بلو كيب

BlueKeep ( CVE - 2019-0708 ) هي ثغرة أمنية تم اكتشافها في تطبيق بروتوكول سطح المكتب البعيد (RDP) الخاص بشركة Microsoft ، مما يسمح بإمكانية تنفيذ التعليمات البرمجية عن بعد .

تم الإبلاغ عن هذه الثغرة لأول مرة في مايو 2019، وهي موجودة في جميع إصدارات مايكروسوفت ويندوز غير المُحدثة والمبنية على نظام ويندوز NT ، بدءًا من ويندوز 2000 وصولًا إلى ويندوز سيرفر 2008 R2 وويندوز 7. أصدرت مايكروسوفت تحديثًا أمنيًا (يتضمن تحديثًا خاصًا لعدة إصدارات من ويندوز التي انتهى دعمها، مثل ويندوز XP ) في 14 مايو 2019. وفي 13 أغسطس 2019، تم الإبلاغ عن ثغرات أمنية أخرى متعلقة بثغرة BlueKeep، والتي تُعرف مجتمعةً باسم DejaBlue ، وتؤثر على إصدارات ويندوز الأحدث، بما في ذلك ويندوز 7 وجميع الإصدارات الحديثة حتى ويندوز 10 ، بالإضافة إلى الإصدارات الأقدم. ^{[ 3 ]} وفي 6 سبتمبر 2019، تم الإعلان عن إطلاق برنامج استغلال لثغرة BlueKeep الأمنية، القابلة للاستغلال بواسطة دودة، في المجال العام. ^{[ 4 ]}

تم رصد ثغرة BlueKeep الأمنية لأول مرة من قبل المركز الوطني للأمن السيبراني في المملكة المتحدة ^{[ 2 ]} ، وفي 14 مايو 2019، أبلغت عنها شركة مايكروسوفت . أطلق خبير أمن الحاسوب كيفن بومونت على هذه الثغرة اسم BlueKeep على تويتر . يتم تتبع BlueKeep رسميًا تحت الرقم: CVE- 2019-0708 ، وهي ثغرة أمنية تسمح بتنفيذ تعليمات برمجية عن بُعد قابلة للاستغلال . ^{[ 5 ] [ 6 ]}

أكدت كل من وكالة الأمن القومي الأمريكية (التي أصدرت بيانها الخاص بشأن الثغرة الأمنية في 4 يونيو 2019) ^{[ 7 ]} ومايكروسوفت أن هذه الثغرة قد تُستغل من قِبل ديدان ذاتية الانتشار ، حيث ذكرت مايكروسوفت (استنادًا إلى تقدير أحد باحثي الأمن بأن ما يقرب من مليون جهاز معرض للخطر) أن مثل هذا الهجوم النظري قد يكون على نطاق مماثل لهجمات EternalBlue مثل NotPetya و WannaCry . ^{[ 8 ] [ 9 ] [ 7 ]}

في نفس يوم إصدار وكالة الأمن القومي الأمريكية لتحذيرها، كشف باحثون من مركز تنسيق الاستجابة لحوادث أمن الحاسوب (CERT) عن ثغرة أمنية منفصلة متعلقة ببروتوكول سطح المكتب البعيد ( RDP ) في تحديث ويندوز 10 مايو 2019 وويندوز سيرفر 2019 ، مشيرين إلى سلوك جديد يتمثل في تخزين بيانات اعتماد تسجيل الدخول لمصادقة مستوى الشبكة (NLA) الخاصة ببروتوكول سطح المكتب البعيد (RDP) مؤقتًا على نظام العميل، ما يسمح للمستخدم باستعادة الوصول إلى اتصال RDP الخاص به تلقائيًا في حال انقطاع اتصال الشبكة. وقد نفت مايكروسوفت هذه الثغرة الأمنية، معتبرةً إياها سلوكًا مقصودًا، ويمكن تعطيلها عبر سياسة المجموعة . ^{[ 10 ]}

حتى 1 يونيو 2019، لم يكن هناك أي برمجيات خبيثة نشطة معروفة للعامة تستغل هذه الثغرة؛ ومع ذلك، ربما كانت هناك أكواد تجريبية غير معلنة تستغل هذه الثغرة. ^{[ 8 ] [ 11 ] [ 12 ] [ 13 ]} في 1 يوليو 2019، نشرت شركة سوفوس ، وهي شركة أمن بريطانية، تقريرًا عن مثال عملي لمثل هذا الدليل التجريبي، للتأكيد على الحاجة المُلحة لتصحيح هذه الثغرة. ^{[ 14 ] [ 15 ] [ 16 ]} في 22 يوليو 2019، زُعم أن متحدثًا في مؤتمر من شركة أمن صينية كشف عن مزيد من التفاصيل حول استغلال هذه الثغرة. ^{[ 17 ]} في 25 يوليو 2019، أفاد خبراء حاسوب باحتمالية توفر نسخة تجارية من هذه الثغرة. ^{[ 18 ] [ 19 ]} في 31 يوليو 2019، أفاد خبراء الحاسوب بزيادة ملحوظة في نشاط بروتوكول سطح المكتب البعيد (RDP) الخبيث، وحذروا، استنادًا إلى سجلات استغلال ثغرات مماثلة، من أن استغلالًا نشطًا لثغرة BlueKeep في البرية قد يكون وشيكًا. ^{[ 20 ]}

