إنذار بالتصعيد: تلاتة ديال الثغرات "Zero-Day" فـ Microsoft Defender تحت هجوم مستمر
Three Microsoft Defender Zero-Days Actively Exploited; Two Still Unpatched
إنذار بالتصعيد: تلاتة ديال الثغرات "Zero-Day" فـ Microsoft Defender تحت هجوم مستمر
TL;DR (خلاصة الموضوع)
كاينين هجمات خدامة دابا كتستغل تلاتة ديال ثغرات "Zero-Day" فـ Microsoft Defender باش تطلع صلاحيات الوصول وتوقف التحديثات الأمنية. وخا Microsoft دارت تحديث (Patch) لوحدة منهم (BlueHammer/CVE-2026-33825)، جوج خرين — RedSun و UnDefend — باقي ما تسدوش وكيستعملوهم الهاكرز فـ هجومات "hands-on-keyboard".
المجتمع ديال الأمن المعلوماتي فـ حالة استنفار من بعد ما خرجات شركة Huntress بتقارير كتقول باللي كاين استغلال حقيقي لتلاتة ديال الثغرات يالاه تكشفو كيستهدفو Microsoft Defender. هاد الثغرات، اللي تشروا فـ الأول كـ "zero-days" من طرف باحث مسمي راسو Chaotic Eclipse (أو Nightmare-Eclipse)، تشروا للعلن كاحتجاج على الطريقة باش تعاملات Microsoft مع عملية التبليغ الأولى.
هاد الثغرات كيشكلوا خطر كبير، حيت كيستهدفو بالضبط البرنامح اللي من المفروض يحمي أنظمة Windows.
الثغرات: BlueHammer، RedSun، و UnDefend
هاد الهجمات التلاتة كيتستعملوا لأهداف مختلفة فـ "الصندوق ديال الأدوات" ديال الهاكرز، من السيطرة الكاملة (Administrative control) حتى لتعطيل الدفاعات الأمنية.
1. BlueHammer (CVE-2026-33825)
- النوع: تصعيد الصلاحيات المحلية (LPE)
- الحالة: تم الإصلاح (Patched)
- التفاصيل: هاد الثغرة كتخلي الهاكر اللي عندو وصول محلي للجهاز يحصل على صلاحيات عالية. Microsoft سدات هاد الثغرة فـ تحديثات شهر أبريل 2026 (Patch Tuesday).Huntress لاحظات باللي هاد الهجوم تخدم فـ الواقع من نهار 10 أبريل 2026.
2. RedSun
- النوع: تصعيد الصلاحيات المحلية (LPE)
- الحالة: باقي ما تسداتش (Unpatched)
- التفاصيل: كتشبه لـ BlueHammer، RedSun كتسمح بتصعيد الصلاحيات داخل السيستيم اللي تهاجم. لحدود كتابة هاد السطور، مازال ما خرج حتى تحديث رسمي لهاد الثغرة.
3. UnDefend
- النوع: حجب الخدمة (DoS)
- الحالة: باقي ما تسداتش (Unpatched)
- التفاصيل: UnDefend خطيرة بزاف على المدى الطويل. كتقدر تسبب فـ حالة "حجب خدمة" اللي كتمنع Microsoft Defender من أنه يتوصل بتحديثات "التعريفات" (definition updates)، وهادشي كيخلي السيستيم معرض للفيروسات الجديدة.
استغلال الثغرات فـ أرض الواقع
Huntress أكدات باللي شافوا هاد الثغرات بتلاتة كيتخدمو فـ هجمات حقيقية. وعلى حساب هاد الشركة ديال الأمن، الاستغلال كيتبع واحد النمط متوقع ديال نشاط "hands-on-keyboard".
الهاكرز عادة كيبداو بـ أوامر "enumeration" باش يعرفوا مزيان البيئة المحلية اللي دخلوا ليها، بحال:
whoami /privcmdkey /listnet group
من بعد هاد الخطوات ديال الاستطلاع، الهاكرز كيطلقوا الهجومات ديال الـ zero-day. وخا BlueHammer بانت فـ 10 أبريل، إلّا أن نماذج الاستغلال (PoC) ديال RedSun و UnDefend بانت خدامة من نهار 16 أبريل.
رد ديال Microsoft
Microsoft أكدات باللي دارت إصلاح لثغرة BlueHammer عبر CVE-2026-33825. فـ تصريح على هاد الوضع، واحد المتحدث باسم Microsoft أكد على الالتزام ديالهم بالتحقيق فـ المشاكل الأمنية ودعم الممارسة ديال التبليغ المنسق عن الثغرات (CVD).
ولكن، هاد المتحدث ما عطاش وقت محدد فوقاش الثغرات اللي بقاو، RedSun و UnDefend، غادي يتصلحو بتحديثات رسمية.
الإجراءات المنصوح بها
بما أن جوج من هاد الثغرات باقي ما تسدوش، كينصحوا المؤسسات بـ:
- تطبيق تحديثات Patch Tuesday: تأكد باللي CVE-2026-33825 تغلق فورا باش تعالج ثغرة BlueHammer.
- مراقبة عمليات الاستطلاع (Enumeration): استعمل أدوات EDR (Endpoint Detection and Response) باش ترصد أي استعمال غير عادي لأوامر
whoamiوcmdkeyوnet، اللي تقدر تعني باللي الهاكر كيوجد باش يصعد الصلاحيات ديالو. - عزل الأجهزة المصابة: إذا لاحظتي أي نشاط مشبوه، تبع الطريقة ديال Huntress وعزل الأنظمة المتضررة باش تمنع الهاكر من التحرك داخل الشبكة.
المصدر: The Hacker News