* Puerto 135 (RPC Endpoint Mapper): Este es el puerto principal para el servicio de llamada de procedimiento remoto (RPC) en Windows. RPC es un mecanismo que permite que las aplicaciones en diferentes computadoras se comuniquen entre sí. Un puerto abierto 135 significa que el sistema está aceptando solicitudes de RPC, lo que puede exponer numerosos servicios dependiendo de los otros servicios que se ejecutan y configuran para usar RPC. Esta es una preocupación de seguridad significativa porque los atacantes pueden usarlo para enumerar otros servicios abiertos y potencialmente explotar vulnerabilidades dentro de esos servicios.
* Puerto 137 (servicio de nombre de Netbios): Este puerto es utilizado por el servicio de nombre NetBIOS, también asociado principalmente con Windows. NetBIOS es un protocolo de red utilizado para resolver los nombres de las computadora en direcciones IP en una red local. Si bien no es inherentemente un gran riesgo de seguridad por sí solo, su presencia a menudo significa un sistema de Windows y ayuda a los atacantes a confirmar su objetivo. Además, se puede utilizar junto con otras herramientas para recopilar más información sobre la red.
Implicaciones para un atacante:
Encontrar estos puertos abiertos permite que un atacante:
* Enumerate Services: Use herramientas como `rpcinfo` (en sistemas Linux/Unix) u otras herramientas de enumeración de RPC para descubrir otros servicios que se ejecutan en el sistema que utilizan RPC. Esto podría exponer los servicios con vulnerabilidades conocidas.
* Ataques de lanzamiento contra servicios específicos: Una vez que se identifican otros servicios, el atacante puede investigar y explotar las vulnerabilidades conocidas dentro de esos servicios (por ejemplo, vulnerabilidades en aplicaciones específicas basadas en RPC como Samba, si se ejecuta en un sistema no Windows).
* Gane información de red: El puerto 137 se puede utilizar junto con otras herramientas para asignar la red e identificar otros dispositivos.
* Realice un mayor reconocimiento: Este descubrimiento inicial ayuda al atacante a refinar su estrategia de ataque.
Mitigación:
Los administradores del sistema deben:
* Desactivar servicios innecesarios: Solo ejecute los servicios necesarios para la función del sistema.
* Mantenga los sistemas parcheados: Aplique regularmente actualizaciones de seguridad para parchar vulnerabilidades conocidas en RPC y otros servicios.
* restringir el acceso a la red: Use firewalls para limitar el acceso a los puertos 135 y 137 de las redes no confiables.
* Implementar sistemas de detección/prevención de intrusos (IDS/IPS): Estos pueden detectar y bloquear la actividad maliciosa dirigida a estos puertos.
* Principio de menor privilegio: Ejecutar servicios con los permisos mínimos necesarios.
En resumen, el descubrimiento de los puertos 135 y 137 abiertos es una bandera roja de seguridad significativa y debe investigarse y remediarse de inmediato. Aumenta significativamente el riesgo de un ataque exitoso.