有福了，改良入侵工具，能搞定win2000之后所有系统！

去年，黑客组织 Shadow Brokers 公布了美国国家安全局 NSA 的内部黑客工具和漏洞利用代码，包括三大工具 EternalChampion、EternalRomance 和 EternalSynergy，近日一位安全研究人员 Sean Dillon（RiskSense） 改良了这三大黑客工具的源代码，使其适用于 Windows 2000 之后 20 年间的所有微软操作系统，包括 32 位和 64 位版本。

Sean Dillon 网名为 @zerosum0x0 在推特上演示了改良后的代码在一个开源渗透测试框架 Metasploit Framework 的测试结果。测试结果显示，改良后的代码利用了 CVE-2017-0143 和 CVE-2017-0146 漏洞，在渗透框架中巨量未打补丁的 Windows 系统版本均可以被漏洞影响。zerosum0x0 还表示将尽快在 GitHub 上释出可执行的代码

以前被 Shadow Broker 影子经纪人 泄露过的三个NSA漏洞近期被作出修改，现在可以攻击Windows 2000到Server 2016的所有标准和工作站版本。Github已经公开了相关资料。

在此之前，EternalSynergy永恒协作、EternalRomance永恒浪漫和EternalChampion永恒冠军曾被用于 NotPetya网络攻击。然而，它们并没有和 EternalBlue 一样被恶意行为者所使用，因为它们无法在最新的Windows版本上使用。现在，风险感知安全研究人员Sean Dillon（又名@ zerosum0x0）已经改变了这一点，他将Microsoft服务器消息块 SMB漏洞 移植到了过去18年来发布的所有Windows版本上。

研究员开发了NSA漏洞利用工具 并发布了免责声明

真是糟心的无事生非，狄龙的免责声明警告说：

这个软件纯粹是为了学术研究和开发有效的防御技术的目的而创建的，除非明确授权，否则不打算用于攻击系统。作者和项目维护者不对软件的滥用负责。

MS17-010 #EternalSynergy #EternalRomance #EternalChampion漏洞利用和@ Metasploit 辅助模块。支持Windows 2000到2016。我基本在@sleepya_ zzz_exploit上狂奔了MSF psexec。https://t.co/UnGA1u4gWe pic.twitter.com/Y9SMFJguH1

- zǝɹosum0x0?（@ zerosum0x0）2018年1月29日

这些漏洞的“新的和改进的”版本，被移植到Metasploit框架中。

EternalSynergy永恒协作、EternalRomance永恒浪漫和EternalChampion永恒冠军工作原理

Tripwire 解释说：

“每个修改后的漏洞利用远程命令和代码执行模块，依靠zzz_exploit改编，因为它们利用SMB连接会话结构来获得Admin / SYSTEM访问权限。与EternalBlue不同的是，EternalSynergy、EternalRomance和EternalChampion不使用内核shellcode来载入Meterpreter。有人仍然可以登台Meterpreter，这是Metasploit 渗透测试 软件附带的一个有效Payload，但他们可能需要逃避它们的有效Payload。

虽然这并不意味着这是EternalBlue的终点，但Dillon指出：

与EternalBlue相比，这个模块是非常可靠和优先的，在这个模块中，匿名登录（通常是Vista以前的所有东西，对于野外的域计算机都比较常见）是可以访问的。

CVE-2017-0146 （EternalChampion / EternalSynergy） - 利用事务请求利用竞争条件

CVE-2017-0143 （EternalRomance / EternalSynergy） - 利用WriteAndX和Transaction请求之间的类型混淆

安全研究员凯文·博蒙特（Kevin Beaumont）试用了这个软件，并补充说它是可靠的，不会像EternalBlue那样造成蓝屏死机。

重要的一点：SMB漏洞利用（在MS17-010 +中修复）现在移植到Windows 2000直到Windows Server 2016，以及两者之间的所有版本。非常可靠，不会像EternalBlue一样造成蓝屏。我已经尝试了Win2000和XP。https://t.co/EZ96eFsV5C

- Kevin Beaumont（@GossiTheDog）2018年1月29日

根据Heimdal Security的说法，攻击者不会将shellcode注入到目标系统中，而是控制它，攻击者将尝试覆盖SMB（服务器消息块）连接会话结构，以获得对系统的管理权限。

三个漏洞利用已经成为渗透测试工具Metasploit最受欢迎的模块

Dillon补充说：

“与EternalBlue不同的是，exploit模块将会下载到磁盘（或使用PowerShell命令）”。

在短短几天的时间里，新修改的漏洞成为Metasploit最受欢迎的两个测试模块。

exploit / windows / smb / ms17_010_psexec和/admin/admin/smb/ms17_010_command现在肯定是@Metasploit中所有测试最严格的模块之一。感谢所有帮助过的人！应尽快登陆掌握分支... pic.twitter.com/NKy8nopF9p

- zǝɹosum0x0?（@ zerosum0x0）2018年2月2日

Heimdal Security写道：

“值得一提的是，这些攻击可能具有自我复制的能力，能够快速传播并影响大量机器，所以我们敦促您应用所有可用的软件补丁。”