ثغرات أمنية في "ويندوز" و"كروم" استُغلّت في شنّ هجمات دقيقة التوجيه

اكتشف خبراء كاسبرسكي في إبريل الماضي عددًا من الهجمات التي شُنّت بتوجيه دقيق ضد العديد من الشركات التي تستغلّ مجموعة لم تكن مكتشفة سابقًا من ثغرات "يوم الصفر" Zero-day في المتصفح "كروم" من "جوجل" Google Chrome وفي نظام التشغيل "ويندوز" من "مايكروسوفت" Microsoft Windows، والتي تتيح للمجرمين الذين يكتشفون وجودها شنّ هجمات مباغتة.

واستخدمت إحدى الثغرات لتنفيذ شيفرة عن بُعد في متصفح الويب الشهير "كروم"، في حين تمثلت الأخرى في رفع مستوى الامتياز بعد أن ضُبطت بدقة لاستهداف أحدث إصدارات النظام "ويندوز 10". ويستغل الهجوم الأخير في الواقع ثغرتين أمنيتين في نواة نظام تشغيل مايكروسوفت الشهير: ثغرة تتيح الكشف عن المعلومات، ومنحت الرمز CVE-2021-31955، وثغرة رفع مستوى الامتياز CVE-2021-31956.

وأصدرت ونفّذت مايكروسوفت أمس الثلاثاء تصحيحًا لكلتي الثغرتين ضمن ما أصبح متعارفًا عليه في عالم البرمجيات بتصحيحات "يوم الثلاثاء" البرمجية.

وشهدت الأشهر القليلة الماضية موجة من التهديدات المتقدمة التي تستغل ثغرات "يوم الصفر" الموجودة في أنظمة قائمة وعاملة. وفي منتصف إبريل، اكتشف خبراء كاسبرسكي موجة جديدة من هجمات الاستغلال دقيقة التوجيه التي شُنّت ضد العديد من الشركات وسمحت للمهاجمين باختراقها خلسة.

ولم تعثر كاسبرسكي حتى الآن على صلة بين هذه الهجمات وأية جهات تخريبية معروفة. لذلك، أطلقت على الجهة التي تقف وراءها اسم PuzzleMaker.

ونُفّذت جميع الهجمات من خلال "كروم" مستغلّة ثغرة أمنية سمحت بتنفيذ الشيفرات البرمجية عن بُعد. وبينما لم يتمكن باحثو كاسبرسكي من استرداد هذه الشيفرات، يشير الجدول الزمني والتوافر إلى أن المهاجمين قد استغلوا الثغرة الأمنية CVE-2021-21224 التي أضحت الآن مُصحَّحة وغير موجودة. وقد ارتبطت هذه الثغرة الأمنية بخلل برمجي يتعلق بعدم تطابق النوع في محرك "جافا سكريبت" V8 المستخدم في متصفحات الويب "كروم" و"كروميوم" Chromium. وسمحت الثغرة للمهاجمين باستغلال إجراءات العارض في "كروم" (المسؤولة عما يحدث داخل تبويبات المتصفح).

لكن خبراء كاسبرسكي استطاعوا إيجاد حادث الاستغلال الثاني وتحليله، والمتمثل برفع مستوى الامتياز عبر استغلال ثغرتين مختلفتين في نواة نظام التشغيل "ويندوز"، الأولى ثغرة أمنية تؤدي إلى الكشف عن معلومات حساسة تتعلق بالنواة، مُنحت الرمز CVE-2021-31955. وترتبط هذه الثغرة تحديدًا بميزة SuperFetch التي ظهرت لأول مرة في نسخة "فيستا" من "ويندوز" Windows Vista وتهدف إلى تقليل أوقات تحميل البرمجيات عن طريق التحميل المسبق في الذاكرة للتطبيقات شائعة الاستخدام.

أما الثغرة الأمنية الثانية، المتعلقة برفع مستوى الامتياز، فسمحت للمهاجمين باستغلال النواة والحصول على امتياز وصول مرتفع إلى الحاسوب، ومنحت الرمز CVE-2021-31956. واستخدم المهاجمون هذه الثغرة الأمنية بجانب أداة تنبيهات ويندوز WNF لإنشاء ذاكرة عشوائية بسيطة للقراءة/الكتابة وتنفيذ وحدات البرمجيات الخبيثة بامتياز النظام.

وبعد استغلال المهاجمين للثغرات في إيجاد موطئ قدم في النظام المستهدف، تقوم وحدة إدارة مراحل الهجوم بتنزيل أداة خاصة بإطلاق البرمجيات الخبيثة وتنفيذها. وتتسم هذه الوحدة بالتعقيد ويجري تنزيلها من خادم بعيد. وتعمل أداة الإطلاق هذه بدورها على تثبيت ملفين تنفيذيين مستترين بهيئة ملفين أصليين من ملفات النظام "ويندوز"، أحدهما عبارة عن وحدة shell يمكن التحكم بها عن بُعد لتنزيل الملفات وتحميلها وإنشاء العمليات والركون لفترات زمنية معينة، وحتى حذف نفسها من النظام المصاب.

وقد أصدرت ونفّذت مايكروسوفت أمس الثلاثاء تصحيحًا لكلتي الثغرتين ضمن ما أصبح متعارفًا عليه بتصحيحات "يوم الثلاثاء" البرمجية.

وبالرغم من دقة توجيه هذه الهجمات، لم يجد خبراء كاسبرسكي أي رابط بينها وبين أية جهة تخريبية معروفة، وفق ما أوضح بوريس لارين الباحث الأمني الأول في فريق البحث والتحليل العالمي التابع لكاسبرسكي، مؤكدا إن هذا الأمر دفع فريقه إلى إطلاق الاسم PuzzleMaker على الجهة التخريبية التي تقف وراء الهجمات.

وأضاف: "سنراقب عن كثب المشهد الأمني لنشاط هذه المجموعة وكل ما يمكن أن يكون على صلة بها، وبشكل عام، رأينا حديثًا عدّة موجات من أنشطة التهديدات البارزة التي استغلت ثغرات أمنية برمجية من نوع "يوم الصفر"، ما يُعدّ تنبيهًا بأن هذا النوع من الهجمات ما زال طريقة فعالة لإصابة الأهداف. ومن الممكن الآن أن نشهد زيادة في استغلال هذه الثغرات، بعد الإعلان عنها، من قبل هذه الجهة وجهات تخريبية أخرى. لذلك من المهم أن يبادر المستخدمون إلى تنزيل أحدث إصدار من "ويندوز" في أقرب فرصة ممكنة".