SMB 服务器 DOUBLEPULSAR 后门 / 植入程序检测 (EternalRocks)

high Nessus 插件 ID 99439

简介

远程 Windows 主机上存在后门程序。

描述

Nessus 检测到远程 Windows 主机上存在 DOUBLEPULSAR。DOUBLEPULSAR 是由名为影子经纪人 (Shadow Broker) 的组织,于 2017 年 4 月 14 日所披露的多个方程式组织 (Equation Group) SMB 植入和后门程序的其中之一。该植入允许未经身份验证的远程攻击者使用 SMB 作为隐蔽通道,以漏出数据、启动远程命令或执行任意代码。

EternalRocks 是利用 DOUBLEPULSAR 进行传播的蠕虫病毒。

解决方案

删除 DOUBLEPULSAR 后门 / 植入程序,并禁用 SMBv1。

另见

http://www.nessus.org/u?43ec89df

https://github.com/countercept/doublepulsar-detection-script

https://github.com/stamparm/EternalRocks/

http://www.nessus.org/u?68fc8eff

插件详情

严重性: High

ID: 99439

文件名: smb_double_pulsar_backdoor_detect.nbin

版本: 1.176

类型: remote

代理: windows

系列: Windows

发布时间: 2017/4/18

最近更新时间: 2024/3/26

支持的传感器: Nessus

风险信息

VPR

风险因素: Critical

分数: 9.5

CVSS v2

风险因素: High

基本分数: 9.3

时间分数: 8.1

矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2017-0144

CVSS v3

风险因素: High

基本分数: 8.1

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:H/RL:O/RC:C

漏洞信息

CPE: cpe:/o:microsoft:windows

必需的 KB 项: SMB/login

排除的 KB 项: SMB/not_windows

可利用: true

易利用性: Exploits are available

漏洞发布日期: 2017/4/14

CISA 已知可遭利用的漏洞到期日期: 2022/8/10

可利用的方式

Metasploit (SMB DOUBLEPULSAR Remote Code Execution)

参考资料信息

CVE: CVE-2017-0144

BID: 96704