الأزرق الأبدي

برنامج EternalBlue ^{[ 5 ]} هو برنامج استغلال ثغرات أمنية في أنظمة مايكروسوفت ويندوز، طوّرته وكالة الأمن القومي الأمريكية (NSA). ^{[ 6 ]} يعتمد البرنامج على ثغرة أمنية غير معروفة (Zero-day) في نظام التشغيل مايكروسوفت ويندوز، والتي كانت تسمح للمستخدمين بالوصول إلى أي عدد من أجهزة الكمبيوتر المتصلة بالشبكة . كانت وكالة الأمن القومي على علم بهذه الثغرة، لكنها لم تُفصح عنها لمايكروسوفت لعدة سنوات، إذ كانت تنوي استخدامها ضمن عملياتها الإلكترونية الهجومية. في عام 2017، اكتشفت وكالة الأمن القومي أن البرنامج قد سُرق من قبل مجموعة من المخترقين تُعرف باسم Shadow Brokers . ربما أُبلغت مايكروسوفت بذلك، فأصدرت تحديثات أمنية في مارس 2017 لمعالجة الثغرة. خلال هذه الفترة، حاولت مجموعة المخترقين بيع البرنامج في مزاد علني، لكنها لم تنجح في إيجاد مشترٍ. ثم أُطلق برنامج EternalBlue رسميًا في 14 أبريل 2017. ^{[ 5 ]}

في 12 مايو/أيار 2017، استغلّ فيروس حاسوبي على شكل برنامج فدية ، يُعرف باسم WannaCry ، ثغرة EternalBlue لمهاجمة أجهزة كمبيوتر تعمل بنظام ويندوز لم تتلقَّ آخر تحديثات النظام لإزالة هذه الثغرة. ^{[ 5 ] [ 7 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ] : 1} وفي 27 يونيو/حزيران 2017، استُخدمت الثغرة نفسها مرة أخرى للمساعدة في تنفيذ هجوم NotPetya الإلكتروني لعام 2017 على المزيد من أجهزة الكمبيوتر المعرضة للخطر. ^{[ 12 ]}

كما ورد أن هذه الثغرة قد تم استخدامها منذ مارس 2016 من قبل مجموعة القرصنة الصينية Buckeye (APT3) ، بعد أن عثروا على البرنامج وأعادوا استخدامه على الأرجح، ^{[ 11 ] : 1} كما ورد أنها استخدمت كجزء من حصان طروادة Retefe المصرفي منذ 5 سبتمبر 2017 على الأقل. ^{[ 13 ]}

يستغل برنامج EternalBlue ثغرة أمنية في تطبيق مايكروسوفت لبروتوكول Server Message Block (SMB). تُعرف هذه الثغرة بالرمز CVE - 2017-0144 ^{[ 14 ] [ 15 ]} في فهرس الثغرات الأمنية الشائعة (CVE). تكمن الثغرة في أن خادم SMB الإصدار الأول (SMBv1) في إصدارات مختلفة من نظام التشغيل مايكروسوفت ويندوز يتعامل بشكل خاطئ مع حزم بيانات مُصممة خصيصًا من مهاجمين عن بُعد، مما يسمح لهم بتنفيذ تعليمات برمجية عن بُعد على جهاز الكمبيوتر المستهدف. ^{[ 16 ]}

لم تُبلغ وكالة الأمن القومي الأمريكية (NSA) شركة مايكروسوفت بالثغرات الأمنية، واحتفظت بالمعلومات لأكثر من خمس سنوات قبل أن يُجبرها الاختراق على اتخاذ إجراء. ثم حذرت الوكالة مايكروسوفت بعد علمها بسرقة برنامج EternalBlue المحتمل، مما سمح للشركة بإعداد تحديث برمجي صدر في مارس 2017، ^{[ 17 ]} بعد تأجيل إصدارها الدوري للتحديثات الأمنية في فبراير 2017. ^{[ 18 ]} وفي يوم الثلاثاء الموافق 14 مارس 2017، أصدرت مايكروسوفت النشرة الأمنية MS17-010، ^{[ 19 ]} التي شرحت بالتفصيل الثغرة وأعلنت عن إصدار تحديثات لجميع إصدارات ويندوز المدعومة آنذاك، وهي: ويندوز فيستا ، وويندوز 7 ، وويندوز 8.1 ، وويندوز 10 ، وويندوز سيرفر 2008 ، وويندوز سيرفر 2008 R2 ، وويندوز سيرفر 2012 ، وويندوز سيرفر 2012 R2 ، وويندوز سيرفر 2016. ^{[ 20 ] [ 21 ]}

نشرت مجموعة "شادو بروكرز" علنًا شفرة استغلال ثغرة "إيترنال بلو" في 14 أبريل 2017، إلى جانب العديد من أدوات القرصنة الأخرى التابعة لوكالة الأمن القومي الأمريكية. ^{[ 5 ]}

