Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2017-0144
Vulnerabilidad CVE-2017-0144
Publicado: 05/12/2025
Escrito por: Nadine Rozell
¿Qué es la vulnerabilidad CVE-2017-0144?
CVE-2017-0144 es una vulnerabilidad crítica de ejecución remota de código (RCE) en el protocolo Server Message Block (SMB) versión 1 (SMBv1) de Microsoft. En términos simples, permite que un atacante envíe paquetes especialmente diseñados a una máquina vulnerable y ejecute código en ella sin necesitar ninguna credencial. Piénsalo como un golpe secreto que no solo abre la puerta, sino que deja a la persona hacer lo que quiera adentro. Su facilidad de explotación y su capacidad de autopropagación la hacen extremadamente peligrosa.
¿Cuándo se descubrió?
La vulnerabilidad se reportó de forma privada a Microsoft, que luego publicó una actualización de seguridad (MS17-010) el 14 de marzo de 2017. Sin embargo, salió a la luz pública un mes después, el 14 de abril de 2017, cuando el grupo de hackers Shadow Brokers filtró el exploit EternalBlue, que convirtió a CVE-2017-0144 en un arma.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Windows Vista, 7, 8.1, RT 8.1 | Todas las versiones compatibles anteriores al parche | |
Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016 | Todas las versiones compatibles anteriores al parche |
Descripción técnica de CVE-2017-0144
La vulnerabilidad existe en la forma en que el servidor SMBv1 de Windows maneja ciertas solicitudes. Un atacante puede enviar un paquete malicioso especialmente diseñado a un servidor SMBv1 objetivo, provocando un desbordamiento de búfer. Esto ocurre porque el protocolo maneja incorrectamente las transacciones con grandes cantidades de parámetros, lo que permite al atacante sobrescribir memoria y ejecutar código arbitrario en el sistema objetivo con privilegios de nivel kernel. Esto significa un compromiso total del sistema.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes que explotan CVE-2017-0144 no necesitan correos de phishing elaborados. Simplemente escanean redes en busca de sistemas con el puerto SMBv1 vulnerable (TCP 445) expuesto. Una vez que encuentran un objetivo, lanzan el exploit para ganar un punto de apoyo persistente. A partir de ahí, suele usarse para implementar ransomware, criptomineros o establecer una puerta trasera persistente para uso posterior. Su TTP más famosa es su capacidad de autopropagarse, extendiéndose como un gusano por las redes.
Indicadores de compromiso
Los indicadores clave de un intento de explotar CVE-2017-0144 incluyen tráfico SMBv1 inusual, especialmente hacia o desde direcciones IP externas. Podrías ver un aumento en el tráfico del puerto 445. Los sistemas de detección de intrusiones de red (IDS) suelen tener firmas específicas para EternalBlue. En el endpoint, busca procesos del sistema inesperados o tareas programadas recién creadas, que son pasos comunes posteriores a la explotación.
Pruebas de concepto y exploits conocidos
El exploit más notorio es, sin duda, EternalBlue. Se hizo famoso por impulsar el ataque global de ransomware WannaCry en mayo de 2017, que paralizó hospitales, empresas y agencias gubernamentales en todo el mundo. También fue un componente clave en el ataque NotPetya poco después. Este exploit ahora es una herramienta estándar en muchos kits de pruebas de penetración y de atacantes.
¿Cómo detectar la vulnerabilidad CVE-2017-0144?
La detección es sencilla. Ejecuta un escaneo de vulnerabilidades usando herramientas como Nessus o Qualys, que tienen complementos específicos para verificar MS17-010. También puedes revisar manualmente si los sistemas están parchados. La detección a nivel de red implica monitorear el tráfico SMBv1 y usar un IDS/IPS con firmas para EternalBlue. Una buena solución de Detección y respuesta para endpoints (EDR) también detectará el comportamiento anómalo de procesos que sigue a una explotación exitosa.
Impacto y riesgo de la vulnerabilidad CVE-2017-0144
El impacto es catastrófico. Una explotación exitosa le da a un atacante control total sobre un sistema. Esto lleva directamente al robo de datos, la interrupción del servicio y la implementación de malware devastador como el ransomware. Debido a que es capaz de propagarse como un gusano, una sola máquina vulnerable puede llevar al compromiso de toda una red en minutos. El ataque WannaCry por sí solo causó miles de millones de dólares en daños, lo que demuestra que esto no es una amenaza teórica.
Estrategias de mitigación y remediación
Si aún no has hecho esto, detén todo y revisa. Primero y ante todo, aplica el parche de seguridad MS17-010. Esto no es negociable. Segundo, deshabilita el protocolo SMBv1. Es un protocolo obsoleto e inseguro que no debería estar funcionando en un entorno moderno. Puedes hacerlo mediante Group Policy o PowerShell. Finalmente, bloquea el tráfico entrante en el puerto TCP 445 en el perímetro de tu red. No dejes tus puertos SMB expuestos en el internet público.
Preguntas frecuentes sobre la vulnerabilidad CVE-2017-0144
CVE-2017-0144 es una falla crítica de ejecución remota de código en el protocolo SMBv1 de Windows. Permite que los atacantes envíen un paquete de datos especialmente diseñado a una máquina vulnerable, provocando un desbordamiento de búfer que les permite ejecutar cualquier código que quieran con los privilegios de sistema más altos.
Se propaga escaneando redes en busca de máquinas con un puerto SMBv1 expuesto (TCP 445). Una vez que se encuentra un objetivo vulnerable, el exploit (como EternalBlue) se envía directamente a él. No se necesita ninguna interacción del usuario. Luego usa su punto de apoyo persistente en la máquina recién infectada para escanear y propagarse a otros sistemas vulnerables en la misma red.
Totalmente. Aunque hay un parche disponible desde hace años, incontables sistemas siguen sin parchar o mal configurados con SMBv1 habilitado. Los atacantes son oportunistas y todavía escanean activamente en busca de este blanco fácil. Sigue siendo un exploit preferido para obtener acceso inicial, especialmente para grupos de ransomware.
¡Parcha, parcha, parcha! Aplica la actualización MS17-010 de inmediato. Mejor aún, deshabilita SMBv1 por completo en toda tu organización. Segmenta tu red para prevenir el movimiento lateral y asegúrate de que tu firewall bloquee el tráfico SMB entrante desde internet. El análisis regular de vulnerabilidades te ayudará a encontrar cualquier sistema que hayas pasado por alto.
