نشر باحث يعمل تحت اسم "Nightmare Eclipse" استغلالًا جديدًا لإثبات المفهوم أطلق عليه اسم ShieldBreak، ويأتي هذا الإصدار في توقيت غير مريح. فقد صدر بعد ساعات فقط من إغلاق مايكروسوفت لموجة تحديثات Patch Tuesday الثقيلة، ومع ذلك لا يزال ShieldBreak يعمل حتى على الأجهزة التي ثبتت جميع التحديثات المتاحة. يستهدف الاستغلال برنامج Microsoft Defender ويمنح المهاجمين الذين لديهم وصول محلي صلاحيات كاملة على مستوى النظام SYSTEM، وهو أعلى مستوى تحكم يمكن لنظام ويندوز منحه. ولا يوجد حاليًا أي تصحيح رسمي له.
ما يجعل هذا الأمر جديرًا بالملاحظة ليس فقط الآليات التقنية، بل النمط المتكرر. هذه هي الحلقة العاشرة الموثقة علنًا في سلسلة مستمرة من نفس الباحث، وكل واحدة منها اتبعت سيناريو مشابهًا: ثغرة في المعالجة الداخلية للصلاحيات في Defender، واستغلال يعمل ويُنشر قبل أن تتمكن مايكروسوفت من الاستجابة، ونافذة تعرض تمتد من أيام إلى أسابيع أثناء تطوير الإصلاح.
نمط يتكرر باستمرار
إن أسلوب Nightmare Eclipse في الكشف عن الثغرات أصبح قصة متكررة في أوساط أمن ويندوز. فبدلاً من الإبلاغ عن الثغرات بهدوء وانتظار إصلاح منسق، يقوم الباحث مرارًا وتكرارًا بنشر كود استغلال يعمل علنًا، مما يجبر مايكروسوفت على الرد بعد فوات الأوان بدلاً من الاستباق. الحلقات السابقة في هذه السلسلة، بما في ذلك حالات قام فيها نفس الباحث بـ إسقاط ثغرة ويندوز أخرى من نوع zero-day بينما لا يزال التصحيح ممكنًا، اتبعت نفس الإيقاع: الكشف أولاً، ثم التصحيح لاحقًا، وغالبًا في وقت متأخر جدًا.
ShieldBreak ليس حتى المثال الوحيد الأخير على هذا الديناميكي على نطاق واسع. فقد اضطر مستخدمو ويندوز أيضًا إلى التعامل مع مواقف حيث ثغرتان منفصلتان من نوع zero-day هددتا الوصول على مستوى النظام خلال نفس الفترة القصيرة، مما يؤكد كيف أصبحت ثغرات تصعيد الصلاحيات في مكونات ويندوز الأساسية فئة مخاطر مستمرة وليست حدثًا نادرًا.
لماذا الجهاز المحدث بالكامل ليس جهازًا محميًا بالكامل
التوقيت هنا مهم. ظهر ShieldBreak مباشرة بعد أن أصدرت مايكروسوفت دفعة كبيرة من الإصلاحات، وهي دورة Patch Tuesday التي يُقال إنها عالجت مئات الثغرات المنفصلة، على نطاق مشابه للحملة الموصوفة عندما صححت مايكروسوفت 421 ثغرة بينما كان المهاجمون يستهدفون بنى تحتية أخرى في نفس الوقت. هذا الحجم من التصحيح هو عمل مفيد حقًا، لكنه يوضح أيضًا المشكلة الأساسية مع ثغرات zero-day: فهي توجد، بحكم تعريفها، خارج دورة التصحيح. يمكن أن يكون الجهاز متوافقًا تمامًا مع جميع التحديثات التي أصدرتها مايكروسوفت ومع ذلك يظل معرضًا للخطر بمجرد نشر ثغرة جديدة، لأن البائع لم يتح له الوقت لبناء وشحن الإصلاح بعد.
