يستغل المتسللون ثغرة غير معروفة سابقًا في نظام التشغيل Windows ، ولكن من غير المحتمل أن تقوم Microsoft بإصلاحه حتى منتصف الشهر المقبل. تؤثر الثغرة الأمنية على نظام التشغيل Windows 7 حتى Windows 10.

لذلك يقول الباحثون في Project Zero التابع لشركة Google ، والذين كشفوا أيضًا أن استغلال Windows كان عادلاً الخطوة الثانية في اللكمة الثنائية التي يستخدمها المهاجمون عن بعد للسيطرة على أجهزة الكمبيوتر. الخطوة الأولى هي عيب Chrome تم الكشف عنه (وتصحيحه) الأسبوع الماضي.

  • تم الكشف عن ثغرة أمنية خطيرة في Chrome - كيفية التحديث الآن
  • ال أفضل مضاد فيروسات برنامج للحفاظ على جهاز الكمبيوتر الخاص بك آمنًا

"نتوقع حاليًا أن يتوفر تصحيح لهذه المشكلة [Microsoft] في 10 نوفمبر" ، أو يوم الثلاثاء التالي من Microsoft Patch ، على تويتر ، بن هوكس ، المسؤول التقني في Project Zero. "لقد أكدنا مع مدير مجموعة تحليل التهديدات في Google ، شين هنتلي (ShaneHuntley) ، أن هذا استغلال مستهدف ولا علاقة له بأي استهداف متعلق بالانتخابات الأمريكية."

نتوقع حاليًا أن يتوفر تصحيح لهذه المشكلة في 10 نوفمبر. لقد أكدنا مع مدير مجموعة تحليل التهديدات في Google ، شين هنتلي (ShaneHuntley) ، أن هذا استغلال مستهدف ولا يتعلق بأي استهداف متعلق بالانتخابات الأمريكية.

30 أكتوبر 2020

يتطلب استغلال Windows وصولاً محليًا ، أي من قبل شخص أو برنامج لديه بالفعل وصول إلى الجهاز ، لذا فهو بحد ذاته ليس تهديدًا مباشرًا.

لكن عيب Chrome الذي تم دمجه معه يمكن استغلاله عن بُعد ، مما يجعل الأمور أسوأ بكثير. يمكن لمرفق بريد إلكتروني أو موقع ويب ضار استخدام خطأ Chrome للهروب من "وضع الحماية" في المتصفح ثم استخدام ثغرة Windows للسيطرة على الجهاز.

يعبث الاستغلال مع المدخلات العددية في برنامج تشغيل التشفير ، مما يسمح للمهاجم بالكتابة فوق بعض قطاعات الذاكرة وتشغيل الكود الخاص به. نشر ماتيوز جورتشيك وسيرجي جلازونوف من Project Zero كود إثبات المفهوم الذي قد يتسبب في تعطل النظام مدونة Project Zero الرسمية، ولكن يبدو أن المزيد من النتائج الشائنة ممكنة.

عندما سئل دليل توم عن هذا الأمر ، أجابت مايكروسوفت بالبيان التالي.

"تلتزم Microsoft بالتزام العميل بالتحقيق في مشكلات الأمان المبلغ عنها وتحديث الأجهزة المتأثرة لحماية العملاء. بينما نعمل على الوفاء بالمواعيد النهائية لجميع الباحثين للإفصاحات ، بما في ذلك المواعيد النهائية قصيرة الأجل كما في هذا السيناريو ، تطوير الأمان التحديث هو توازن بين حسن التوقيت والجودة ، وهدفنا النهائي هو المساعدة في ضمان أقصى حماية للعملاء مع الحد الأدنى من العملاء اضطراب."

كيف تحمي نفسك من نظام التشغيل Windows Zero-Day

حتى تُصدر Microsoft تصحيحًا ، فإن أفضل طريقة لحماية نفسك من عيب Windows هذا هي ، ومن المفارقات ، تحديث Chrome و Edge و Brave و Opera و Vivaldi والمتصفحات الأخرى المستندة إلى Chromium إلى الأحدث الإصدار.

