EternalBlue: a falha que virou o WannaCry e parou hospitais eFactories

Em 2017, o mundo viu a rede de hospitais do Reino Unido, empresas de manufatura e systems de transporte pararem de funcionar ao mesmo tempo. A causa foi um ransomware chamado WannaCry, que se espalhava pela rede e criptografava os dados de quem era alcançado. Ele explorava uma falha no protocolo SMB de compartilhamento de arquivos do Windows, conhecida como EternalBlue e registrada como CVE-2017-0144.

A falha em si já existia havia alguns meses, tinha sido usada por um grupo de espionage e depois vazada para a Internet. A diferença é que a Microsoft já tinha publicado a correção em março de 2017, e mesmo assim a maioria das organizações não tinha aplicado a atualização. O WannaCry apenas escaneou a internet em busca de servidores SMB expostos e criptografou o que encontrou.

O que o caso mostrou, e ainda mostra, é o custo de não atualizar. A falha estava corrigida. O incidente não foi explorando uma falha desconhecida, foi explorando uma falha conhecida de nenhum. Num ambiente com controle de segmentação e sem privilégios administrator nas estações de trabalho, a propagação teria sido muito mais lenta.

A lição prática é sobre a combinação de três fatores: uma falha com correção disponível, a existência de um exploit público e a ausência de um processo de atualização que funcione. Dois deles são resolvidos por decisão de gestão, e o terceiro por engenharia. Uma empresa que mantém inventário de servidores, coleta de patches e prazo de aplicação não depende de sorte.