المصدر -
في أواخر ربيع العام الجاري، منعت تقنيات كاسبرسكي للكشف المؤتمت عن التهديدات هجومًا موجهًا على شركة كورية جنوبية، كشف التحليل الدقيق أنه استغلّ سلسلة كاملة مجهولة تتألف من ثغرتين برمجيتين يمكن عبرهما شنّ هجمات بلا انتظار (Zero-day). واستغل المهاجمون إحدى الثغرتين والموجودة في الإصدار 11 من "إنترنت إكسبلورر" Internet Explorer 11 في تنفيذ شيفرة برمجية خبيثة عن بُعد، كما استغلوا الثغرة الأخرى الموجودة في النظام "ويندوز" Windows في رفع امتيازات الوصول EoP، وذلك في أحدث نسخ الإصدار العاشر من نظام التشغيل الشهير.
وتُعدّ الثغرة المعروفة بـ "هجوم بلا انتظار" أو Zero-day نوعًا من الأخطاء البرمجية التي توجد في النظام أو التطبيق البرمجي من دون أن تعرف بها الجهة المطوّرة. ويمكن لمجرمي الإنترنت بمجرد اكتشافها تنفيذ أنشطة تخريبية في غطاء من السريّة، ما يتسبب في إلحاق أضرار جسيمة بالجهة المستهدفة.
وتمكن باحثو كاسبرسكي، أثناء التحقيق في الهجوم المذكور، من العثور على ثغرتين، أولاهما الموجودة في تطبيق Internet Explorer هي Use-After-Free، وتُعدّ نوعًا من الثغرات الأمنية القادرة على تمكين مستغليها من تنفيذ شيفرات برمجية كاملة عن بُعد. وقد مُنحت هذه الثغرة الرمز CVE-2020-1380.
لكن المهاجمون احتاجوا إلى الحصول على مزيد من الامتيازات على الجهاز المصاب، نظرًا لأن Internet Explorer يعمل في بيئة معزولة، ما استدعى استغلالهم للثغرة الأمنية الثانية الموجودة في "ويندوز"، وتحديدًا في خدمة الطباعة، والتي سمحت للمهاجمين بتنفيذ شيفرة برمجية عشوائية على جهاز الضحية. وقد مُنحت هذه الثغرة التي مكّنت المهاجمين من رفع امتيازات الوصول الرمز CVE-2020-0986.
وقال بوريس لارين الخبير الأمني في كاسبرسكي، إن شنّ هجمات "بلا انتظار" التي تستغِلّ الثغرات البرمجية في أنظمة التشغيل والتطبيقات "يثير اهتمام مجتمع الأمن الرقمي"، مؤكّدًا أن النجاح في اكتشاف مثل هذه الثغرات الأمنية "يدفع المطورين إلى المسارعة لإصدار تصحيحات برمجية في تحديثات خاصة، في حين يُطالَب المستخدمون بدورهم بالمسارعة إلى تثبيتها"، وأضاف: "كانت الثغرات السابقة التي وجدناها تتعلق أساسًا برفع الامتيازات، لكن ما يُثير الاهتمام في هذا الهجوم المكتشف أنه يتضمن استغلالًا يتمتع بإمكانات تنفيذ الشيفرات البرمجية عن بُعد، ما يجعله أكثر خطورة، كما أن الهجوم الذي يتسم بالقدرة على التأثير في أحدث إصدارات Windows 10، يُعدّ أمرًا نادر الحدوث في الوقت الراهن، وهو يذكرنا بأهمية الاستثمار في معلومات التهديدات البارزة وتقنيات الحماية التي أثبتت قوتها وجدواها، حتى نتمكن من الكشف استباقيًا عن أحدث التهديدات المتعلقة باستغلال الثغرات".
وقد استطاع خبراء كاسبرسكي أن ينسبوا هذا الهجوم إلى عصابة DarkHotel، بمستوى ثقة متوسط، بناءً على أوجه تشابه ضعيفة بين الاستغلال الجديد لهذه الثغرات وعمليات استغلال مكتشفة سابقًا لثغرات أخرى، نُسبت إلى هذه الجهة التخريبية.
