La Agencia de Seguridad Nacional estadounidense (NSA) ha emitido una alerta a los usuarios de Windows para que instalen los últimos parches de seguridad contra BlueKeep, una amenaza que a su juicio puede provocar una situación similar a la de WannaCry, el ransomware más peligroso de la historia que afectó a miles de máquinas en 160 países después de aprovechar una vulnerabilidad parcheada dos meses antes. 

BlueKeep es una vulnerabilidad (CVE-2019-0708), que afecta al protocolo de escritorio remoto (RDP) utilizado para que máquinas con Windows se pueden operar a distancia a través de Internet. La vulnerabilidad es crítica y afecta a Windows 7, Windows Vista, Windows XP y a Windows Server 2008 y 2003.

Microsoft ya parcheó esta vulnerabilidad en su actualización de seguridad mensual de mayo y recomendó la actualización, pero un investigador de seguridad externo ha descubierto que un millón de máquinas siguen siendo vulnerables. Como mínimo, porque hay que sumar todas las que se encuentren en redes cerradas que el investigador no pudo analizar.

La alerta de NSA es inusual y solo se produce ante casos de extrema gravedad. Hay constancia que un exploit ya está aprovechando la vulnerabilidad y se teme una campaña de ataques que resulten en una situación similar a WannaCry, un malware que también utilizó un fallo en el protocolo de escritorio remoto.

«Hemos visto gusanos de computadora devastadores que causan daños en sistemas sin parches con un impacto de gran alcance, y estamos buscando motivar mayores protecciones contra esta fallo», explica en la alerta la NSA.

Medidas contra BlueKeep

Junto con la instalación de los parches publicados por Microsoft, la agencia de seguridad también recomendó tomar las siguientes medidas adicionales:

• Bloquear el puerto TCP 3389 en el cortafuegos, especialmente los perimetrales expuestos a Internet. Este puerto se usa en el protocolo RDP y bloqueará los intentos de establecer una conexión.
• Habilitar la autentificación de nivel de red. Esto mejora la seguridad, ya que requiere que los atacantes tengan credenciales válidas para realizar la autentificación de código remoto.
• Deshabilitar los servicios de escritorio remoto si no los necesitas. Esto ayuda a reducir la exposición a las vulnerabilidades de seguridad en general y es una buena práctica incluso sin la amenaza de BlueKeep.