لم يكن العديد من مستخدمي نظام ويندوز قد ثبّتوا تحديثات مايكروسوفت الأمنية عندما بدأ هجوم برنامج الفدية WannaCry في 12 مايو 2017، مستغلًا ثغرة EternalBlue الأمنية للانتشار. ^{[ 22 ] [ 23 ]} وفي اليوم التالي (13 مايو 2017)، أصدرت مايكروسوفت تحديثات أمنية طارئة لأنظمة ويندوز XP وويندوز 8 وويندوز سيرفر 2003 غير المدعومة . ^{[ 24 ] [ 25 ]}

في فبراير 2018، قام الباحث الأمني ​​شون ديلون من شركة RiskSense بنقل ثغرة EternalBlue إلى جميع أنظمة تشغيل ويندوز منذ ويندوز 2000. كما تم نقل ثغرتي EternalChampion و EternalRomance ، وهما ثغرتان أخريان طورتهما وكالة الأمن القومي الأمريكية (NSA) وسرّبتهما مجموعة The Shadow Brokers ، في نفس الحدث. وقد أُتيحت هذه الثغرات كوحدات مفتوحة المصدر لمنصة Metasploit . ^{[ 26 ]}

في نهاية عام 2018، كانت ملايين الأنظمة لا تزال عرضة لهجوم EternalBlue. وقد تسبب ذلك في خسائر بملايين الدولارات، ناجمة في المقام الأول عن برامج الفدية الخبيثة. بعد التأثير الهائل لهجوم WannaCry ، الذي تسبب في أضرار تجاوزت قيمتها 8 مليارات دولار في 150 دولة، انتشرت هجمات لاحقة مثل NotPetya و BadRabbit باستخدام EternalBlue إما كأداة اختراق أولية أو كوسيلة للتنقل الجانبي. ^{[ 27 ]}

بعد هجوم WannaCry، أعلنت مايكروسوفت مسؤوليتها الأولية عن معالجة هذه المشكلات، لكنها انتقدت وكالات حكومية مثل وكالة الأمن القومي ووكالة المخابرات المركزية لتخزينها الثغرات الأمنية بدلاً من الكشف عنها، وكتبت أن "سيناريو مماثلاً مع الأسلحة التقليدية هو سرقة بعض صواريخ توماهوك من الجيش الأمريكي ". ^{[ 34 ]} حالت استراتيجية التخزين هذه دون علم مايكروسوفت بهذا الخلل (وبالتالي إصلاحه)، وربما ثغرات أخرى مخفية. ^{[ 34 ] [ 35 ]} مع ذلك، انتقد العديد من المعلقين، بمن فيهم أليكس عبدو من معهد نايت للتعديل الأول بجامعة كولومبيا ، مايكروسوفت لإلقاء اللوم على وكالة الأمن القومي، بحجة أنه يجب تحميلها مسؤولية إصدار منتج معيب بنفس الطريقة التي قد تُحمّل بها شركة تصنيع سيارات. ^{[ 36 ]} وُجهت انتقادات للشركة لتقييدها في البداية إصدار تحديث EternalBlue لمستخدمي ويندوز الجدد وعملاء عقود الدعم الموسع التي تبلغ قيمتها 1000 دولار لكل جهاز، وهي خطوة جعلت مؤسسات مثل هيئة الخدمات الصحية الوطنية البريطانية عرضة لهجوم WannaCry. بعد شهر من إصدار التحديث لأول مرة، اتخذت مايكروسوفت خطوة نادرة بإتاحته مجاناً لمستخدمي جميع إصدارات ويندوز المعرضة للخطر والتي تعود إلى ويندوز إكس بي. ^{[ 37 ]}

إيترنال روكس أو مايكروبوت ماسيف نت هو دودة حاسوبية تصيب أنظمة مايكروسوفت ويندوز. تستغل سبع ثغرات أمنية طورتها وكالة الأمن القومي الأمريكية. ^{[ 38 ]} بالمقارنة، فإن برنامج الفدية ووناكراي الذي أصاب 230 ألف جهاز حاسوب في مايو 2017 لا يستغل سوى ثغرتين أمنيتين من وكالة الأمن القومي. ونتيجة لذلك، يعتقد الباحثون أن إيترنال روكس أكثر خطورة بكثير. ^{[ 39 ]} تم اكتشاف الدودة عبر نظام خداعي . ^{[ 40 ]}

• BlueKeep (ثغرة أمنية) – ثغرة أمنية مماثلة
• قائمة بفضائح وكالة الأمن القومي
• بيتيا (برنامج خبيث)

• غروسمان، نداف (29 سبتمبر 2017). "EternalBlue – كل ما يجب معرفته" .

• نشرة مايكروسوفت الأمنية MS17-010
• إدخالات كتالوج تحديثات مايكروسوفت لتصحيحات لعبة EternalBlue
• CVE - 2017-0144 مدخل في فهرس CVE