منعت تقنيات مركز الأبحاث الروسي كاسبرسكي للكشف المؤتمت عن التهديدات هجومًا موجهًا على شركة كورية جنوبية، كشف التحليل الدقيق أنه استغلّ سلسلة كاملة مجهولة تتألف من ثغرتين برمجيتين يمكن عبرهما شنّ هجمات بلا انتظار (Zero-day). واستغل المهاجمون إحدى الثغرتين والموجودة في الإصدار 11 من “إنترنت إكسبلورر” Internet Explorer 11 في تنفيذ شيفرة برمجية خبيثة عن بُعد، كما استغلوا الثغرة الأخرى الموجودة في النظام “ويندوز” Windows في رفع امتيازات الوصول EoP، وذلك في أحدث نسخ الإصدار العاشر من نظام التشغيل الشهير.
وتعد الثغرة المعروفة بـ”هجوم بلا انتظار” أو Zero-day نوعًا من الأخطاء البرمجية التي توجد في النظام أو التطبيق البرمجي من دون أن تعرف بها الجهة المطوّرة. ويمكن لمجرمي الإنترنت بمجرد اكتشافها تنفيذ أنشطة تخريبية في غطاء من السريّة، ما يتسبب في إلحاق أضرار جسيمة بالجهة المستهدفة.
وتمكن الباحثين، أثناء التحقيق في الهجوم المذكور، من العثور على ثغرتين، أولاهما الموجودة في تطبيق Internet Explorer هي Use-After-Free، وتُعدّ نوعًا من الثغرات الأمنية القادرة على تمكين مستغليها من تنفيذ شيفرات برمجية كاملة عن بُعد. ومنحت هذه الثغرة الرمز CVE-2020-1380.
لكن المهاجمون احتاجوا إلى الحصول على مزيد من الامتيازات على الجهاز المصاب، نظرًا لأن Internet Explorer يعمل في بيئة معزولة، ما استدعى استغلالهم للثغرة الأمنية الثانية الموجودة في “ويندوز”، وتحديدًا في خدمة الطباعة، والتي سمحت للمهاجمين بتنفيذ شيفرة برمجية عشوائية على جهاز الضحية. وقد مُنحت هذه الثغرة التي مكّنت المهاجمين من رفع امتيازات الوصول الرمز CVE-2020-0986.
وقال بوريس لارين الخبير الأمني في كاسبرسكي، إن شنّ هجمات “بلا انتظار” التي تستغِلّ الثغرات البرمجية في أنظمة التشغيل والتطبيقات “يثير اهتمام مجتمع الأمن الرقمي”، مؤكّدًا أن النجاح في اكتشاف مثل هذه الثغرات الأمنية “يدفع المطورين إلى المسارعة لإصدار تصحيحات برمجية في تحديثات خاصة، في حين يُطالَب المستخدمون بدورهم بالمسارعة إلى تثبيتها”، وأضاف: “كانت الثغرات السابقة التي وجدناها تتعلق أساسًا برفع الامتيازات، لكن ما يُثير الاهتمام في هذا الهجوم المكتشف أنه يتضمن استغلالًا يتمتع بإمكانات تنفيذ الشيفرات البرمجية عن بُعد، ما يجعله أكثر خطورة، كما أن الهجوم الذي يتسم بالقدرة على التأثير في أحدث إصدارات Windows 10، يُعدّ أمرًا نادر الحدوث في الوقت الراهن، وهو يذكرنا بأهمية الاستثمار في معلومات التهديدات البارزة وتقنيات الحماية التي أثبتت قوتها وجدواها، حتى نتمكن من الكشف استباقيًا عن أحدث التهديدات المتعلقة باستغلال الثغرات”.
واستطاع خبراء كاسبرسكي أن ينسبوا هذا الهجوم إلى عصابة DarkHotel، بمستوى ثقة متوسط، بناءً على أوجه تشابه ضعيفة بين الاستغلال الجديد لهذه الثغرات وعمليات استغلال مكتشفة سابقًا لثغرات أخرى، نُسبت إلى هذه الجهة التخريبية.
هذا وقد جرى إصدار تصحيح خاص لثغرة رفع مستوى الامتيازات CVE-2020-0986 في 9 يونيو 2020. كما صدر تصحيح للثغرة الأمنية التي تسمح بتنفيذ الشيفرات البرمجية عن بُعد CVE-2020-1380 في 11 أغسطس 2020.
وتوصي كاسبرسكي بالحرس على المسارعة إلى تثبيت تصحيحات مايكروسوفت للثغرات الأمنية الجديدة في أسرع وقت ممكن. بمجرد تنزيل كلا التصحيحين، تصبح الجهات التخريبية عاجزة عن استغلال الثغرتين الأمنيتين المكتشفتين.؛