في Chrome والعديد من المتصفحات الأخرى ، ما عليك سوى النقر فوق رمز الإعدادات في أعلى يمين ملف نافذة المتصفح - ستبدو على شكل ثلاثة أسطر أو ثلاث نقاط - ثم قم بالتمرير لأسفل إلى Help أو حول.

بمجرد العثور على حول ، انقر فوق ذلك ، وسيتم فتح علامة تبويب جديدة ستتحقق تلقائيًا من وجود تحديث. إذا كان أحدها متاحًا ، فسيقوم المتصفح بتنزيل التحديث ويطالبك بإعادة التشغيل.

أحدث إصدار من Brave and Chrome هو 86.0.4240.111. في Edge ، تبلغ القيمة 86.0.622.58. (يتضمن الأخير إصلاح أمان Chromium ، لكل مستشار أمان Microsoft.)

ستحتاج أيضًا إلى تشغيل بعض ملفات أفضل مضاد فيروسات البرمجيات. حتى الآن ، تم استخدام هذين العيبين في هجمات مستهدفة ضد أفراد أو منظمات مختارة ، على الأرجح من قبل مهاجمي الدولة القومية أو الجماعات الإجرامية الممولة تمويلًا جيدًا.

ولكن الآن بعد أن تم الكشف عن السر ، من الممكن أن يقوم مشغلو البرامج الضارة بدمج استغلال Windows هذا في أكياس الحيل الخاصة بهم. إذا تمكنوا من الحصول على البرامج الضارة على جهازك بوسائل أخرى ، فلن يحتاجوا إلى استخدام اختراق Chrome.

هل السبعة أيام كافية حقًا لإصلاح الخلل؟

فلماذا كشفت Google وأظهرت ثغرة في الثغرة الأمنية التي ربما لن يتم إصلاحها حتى يوم الثلاثاء في نوفمبر؟ كل ذلك جزء من سياسة Google الصارمة فيما يتعلق بالعيوب التي يتم استغلالها بشكل نشط.

"لدينا دليل على أن الخطأ التالي يتم استخدامه في البرية" ، يقرأ إخلاء المسؤولية في الجزء العلوي ، وكذلك في الجزء السفلي ، من منشور Project Zero. "لذلك ، يخضع هذا الخطأ لمهلة 7 أيام للإفصاح".

بمعنى آخر ، تشير Google إلى أنه تم إخبار Microsoft بهذا العيب في أكتوبر. 22 ، وهو نفس اليوم الذي تم فيه كتابة منشور مدونة Project Zero. (تم الاحتفاظ بنشر المدونة خاصًا حتى ظهر اليوم بالتوقيت الشرقي ، أكتوبر. 30.) 

الآن وقد انتهت الأيام السبعة ، وفقًا لمنطق Google ، يجب أن يعرف العالم حتى يتمكن مستخدمو Windows من حماية أنفسهم بشكل مناسب.

لا تتوافق هذه الشفافية دائمًا مع الشركات التي يتم الكشف عن غسيلها المتسخ. لقد اشتكت Microsoft من قبل ، أبرزها في عام 2015 عندما كشفت Google عن ثغرات Windows قبل يومين من الموعد المقرر لإصلاحها.

العام الماضي، انتقدت شركة آبل جوجل للتفاصيل نصف دزينة من العيوب في iOS التي استخدمتها السلطات الصينية لسنوات للتجسس على هواتف iPhone للأقليات العرقية. لا تهتم بأن Google قد انتظرت ستة أشهر حتى بعد أن أصلحت شركة Apple الأمور لتُعلن.

احصل على وصول فوري إلى الأخبار العاجلة وأهم المراجعات والصفقات الرائعة والنصائح المفيدة.

شكرًا لك على الاشتراك في دليل Tom. سوف تتلقى رسالة بريد إلكتروني للتحقق قريبا.

كان هناك مشكلة. يرجى تحديث الصفحة وحاول مرة أخرى.

لا بريد مزعج ، نحن نعد. يمكنك إلغاء الاشتراك في أي وقت ولن نشارك بياناتك مطلقًا دون إذنك.