يعد Defender هدفًا حساسًا بشكل خاص في هذا السياق. إنها الأداة الأمنية المدمجة التي يعتمد عليها معظم مستخدمي ويندوز افتراضيًا، غالبًا دون تفكير ثانٍ، تحديدًا لأنها من المفترض أن تكون خط الدفاع الأخير. الاستغلال الذي يحول أداة أمنية إلى نقطة دخول لتصعيد الصلاحيات يقوض الافتراض الأساسي بأن إبقاء ويندوز محدثًا هو حماية كافية بحد ذاته. الوصول على مستوى النظام SYSTEM، بمجرد الحصول عليه، يمنح المهاجم فعليًا القدرة على فعل أي شيء تقريبًا على الجهاز: تثبيت برمجيات خبيثة إضافية، تعطيل ضوابط أمنية أخرى، الوصول إلى بيانات الاعتماد المخزنة، أو التنقل جانبيًا عبر الشبكة.
ما يعنيه هذا بالنسبة لك
بالنسبة لمعظم المستخدمين المنزليين والشركات الصغيرة، فإن ShieldBreak ليس سببًا فوريًا للذعر. استغلاله يتطلب وصولًا محليًا إلى الجهاز، مما يحد من استخدامه النموذجي عمليًا، عادةً كمرحلة ثانية بعد أن يكون المهاجم قد حصل بالفعل على موطئ قدم عبر التصيد أو البرمجيات الخبيثة أو ثغرة أخرى. لكن الدلالة الأوسع لهذا النمط من ثغرات ويندوز من نوع zero-day تستحق أن تؤخذ على محمل الجد: التصحيح الدؤوب ضروري لكنه لم يعد كافيًا وحده لضمان الحماية ضد تصعيد الصلاحيات.
لهذا السبب، فإن الدفاعات متعددة الطبقات أهم من أي ضابط تحكم منفرد. يظل تحديث البرامج أمرًا أساسيًا، لكن يجب أن يقترن بمراقبة قوية لنقاط النهاية، وتقييد عدد الحسابات التي لديها حقوق إدارية، والحذر بشأن ما يتم تنفيذه محليًا، نظرًا لأن معظم استغلالات تصعيد الصلاحيات تحتاج أولاً إلى نقطة دخول أولية. القراء الذين يتابعون هذا المجال عن كثب يمكنهم أيضًا متابعة الملخصات المستمرة للثغرات، مثل تتبع الثغرات والتصحيحات الأسبوعي المنشور في LeakWatch، للبقاء على اطلاع بشأن أي الثغرات انتقلت من إثبات المفهوم إلى الاستغلال النشط.
خلاصات قابلة للتنفيذ
بينما لا يوجد تصحيح لـ ShieldBreak حتى الآن، هناك خطوات ملموسة تستحق اتخاذها الآن. قيّد صلاحيات الإدارة المحلية حيثما أمكن، لأن هذا الاستغلال وغيره من الاستغلالات المماثلة تعتمد على حصول المهاجم بالفعل على مستوى معين من الوصول إلى الجهاز. راقب تنبيهات مايكروسوفت بحثًا عن إصلاح وقم بتطبيقه بمجرد توفره، حتى وإن كانت هذه الثغرة بالذات من نوع zero-day تثبت أن التصحيح وحده ليس درعًا كاملاً. تجنب تشغيل البرامج غير المألوفة أو غير الموقعة، لأن الوصول الأولي عادةً ما يكون الجزء الأصعب في أي سلسلة هجوم حقيقية. وإذا كنت تدير نقاط نهاية متعددة، ففكر في استخدام أدوات كشف لنقاط النهاية يمكنها رصد تغييرات الصلاحيات غير المعتادة بدلاً من الاعتماد فقط على التكوين الافتراضي لـ Defender.
من غير المرجح أن يكون ShieldBreak الفصل الأخير في هذه القصة. وطالما استمر الباحثون في نشر استغلالات تعمل قبل إصدار الإصلاحات، فإن مستخدمي ويندوز أفضل حالًا عندما يتعاملون مع الأمن كممارسة مستمرة وليس كمربع يتم وضع علامة عليه بعد كل دورة تحديث.
