O assunto é antigo, mas acredite ou não, ainda é amplamente explorado.
Em um cenário onde ataques cibernéticos se tornam cada vez mais sofisticados, manter os sistemas operacionais atualizados não é apenas uma boa prática — é uma necessidade crítica de segurança. Um dos maiores exemplos dessa realidade é a vulnerabilidade CVE-2019-0708, popularmente conhecida como BlueKeep.
Essa falha, identificada no Remote Desktop Services (RDS) de versões antigas do Windows, permite que um atacante execute código remotamente sem autenticação. Em outras palavras: basta que o serviço RDP esteja habilitado em uma máquina vulnerável para que ela possa ser completamente comprometida. Esse tipo de ataque pode ser explorado em massa, com a capacidade de se espalhar automaticamente pela rede — como um worm, tal como o famigerado WannaCry.
Por que manter o sistema atualizado é vital?
Atualizações de sistema corrigem vulnerabilidades conhecidas, muitas das quais já foram documentadas e estão sendo exploradas por criminosos. No caso do BlueKeep, a Microsoft lançou um patch de segurança ainda em 2019, incluindo correções até para sistemas fora de suporte, como o Windows XP e Server 2003 — um indicativo claro da gravidade do problema.
Ainda assim, muitos ambientes corporativos seguem expostos por manterem sistemas legados ou desatualizados por questões de compatibilidade, custo ou negligência. Isso representa um risco operacional e de reputação altíssimo.
A Microsoft revela um aumento nos ataques de ransomware direcionados a controladores de domínio via RDP, com um custo médio de US$ 9,36 milhões em 2024. Os invasores exploram DCs para implantar cargas úteis em escala, comprometendo 78% dos ataques operados por humanos.
Principais insights:
• Os invasores roubam credenciais de administrador e aproveitam o acesso à rede dos DCs.
• Caso Storm-0300: Microsoft Defender para Ponto de Extremidade interrompeu a criptografia em minutos.
• A contenção do Defender preservou funções críticas da CC.
Formas eficazes de mitigação e proteção
Mesmo que a atualização seja o passo mais importante, há várias práticas de segurança que ajudam a reduzir significativamente a superfície de ataque:
1. Restringir o acesso ao RDP
-
Implemente MFA (autenticação multifator) nas conexões remotas.
-
Restringir por IP via firewall para garantir que apenas redes específicas possam se conectar.
-
Considere VPNs para encapsular e proteger o tráfego RDP.
2. Reduza privilégios e ative proteção avançada
-
Limite o número de contas com privilégios administrativos.
-
Ative o Credential Guard, que protege credenciais armazenadas em memória, dificultando ataques como Pass-the-Hash.
-
Aplique o princípio do menor privilégio (PoLP) em todo o ambiente.
3. Use o Microsoft Defender com recursos avançados
-
Implante o Microsoft Defender for Endpoint para:
-
Detectar exploração da falha em tempo real.
-
Aplicar políticas automatizadas de contenção e resposta.
-
Obter visibilidade de rede e telemetria sobre o comportamento da máquina.
-
4. Isolamento de serviços críticos
-
Segmente a rede para que servidores com RDP ativo não estejam expostos à internet.
-
Use firewalls de próxima geração (NGFWs) ou NSGs no Azure para isolar fluxos desnecessários.
5. Monitoramento contínuo e resposta
-
Configure logs de acesso remoto e monitore tentativas de login.
-
Utilize SIEMs (como o Microsoft Sentinel) para detectar anomalias e correlações de ataques.
A Microsoft descobriu recentemente um aumento acentuado em ataques de ransomware que exploram controladores de domínio (DCs) por meio do Protocolo de Área de Trabalho Remota (RDP), com o ataque médio custando às organizações US$ 9,36 milhões em 2024.
Essas campanhas sofisticadas visam prejudicar empresas criptografando sistemas críticos, aproveitando DCs, o papel fundamental do RDP e defesas práticas, com base nas descobertas da Microsoft e em um caso real.
O ransomware moderno requer dois elementos principais: contas com altos privilégios, como credenciais de administrador de domínio, para autenticação em todos os sistemas, e acesso centralizado à rede para atingir vários dispositivos simultaneamente.
Os DCs, que gerenciam a autenticação e as políticas do Active Directory (AD), são os principais alvos devido ao seu controle sobre contas e visibilidade em toda a rede.
Explorando Controladores de Domínio
Os controladores de domínio armazenam o arquivo NTDS.dit, que contém hashes de senha para todas as contas do AD. Os invasores usam ferramentas como o Mimikatz para extrair esses hashes, permitindo ataques do tipo "pass-the-hash" para se passar por administradores de domínio.
Eles também podem criar ou elevar contas para manter o acesso. Com credenciais privilegiadas, os invasores se movem lateralmente pelas redes.
A conectividade dos DCs permite que invasores mapeiem redes usando ferramentas como o BloodHound e implantem ransomware em diversos endpoints. A Microsoft relata que 78% dos ataques de ransomware operados por humanos comprometem DCs, com 35% usando-os como principal ponto de distribuição.