ويمكن الوصول إلى معلومات تفصيلية حول مؤشرات الاختراق المتعلقة بهذه العصابة، بما يتضمّن تجزئات الملفات وخوادم القيادة والسيطرة، عبر بوابة Kaspersky Threat Intelligence Portal.
يُذكر أن منتجات كاسبرسكي تكتشف هذه الثغرات من خلال الرمز PDM:Exploit.Win32.Generic.
هذا وقد جرى إصدار تصحيح خاص لثغرة رفع مستوى الامتيازات CVE-2020-0986 في 9 يونيو 2020. كما صدر تصحيح للثغرة الأمنية التي تسمح بتنفيذ الشيفرات البرمجية عن بُعد CVE-2020-1380 في 11 أغسطس 2020.
وتوصي كاسبرسكي باتخاذ الإجراءات الأمنية التالية للبقاء في مأمن من التهديدات المرتبطة بالثغرات الأمنية:
• الحرص على المسارعة إلى تثبيت تصحيحات مايكروسوفت للثغرات الأمنية الجديدة في أسرع وقت ممكن. بمجرد تنزيل كلا التصحيحين، تصبح الجهات التخريبية عاجزة عن استغلال الثغرتين الأمنيتين المكتشفتين.
• تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات. وتُعدّ بوابة Kaspersky Threat Intelligence Portal منصة واحدة يمكن للشركات عبرها الوصول إلى أحدث المعلومات الخاصة بالتهديدات، حيث تتاح البيانات المتعلقة بالهجمات الإلكترونية والرؤى التي جمعتها كاسبرسكي بشأنها على مدار أكثر من 20 عامًا.
• الحرص على توظيف حلول مثل Kaspersky Endpoint Detection and Response، الذي يتيح اكتشاف التهديدات عند مستوى النقاط الطرفية والتحقيق فيها والاستجابة لها في الوقت المناسب.
• توظيف حل أمني على المستوى المؤسسي، مثل Kaspersky Anti Targeted Attack Platform، القادر على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة من حصولها.
يمكن الاطلاع على تفاصيل أوفى حول الثغرتين الجديدتين في مدونة Securelist، كما يمكن إلقاء نظرة فاحصة على التقنيات التي استطاعت اكتشاف الثغرتين وغيرهما من الثغرات في النظام "ويندوز"، عبر ندوة الويب المسجّلة من كاسبرسكي والمتاحة للعرض عند الطلب.
وتُعدّ الثغرة المعروفة بـ "هجوم بلا انتظار" أو Zero-day نوعًا من الأخطاء البرمجية التي توجد في النظام أو التطبيق البرمجي من دون أن تعرف بها الجهة المطوّرة. ويمكن لمجرمي الإنترنت بمجرد اكتشافها تنفيذ أنشطة تخريبية في غطاء من السريّة، ما يتسبب في إلحاق أضرار جسيمة بالجهة المستهدفة.
وتمكن باحثو كاسبرسكي، أثناء التحقيق في الهجوم المذكور، من العثور على ثغرتين، أولاهما الموجودة في تطبيق Internet Explorer هي Use-After-Free، وتُعدّ نوعًا من الثغرات الأمنية القادرة على تمكين مستغليها من تنفيذ شيفرات برمجية كاملة عن بُعد. وقد مُنحت هذه الثغرة الرمز CVE-2020-1380.
لكن المهاجمون احتاجوا إلى الحصول على مزيد من الامتيازات على الجهاز المصاب، نظرًا لأن Internet Explorer يعمل في بيئة معزولة، ما استدعى استغلالهم للثغرة الأمنية الثانية الموجودة في "ويندوز"، وتحديدًا في خدمة الطباعة، والتي سمحت للمهاجمين بتنفيذ شيفرة برمجية عشوائية على جهاز الضحية. وقد مُنحت هذه الثغرة التي مكّنت المهاجمين من رفع امتيازات الوصول الرمز CVE-2020-0986.
