El equipo de seguridad de Microsoft alerta de cuatro vulnerabilidades, CVE-2019-1181, CVE-2019-1182, CVE-2019-1222, y CVE-2019-1226, que pueden ser explotadas por atacantes remotos no autenticados para tomar el control de un afectado sistema sin requerir ninguna interacción del usuario. 2 vulnerabilidades críticas que pueden ser explotadas remotamente y presentan características similares a BlueKeep; como es el hecho de que podrían permitir que un malware se propague automáticamente hacia otros equipos vulnerables sin necesidad de interacción por parte de la víctima (características de gusano) Microsoft recomienda instalar lo antes posible las últimas actualizaciones sobre Remote Desktop Protocol (RDP)







El Protocolo de escritorio remoto (RDP), también conocido como "mstsc" después del cliente RDP incorporado de Microsoft, es comúnmente utilizado por usuarios técnicos y personal de TI para conectarse / trabajar en una computadora remota. RDP es un protocolo patentado desarrollado por Microsoft y generalmente se usa cuando un usuario desea conectarse a una máquina remota de Windows.  RDP ofrece muchas características más complejas, como: transmisión de video comprimido, uso compartido de portapapeles y varias capas de cifrado.

Vulnerabilidad de ejecución remota de código (RCE) en los Servicios de escritorio remoto, cuando un atacante no autenticado se conecta al sistema de destino mediante RDP y envía solicitudes especialmente diseñadas. Esta vulnerabilidad es la autenticación previa y no requiere la interacción del usuario. Un atacante que explotara con éxito esta vulnerabilidad podría ejecutar código arbitrario en el sistema de destino. Un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con plenos derechos de usuario. Para aprovechar esta vulnerabilidad, un atacante necesitaría enviar el Servicio de escritorio remoto a través de RDP. Remote Desktop Services maneja las solicitudes de conexión.

Remote Desktop Service - Recuerda a BlueKeep

De estos cuatro CVEs, los 2 primeros son los más graves. De hecho, en el blog del propio Simon Pope -Director de Respuestas a Incidentes en el Centro de Repuesta de Seguridad de Microsoft (MSRC)- se apuntó que estos fallos eran susceptibles de incluir en su explotación capacidades de replicación y pivotaje propias de un gusano, recordando al fallo BlueKeep que Microsoft ya solucionó en mayo.

Al igual que la falla BlueKeep, estas nuevas vulnerabilidades también son susceptibles de ser explotadas por un posible malware para propagarse automáticamente de una computadora vulnerable a otra (wormeable). "Un atacante puede obtener ejecución del código a nivel de SYSTEM enviando un paquete RDP de autenticación previa especialmente diseñado a un servidor RDS afectado",

• https://msrc-blog.microsoft.com/2019/08/13/patch-new-wormable-vulnerabilities-in-remote-desktop-services-cve-2019-1181-1182/

El protocolo RDP es utilizado habitualmente para conectarse de forma remota a los escritorios de oficinas, por lo que se ha convertido en un vector de ataque atractivo para los ciberdelincuentes y que puede causar la parálisis de una PYME con una alarmante facilidad.

En Mayo de 2019, Robert Graham usó la herramienta "rdpscan", una herramienta de escaneo rápido que construyó para realizar un escaneo de puertos masivo, ya que puede escanear toda la Internet en busca de sistemas aún vulnerables a la vulnerabilidad BlueKeep, y encontró un total de 7 millones de sistemas que escuchaban en el puerto 3389, de los cuales Alrededor de 1 millón de sistemas seguían siendo vulnerables.





Versiones afectadas

Las nuevas vulnerabilidades no afectan a Windows XP, Windows Server 2003 y Windows Server 2008

• Windows 7 SP1,
• Windows Server 2008 R2 SP1
• Windows Server 2012,
• Windows 8.1
• Windows Server 2012 R2
• Todas las versiones compatibles de Windows 10, incluidas las versiones de servidor

Ataques Ransomware vía RDP