Новая zero-day уязвимость Windows 10 приводит к краху системы через SMB

Если ваш ПК или ноутбук на Windows 10 внезапно падает с синим экраном, это может быть эксплойт zero-day для обработки SMB. Публичный PoC на GitHub позволяет любому, кто умеет симулировать SMB-сервер или подставить ссылку, вызвать BSOD. Следуйте чеклисту в статье и заблокируйте исходящие SMB-порты на периметре сети, пока Microsoft не выпустит исправление.

Что произошло

Исследователь под псевдонимом PythonResponder опубликовал эксплойт proof-of-concept на GitHub. Эксплойт используют для коррумпирования памяти при обработке SMB-трафика. Результат — крах клиентской системы с синим экраном смерти (BSOD) в драйвере mrxsmb20.sys.

Carnegie Mellon Vulnerability Notes Database опубликовал предупреждение о возможности удалённого краха Windows по этой уязвимости. Исследователь утверждает, что сообщил Microsoft, и что патч был готов несколько месяцев назад, но релиз отложили. По его словам, исправление должно выйти на следующей неделе.

Как работает уязвимость

Кратко: уязвимость в обработке ответа SMB2 TREE_CONNECT. Сервер отправляет специально сформированный ответ с избыточными или некорректно подсчитанными полями длины. Клиент Windows неправильно обрабатывает этот ответ. При подключении к вредоносному SMB-серверу или при переходе по ссылке, которая инициирует SMB-запрос, уязвимый клиент может упасть в драйвере mrxsmb20.sys.

Пояснение терминов

• SMB: сетевой протокол доступа к файлам и принтерам.
• PoC: proof-of-concept, демонстрационный код эксплойта.
• BSOD: синий экран смерти — аварийный останов ядра Windows.

Подтверждение и покрытие платформ

PoC тестировали независимые исследователи и сотрудники SANS ISC. Краш воспроизведён на полностью запатченных Windows 10 и Windows 8.1, а также на серверных версиях Windows Server 2016 и Windows Server 2012 R2.

Важно: хотя PoC предполагает участие пользователя через клик по ссылке, архитектура уязвимости в SMB означает, что возможны векторы без явного взаимодействия пользователя, если вредоносный трафик достигает клиента.

Какие системы затронуты

• Windows 10 (клиент)
• Windows 8.1 (клиент)
• Windows 7 указана в ряде сообщений, но подтверждение по всем сборкам разное
• Windows Server 2016 и Windows Server 2012 R2

Microsoft ещё не выпустила общедоступный патч на момент публикации этой заметки.

Смягчение риска для пользователей

Краткие меры, которые можно применить прямо сейчас:

1. Не переходите по подозрительным ссылкам из писем, чатов и сайтов.
2. Отключите автоматическое подключение к сетевым ресурсам, если у вас есть такая настройка.
3. Временно отключите клиент SMBv1, если он используется в сети, и по возможности ограничьте SMB вообще.
4. Установите повышенную бдительность и проинструктируйте пользователей о фишинговых ссылках.

Важно

Блокировка SMB может нарушить доступ к общим ресурсам. Перед массовыми изменениями протестируйте влияние в пилоте.

Рекомендации для системных администраторов

Технический чеклист для защиты сети:

• Блокируйте исходящие соединения SMB с локальной сети в WAN: TCP 139, TCP 445, UDP 137, UDP 138.
• Включите фильтрацию на периметре и на шлюзах между сегментами сети.
• Настройте IDS/IPS на детекцию аномального SMB2-трафика и специфичных шаблонов PoC.
• Ограничьте доверительные соединения SMB по спискам доступа и VPN.
• Обновите политики Group Policy, запретив автоматическое монтирование SMB ресурсов, если это возможно.

Критерии приёмки

• Исходящие SMB-порты блокированы или ограничены для пользовательских VLAN.
• Применены правила мониторинга на подозрительный SMB2 трафик.
• Проведено обучение сотрудников о фишинговых ссылках и механизмах эксплуатации.

План реагирования и плейбук для инцидента

1. Обнаружение: логирование отказов, повторяющиеся BSOD на рабочей станции, жалобы пользователей.
2. Изоляция: временно отключите пострадавший хост от сети.
3. Сбор данных: снимите дамп памяти, логи SMB и сетевой трафик между клиентом и сервером.
4. Анализ: проверьте наличие подключений к неизвестным SMB-ресурсам и соответствие пакетов PoC-описанию.
5. Устранение: удалите вредоносные настройки, примените сетевые блокировки, разверните патч от Microsoft, когда он появится.
6. Восстановление: верните хост в сеть после тестов и мониторинга.

Критерии отката

• Если после патча наблюдаются новые падения, откатите изменения на тестовой группе и сообщите в службу поддержки Microsoft.

Матрица рисков и смягчения

• Вероятность: высокая при наличии успешного фишинга и открытого доступа к SMB.
• Влияние: среднее — массовый BSOD не даёт атакующему прямого выполнения кода, но нарушает работу пользователей и сервисов.
• Смягчения: блокировка исходящих SMB-портов, обучение пользователей, мониторинг трафика.

Альтернативные подходы

• Применять сетевой прокси, который отфильтровывает SMB-трафик.
• Использовать VPN для доступа к внутренним файлам, не публикуя SMB в публичную сеть.
• Применять принцип наименьших привилегий для доступа к файлам.

Однострочные определения

• SMB: протокол обмена файлами по сети.
• PoC: демонстрационный код, показывающий уязвимость.
• BSOD: аварийная остановка Windows, означающая критическую ошибку ядра.

Социальный предпросмотр и короткое объявление

Соц-превью (OG):

• Заголовок: Zero-day в Windows 10 через SMB вызывает BSOD
• Описание: Публичный PoC на GitHub позволяет вызвать синий экран. Блокируйте исходящие SMB-порты и избегайте подозрительных ссылок.

Короткое объявление (100–200 слов):
Появился публичный proof-of-concept эксплойта для уязвимости Windows, связанной с обработкой SMB2 TREE_CONNECT. Эксплойт позволяет удалённо вызвать синий экран на клиентских и серверных сборках Windows. Риск увеличивается из-за простоты фишинговых векторов и повсеместного использования SMB. Рекомендуется немедленно ограничить исходящие SMB-соединения (TCP 139/445, UDP 137/138), усилить мониторинг сети и предупредить пользователей о подозрительных ссылках. Поддерживайте связь с поставщиком и установите официальное исправление, когда оно будет выпущено.

Краткая сводка

• Опубликован PoC эксплойта для уязвимости SMB, вызывающей BSOD.
• Уязвимы Windows 10, Windows 8.1 и некоторые серверные версии.
• Временное решение — блокировка исходящих SMB-портов и обучение пользователей.
• Подготовьте план инцидента и снимайте дампы при крахах для анализа.

Спасибо за внимание. Следите за обновлениями Microsoft и проверяйте официальные бюллетени перед массовым развёртыванием изменений на рабочей сети.