de modo kernel en Microsoft Windows 7, Microsoft Windows server 2003 SP2, Vista SP2 y Server 2008 SP2, que es un permiso que se le otorga a los usuarios locales para obtener privilegios a través de una aplicación diseñada.

La CVE fue explotada en abril de 2015 y se le otorgó el nombre de “Win32k Elevation of Privilege Vulnerability”.