Ataque no mundo real: Storm-0300
A Microsoft observou o grupo Storm-0300 atacando um fabricante. Os invasores provavelmente invadiram a rede por meio de uma VPN vulnerável, usando o Mimikatz para roubar credenciais (capturadas pelo Microsoft Defender para Endpoint, que bloqueou a conta inicial, Usuário 1).
Após garantir as credenciais de administrador de domínio (Usuário 2), eles se conectaram a um DC (DC1) via RDP. No DC1, mapearam servidores com ferramentas do AD, desabilitaram o antivírus por meio de alterações na Política de Grupo e adicionaram duas novas contas de administrador (Usuário 3 e Usuário 4).
Eles tentaram executar ransomware no DC1, mas o Defender continha o Usuário 2, o Usuário 3 e o dispositivo conectado via RDP. Mudando para o Usuário 4, eles tentaram criptografar toda a rede a partir do DC1, mas o Defender conseguiu bloquear o DC1 e o Usuário 4, interrompendo o ataque aos dispositivos protegidos.
O RDP, normalmente executado em TCP 3389, é um ponto fraco comum. Invasores exploram portas RDP expostas com ataques de força bruta, credenciais roubadas ou falhas como o BlueKeep ( CVE-2019-0708 ). Uma vez dentro, a interface do RDP permite que eles implantem ferramentas e acessem DCs diretamente, como visto no ataque Storm-0300.
Os DCs devem permanecer acessíveis para autenticação, o que dificulta seu bloqueio. O recurso "Contain High Value Assets" do Microsoft Defender for Endpoint resolve esse problema classificando DCs e contendo-os em menos de três minutos se comprometidos, preservando funções críticas como a autenticação. No caso do Storm-0300, isso interrompeu o ataque sem interromper a rede.
CVE-2019-0708 – Vulnerabilidade Crítica no Remote Desktop Services (BlueKeep)
Descrição
O CVE-2019-0708 é uma vulnerabilidade de execução remota de código (RCE) no serviço Remote Desktop Services (RDS) — anteriormente conhecido como Terminal Services — identificada pela Microsoft em maio de 2019. Ela afeta versões mais antigas do Windows e não requer autenticação para ser explorada, tornando-a extremamente perigosa.
A falha ocorre na forma como o RDS lida com solicitações de conexão RDP. Um invasor pode explorar essa vulnerabilidade enviando pacotes RDP especialmente criados para um sistema vulnerável.
Impacto
-
Permite execução remota de código (RCE) sem necessidade de autenticação ou interação do usuário.
-
Um exploit bem-sucedido pode dar controle total do sistema ao invasor.
-
Possibilidade de propagação automática entre sistemas (wormable), semelhante ao WannaCry.
Sistemas afetados
-
Windows 7
-
Windows Server 2008
-
Windows Server 2008 R2
Windows Server 2012 e 2012 R2
-
(Versões mais antigas como Windows XP e Server 2003 também são afetadas, embora não mais suportadas oficialmente)
Mitigações e Correções
-
A Microsoft lançou atualizações de segurança em maio de 2019, inclusive para sistemas fora de suporte como Windows XP.
-
Recomendações:
-
Aplicar os patches imediatamente.
-
Desabilitar o RDP caso não seja necessário.
-
Habilitar autenticação em nível de rede (NLA) para reduzir o vetor de ataque.
-
Segmentação de rede e uso de firewall para bloquear portas RDP (TCP 3389) quando possível.
-
Exploração
-
Inicialmente teórica, a prova de conceito (PoC) foi posteriormente demonstrada.
-
Múltiplos exploits foram disponibilizados publicamente, e o risco de ataques reais aumentou significativamente após isso.
-
Ataques reais com variações do BlueKeep foram detectados em 2019.
Como proteger sua rede
Proteger controladores de domínio é inerentemente desafiador devido à sua criticidade operacional. Ao contrário de outros endpoints, os controladores de domínio não podem ser bloqueados sem comprometer a continuidade dos negócios. Medidas tradicionais, como isolar controladores de domínio ou restringir o acesso, frequentemente interrompem a autenticação e a aplicação de políticas.
Para resolver esse problema, o Microsoft Defender for Endpoint introduziu o recurso "Conter Ativos de Alto Valor" (HVA), que aprimora seus recursos de contenção de dispositivos. Os principais aspectos incluem:
- Contenção Baseada em Função: O Defender classifica os dispositivos por função e criticidade, aplicando políticas de contenção personalizadas. Para os DCs, isso garante o bloqueio de atividades maliciosas, preservando funções essenciais, como autenticação.
- Resposta rápida: a contenção ocorre em menos de três minutos, impedindo movimentos laterais e a implantação de ransomware.
- Controle granular: o sistema distingue entre comportamento malicioso e benigno, mantendo a continuidade operacional durante a contenção.
Essa abordagem se mostrou eficaz no caso Storm-0300, onde o Defender continha contas comprometidas e DC1 sem interromper o ambiente de AD da vítima.