وقال بوريس لارين الخبير الأمني في كاسبرسكي، إن شنّ هجمات "بلا انتظار" التي تستغِلّ الثغرات البرمجية في أنظمة التشغيل والتطبيقات "يثير اهتمام مجتمع الأمن الرقمي"، مؤكّدًا أن النجاح في اكتشاف مثل هذه الثغرات الأمنية "يدفع المطورين إلى المسارعة لإصدار تصحيحات برمجية في تحديثات خاصة، في حين يُطالَب المستخدمون بدورهم بالمسارعة إلى تثبيتها"، وأضاف: "كانت الثغرات السابقة التي وجدناها تتعلق أساسًا برفع الامتيازات، لكن ما يُثير الاهتمام في هذا الهجوم المكتشف أنه يتضمن استغلالًا يتمتع بإمكانات تنفيذ الشيفرات البرمجية عن بُعد، ما يجعله أكثر خطورة، كما أن الهجوم الذي يتسم بالقدرة على التأثير في أحدث إصدارات Windows 10، يُعدّ أمرًا نادر الحدوث في الوقت الراهن، وهو يذكرنا بأهمية الاستثمار في معلومات التهديدات البارزة وتقنيات الحماية التي أثبتت قوتها وجدواها، حتى نتمكن من الكشف استباقيًا عن أحدث التهديدات المتعلقة باستغلال الثغرات".
وقد استطاع خبراء كاسبرسكي أن ينسبوا هذا الهجوم إلى عصابة DarkHotel، بمستوى ثقة متوسط، بناءً على أوجه تشابه ضعيفة بين الاستغلال الجديد لهذه الثغرات وعمليات استغلال مكتشفة سابقًا لثغرات أخرى، نُسبت إلى هذه الجهة التخريبية.
ويمكن الوصول إلى معلومات تفصيلية حول مؤشرات الاختراق المتعلقة بهذه العصابة، بما يتضمّن تجزئات الملفات وخوادم القيادة والسيطرة، عبر بوابة Kaspersky Threat Intelligence Portal.
يُذكر أن منتجات كاسبرسكي تكتشف هذه الثغرات من خلال الرمز PDM:Exploit.Win32.Generic.
هذا وقد جرى إصدار تصحيح خاص لثغرة رفع مستوى الامتيازات CVE-2020-0986 في 9 يونيو 2020. كما صدر تصحيح للثغرة الأمنية التي تسمح بتنفيذ الشيفرات البرمجية عن بُعد CVE-2020-1380 في 11 أغسطس 2020.
وتوصي كاسبرسكي باتخاذ الإجراءات الأمنية التالية للبقاء في مأمن من التهديدات المرتبطة بالثغرات الأمنية:
• الحرص على المسارعة إلى تثبيت تصحيحات مايكروسوفت للثغرات الأمنية الجديدة في أسرع وقت ممكن. بمجرد تنزيل كلا التصحيحين، تصبح الجهات التخريبية عاجزة عن استغلال الثغرتين الأمنيتين المكتشفتين.
• تزويد فريق مركز العمليات الأمنية بإمكانية الوصول إلى أحدث معلومات التهديدات. وتُعدّ بوابة Kaspersky Threat Intelligence Portal منصة واحدة يمكن للشركات عبرها الوصول إلى أحدث المعلومات الخاصة بالتهديدات، حيث تتاح البيانات المتعلقة بالهجمات الإلكترونية والرؤى التي جمعتها كاسبرسكي بشأنها على مدار أكثر من 20 عامًا.
• الحرص على توظيف حلول مثل Kaspersky Endpoint Detection and Response، الذي يتيح اكتشاف التهديدات عند مستوى النقاط الطرفية والتحقيق فيها والاستجابة لها في الوقت المناسب.
• توظيف حل أمني على المستوى المؤسسي، مثل Kaspersky Anti Targeted Attack Platform، القادر على اكتشاف التهديدات المتقدمة على مستوى الشبكة في مرحلة مبكرة من حصولها.
يمكن الاطلاع على تفاصيل أوفى حول الثغرتين الجديدتين في مدونة Securelist، كما يمكن إلقاء نظرة فاحصة على التقنيات التي استطاعت اكتشاف الثغرتين وغيرهما من الثغرات في النظام "ويندوز"، عبر ندوة الويب المسجّلة من كاسبرسكي والمتاحة للعرض عند الطلب.
