ثغرة جديدة في ويندوز، أثارت جدلاً واسعاً بعد الحديث عن قدرتها المزعومة على تجاوز حماية BitLocker، في وقت تتصاعد فيه المخاوف من الأدوات المنشورة علناً وما قد تسببه من استغلال عملي سريع، خاصة مع ارتباطها بأجهزة خضعت مسبقاً لفحص Microsoft Defender Offline.
تفاصيل الثغرة والأداة المرتبطة بها
أفاد الباحث الأمني المعروف باسم Nightmare Eclipse بأنه اكتشف أداة استغلال تحمل اسم GreatXML، وذكر أنها تعمل في بيئات محددة سبق أن أجري عليها مسح باستخدام Microsoft Defender Offline، كما قام بنشر كود الاستغلال على GitHub ومنصة أخرى، واصفاً الأمر بأنه اكتشاف جاء بالصدفة، وهو ما زاد الاهتمام التقني والإعلامي بهذه القضية.
وبحسب ما نُقل عن وصف الهجوم، فإن آلية التنفيذ تعتمد على نسخ ملفات معينة إلى قسم الاسترداد، ثم إعادة تشغيل الجهاز إلى بيئة استرداد ويندوز، وإذا نجحت الخطوات، يمكن للمهاجم الوصول إلى نافذة أوامر تمنحه صلاحيات تتيح التعامل مع وحدة BitLocker المحمية، ومع ذلك فإن هذه الرواية لم تمر من دون تشكيك، إذ يرى بعض المختصين أن المسار المزعوم لا يبدو بسيطاً ولا مباشراً.
كيف يُقال إن الهجوم يعمل؟
تقوم الفكرة المطروحة على سلسلة من الخطوات التقنية التي يفترض أن تُنفذ بدقة، وهي تتطلب، وفق ما ورد، المرور عبر بيئة استرداد النظام والاستفادة من ملفات محددة في القسم الخاص بالاستعادة، ويشير الباحثون المتحفظون إلى أن هذه العملية تبدو معقدة، كما أنها قد لا تكون قابلة للتطبيق في جميع الحالات بالسهولة التي يوحي بها وصف الأداة.
- نسخ ملفات محددة إلى قسم الاسترداد: تبدأ العملية، وفق الادعاء، بوضع ملفات معينة في مكان مخصص داخل بيئة الاستعادة.
- إعادة تشغيل الجهاز إلى بيئة استرداد ويندوز: بعد النسخ، يُعاد تشغيل النظام للدخول إلى بيئة الاسترداد الخاصة بويندوز.
- فتح نافذة أوامر بصلاحيات عالية: إذا نجحت الخطوات، يمكن الوصول إلى shell يتيح التعامل مع البيانات الموجودة على وحدة BitLocker المحمية.
لماذا يشكك الخبراء في الادعاء؟
تزايدت علامات الاستفهام بعد أن أشار الباحث الأمني Will Dormann إلى أن ما جرى تداوله يبدو شديد التعقيد، وأنه قد يفترض امتلاك صلاحيات إدارية مسبقاً، وهو ما يقلل من صورة الثغرة كوسيلة مباشرة لتجاوز BitLocker، كما أن هذا النوع من الادعاءات يحتاج عادة إلى اختبارات مستقلة قبل اعتباره تهديداً مؤكداً على نطاق واسع.
- الحاجة إلى صلاحيات إدارية مسبقة: يرى بعض الخبراء أن الاستغلال قد لا يكون فعالاً من دون امتيازات موجودة أصلاً.
- تعقيد الخطوات المطلوبة: توحي الآلية المعلنة بأنها ليست بسيطة التنفيذ، خاصة في البيئات المحمية جيداً.
- غياب التوافق الكامل على النتيجة: لا يزال الجدل قائماً حول مدى واقعية تجاوز BitLocker بالطريقة المذكورة.
ما علاقة RoguePlanet بالمشهد الحالي؟
تأتي قضية GreatXML في وقت لم يهدأ فيه الجدل بعد حول ثغرة أخرى تحمل اسم RoguePlanet، والتي تستهدف Microsoft Defender وتسمح، بحسب ما تم تداوله، بالحصول على صلاحيات SYSTEM، وهذا التتابع في كشف أدوات الاستغلال يضع مسؤولي الأنظمة أمام ضغط إضافي، ويجعل متابعة التحديثات والاستجابة الأمنية أكثر إلحاحاً.
كما أن نشر أدوات الاستغلال بصورة عامة يخلق خطراً مضاعفاً، لأن الأبحاث غير المؤكدة قد تتحول بسرعة إلى تجارب عملية لدى المهاجمين، حتى قبل صدور حسم نهائي من الشركة أو اكتمال التقييمات الفنية، وهو ما يجعل مراقبة المشهد الأمني ضرورة لا خياراً.
ما الإجراءات التي ينصح بها خبراء الأمن؟
مع استمرار الجدل حول حقيقة GreatXML، يوصي المختصون باتخاذ خطوات وقائية واضحة، خصوصاً بعد طرح تحديثات مايكروسوفت الأمنية لشهر يونيو، ومع الحاجة إلى حماية الأجهزة التي قد تكون معرضة للوصول الجسدي أو المفقودة، لأن هذه الفئة تبقى الأكثر حساسية في سياق الهجمات المرتبطة بالتخزين المشفر.
- تطبيق تحديثات مايكروسوفت الأمنية لشهر يونيو: لتقليل فرص التعرض للثغرات التي جرى تداولها مؤخراً.
- إعطاء الأولوية للأجهزة المعرضة للخطر: خاصة نقاط النهاية التي قد تكون هدفاً سهلاً للمهاجمين.
- تشديد الحماية على الأجهزة ذات الوصول الجسدي: لأن وجود الجهاز في متناول اليد يزيد من مستوى المخاطر.
ما الذي يجب فهمه الآن؟
المشهد الحالي يعكس حالة من التوتر بين الادعاءات التقنية والتحقق الأمني، فبين من يرى GreatXML تهديداً حقيقياً وبين من يعتبره مبالغاً فيه أو مشروطاً بامتيازات مسبقة، تبقى الحقيقة النهائية مرتبطة بالاختبار والتدقيق، وفي هذه الأثناء تظل المتابعة الدقيقة للتحديثات والاعتماد على ممارسات الحماية السليمة أمراً أساسياً، وتقدم بوابة مصر هذا الملخص لمساعدة القراء على فهم التطورات الأمنية الجارية بصورة أوضح.