في 13 أغسطس 2019، تم الإبلاغ عن ثغرات أمنية مرتبطة ببرنامج BlueKeep، والتي أطلق عليها مجتمعة اسم DejaBlue ، والتي تؤثر على إصدارات Windows الأحدث، بما في ذلك Windows 7 وجميع الإصدارات الحديثة من نظام التشغيل حتى Windows 10 ، بالإضافة إلى إصدارات Windows الأقدم. ^{[ 3 ]}

في 6 سبتمبر 2019، أُعلن عن تسريب ثغرة أمنية في نظام BlueKeep، قابلة للاستغلال من قِبل البرامج الضارة، إلى العلن. ^{[ 4 ]} إلا أن النسخة الأولية من هذه الثغرة كانت غير موثوقة، إذ عُرفت بتسببها في ظهور شاشة الموت الزرقاء (BSOD). وقد أُعلن لاحقًا عن إصلاحٍ لهذه الثغرة، أزال سبب ظهور شاشة الموت الزرقاء. ^{[ 21 ]}

في 2 نوفمبر 2019، تم الإبلاغ عن أول حملة اختراق واسعة النطاق لشركة BlueKeep، والتي تضمنت مهمة فاشلة لتعدين العملات المشفرة . ^{[ 22 ]}

في 8 نوفمبر 2019، أكدت مايكروسوفت وقوع هجوم BlueKeep، وحثت المستخدمين على تحديث أنظمة ويندوز الخاصة بهم على الفور. ^{[ 23 ]}

يستخدم بروتوكول RDP "قنوات افتراضية"، يتم تكوينها قبل المصادقة، كمسار بيانات بين العميل والخادم لتوفير الامتدادات. يُعرّف RDP 5.1 اثنتين وثلاثين قناة افتراضية "ثابتة"، وتحتوي إحدى هذه القنوات الثابتة على قنوات افتراضية "ديناميكية". إذا ربط الخادم القناة الافتراضية "MS_T120" (وهي قناة لا يوجد سبب مشروع لاتصال العميل بها) بقناة ثابتة أخرى غير القناة 31، فسيحدث تلف في الذاكرة يسمح بتنفيذ تعليمات برمجية عشوائية على مستوى النظام. ^{[ 24 ]}

أعلنت مايكروسوفت أن أنظمة التشغيل ويندوز إكس بي ، وويندوز فيستا ، وويندوز 7 ، وويندوز سيرفر 2003 ، وويندوز سيرفر 2008 ، وويندوز سيرفر 2008 R2 معرضة لهذا الهجوم. أما الإصدارات الأحدث من ويندوز 7، مثل ويندوز 8 ، وويندوز 10 ، وويندوز 11 ، فلم تتأثر. وأفادت وكالة الأمن السيبراني وأمن البنية التحتية أنها نجحت أيضاً في تنفيذ تعليمات برمجية عبر هذه الثغرة الأمنية في ويندوز 2000. ^{[ 25 ]}

أصدرت مايكروسوفت تحديثات أمنية لمعالجة الثغرة الأمنية في 14 مايو 2019، لأنظمة ويندوز إكس بي ، وويندوز فيستا ، وويندوز 7 ، وويندوز سيرفر 2003 ، وويندوز سيرفر 2008 ، وويندوز سيرفر 2008 R2 . وشمل ذلك إصدارات ويندوز التي انتهى دعمها ( مثل فيستا، وإكس بي، وسيرفر 2003) وبالتالي لم تعد مؤهلة لتلقي التحديثات الأمنية. ^{[ 8 ]} يُجبر التحديث قناة "MS_T120" المذكورة على الارتباط دائمًا بالرقم 31 حتى لو طلب خادم RDP خلاف ذلك. ^{[ 24 ]}

أوصت وكالة الأمن القومي الأمريكية باتخاذ تدابير إضافية، مثل تعطيل خدمات سطح المكتب البعيد ومنفذها المرتبط ( TCP 3389) في حال عدم استخدامه، وفرض مصادقة على مستوى الشبكة (NLA) لبروتوكول سطح المكتب البعيد (RDP). ^{[ 26 ]} ووفقًا لشركة أمن الحاسوب Sophos ، قد تُقلل المصادقة الثنائية من خطورة ثغرة RDP. مع ذلك، فإن أفضل حماية هي فصل RDP عن الإنترنت: إيقاف تشغيل RDP عند عدم الحاجة إليه، وفي حال الحاجة إليه، جعل الوصول إليه متاحًا فقط عبر شبكة افتراضية خاصة (VPN) . ^{[ 27 ]}

• BlueKeep : تحديثات Windows Update هنا ، هنا وهنا ( Microsoft ).
• إثبات مفهوم الثغرة من قِبل شركة سوفوس، مؤرشف بتاريخ 7 ديسمبر 2019 على موقع Wayback Machine
• مناقشة فنية للخلل على يوتيوب