يواجه مضاد الفيروسات المدمج من مايكروسوفت فترة عصيبة. ثغرة مُستغَلّة كُشِف عنها حديثًا تُدعى ShieldCrash تتجاوز أحدث تصحيح لـ Windows Defender، وهي تفعل ذلك على أجهزة محدَّثة بالكامل. بالنسبة لأداة أمنية يعتمد عليها ملايين مستخدمي Windows افتراضيًا، هذه ليست مشكلة صغيرة. كما أنها ليست المرة الأولى التي يحدث فيها ذلك في الذاكرة القريبة، وهذا ما يجعل ثغرة يوم-صفر في Microsoft Defender هذه جديرة بالانتباه.
نمط من التصحيحات التي لا تصمد
لم تظهر هذه الثغرة التجاوزية الأخيرة من العدم. فهي تأتي بعد سلسلة من الإفصاحات التي استهدفت Windows Defender، بما في ذلك ثغرة عالية الخطورة تُلقَّب بـ RoguePlanet، ويُشار إليها أيضًا بـ ShieldBreak في تقارير سابقة، والتي تمكنت هي نفسها من التحايل على تصحيح سابق. وفي الوقت نفسه تقريبًا، تركت ثغرة أخرى متتبَّعة بشكل منفصل وتُدعى أيضًا ShieldBreak فرق الأمن بـلا تصحيح رسمي ومهلة 14 يومًا من CISA لتأمين الأنظمة الفيدرالية.
أصدرت مايكروسوفت في النهاية تصحيحًا لتلك المشكلة. وShieldCrash هو ما حدث بعد ذلك: إثبات مفهوم يتجاوز ذلك التصحيح نفسه، محوِّلًا ما كان يُفترض أن يكون فصلًا مغلقًا إلى فصل مفتوح مرة أخرى. أصبح النمط الآن مألوفًا بما يكفي لوصفه بمفرده: تُكتشف ثغرة، وتُصحّحها مايكروسوفت، وفي غضون فترة قصيرة نسبيًا، تهزم تقنية جديدة هذا التصحيح.
ما الذي يفعله ShieldCrash فعليًا
المشكلة الجوهرية سهلة الشرح حتى دون تفاصيل تقنية عميقة. من المفترض أن يكتشف Windows Defender النشاط الخبيث ويمنعه قبل أن يُحدث ضررًا. عندما تنجح ثغرة تجاوزية مثل ShieldCrash حتى على الأنظمة التي ثبَّتت بالفعل أحدث تحديث أمني، فهذا يعني أن طبقة الحماية التي يعتمد عليها معظم مستخدمي Windows لا يمكن افتراض أنها تعمل كما يُعلن عنها، بغض النظر عن مدى حداثة النظام ظاهريًا. وكما ورد في تغطية سابقة لثغرة ShieldCrash، تستهدف الثغرة تحديدًا الأجهزة التي ثبَّتت بالفعل التصحيح المخصص لسد الثغرة السابقة، وهذا ما يميزها عن الإفصاح الروتيني عن ثغرة.
بالنسبة للمستخدمين العاديين، تهم النتيجة العملية أكثر من الآليات التقنية: نظام Windows المُصحَّح بالكامل ليس تلقائيًا نظامًا محميًا بالكامل. هذا التمييز يسهل إغفاله عندما يُبلّغ Windows Update عن أن كل شيء محدَّث.
تداعيات الخصوصية لمضاد فيروسات معطوب
هنا تخرج القصة من نطاق خلل تقني ضيق إلى شيء يمس الخصوصية اليومية. فأدوات مضاد الفيروسات وحماية نقاط النهاية لا تتعلق فقط بصد الفيروسات بالمعنى القديم. يحتل Defender موقعًا مميزًا على النظام، فهو يفحص الملفات ويراقب العمليات ويعمل كخط دفاع أخير ضد البرمجيات الخبيثة التي تسرق بيانات الاعتماد أو تسجل ضغطات المفاتيح أو تستخرج الملفات الشخصية. وعندما يمكن تجاوز هذا الدفاع، فإن الخطر ليس نظريًا. فبرمجيات سرقة المعلومات وبرمجيات التجسس وأدوات الوصول عن بُعد هي بالضبط أنواع البرمجيات الخبيثة التي تزدهر عندما تفشل حماية نقاط النهاية بصمت، لأن المستخدم لا يرى أي علامة مرئية على وجود خطب ما.
كما أن الثغرات التجاوزية المتكررة تقوّض نوعًا آخر من الثقة: الافتراض بأن تثبيت التحديثات يعني أنك بأمان. هذا الافتراض يقوم عليه الكثير من السلوك الأمني اليومي، من الخدمات المصرفية عبر الإنترنت إلى تخزين المستندات الحساسة محليًا. وعندما تُلتفّ التصحيحات حولها خلال أسابيع، يحتاج هذا الافتراض إلى مراجعة، على الأقل لأي شخص يتعامل مع بيانات شخصية أو مالية حساسة على Windows.
ماذا يعني هذا لك
إذا كنت تعتمد على Windows Defender كخط دفاعك الوحيد، فهذه لحظة معقولة لإعادة التقييم، لا للذعر. فالإفصاحات عن ثغرات يوم-صفر كهذه تتطلب عادةً وصولًا محليًا أو ظروفًا محددة للاستغلال، ولمايكروسوفت سجل في الاستجابة، حتى لو لم تصمد التصحيحات دائمًا. لكن الخلاصة الأكبر هي أنه لا ينبغي التعامل مع أي أداة أمنية واحدة، مهما كانت مدمجة جيدًا في نظام التشغيل، على أنها معصومة من الخطأ.
من الخطوات العملية الجديرة بالاتخاذ الآن إبقاء التحديثات التلقائية مفعّلة حتى تتلقى التصحيحات فور صدورها، وتجنّب التنزيلات من مصادر غير موثوقة ما دامت هذه المشكلة دون حل، والتفكير في طبقات حماية إضافية مثل أداة أمنية ثانوية موثوقة أو عادات تصفح أكثر حذرًا للحسابات الحساسة. وينبغي لفرق تقنية المعلومات في المؤسسات على وجه الخصوص متابعة تنبيهات مايكروسوفت عن كثب والاستعداد لتطبيق التصحيحات اللاحقة بسرعة، لأن هذا النمط يشير إلى احتمال صدور مزيد من التحديثات.
الطبيعة المتكررة لهذه الثغرات التجاوزية في Windows Defender تذكّرنا بأن الأمن طبقات، وليس نقطة واحدة. والبقاء على اطلاع بالإفصاحات مثل ShieldCrash، وتطبيق التحديثات فورًا، وعدم الاعتماد على أي أداة واحدة كشبكة أمان كاملة، هي أكثر الطرق عملية للبقاء متقدمين على مشكلة لم تغلقها مايكروسوفت بالكامل بعد.
