ثغرة في نظام ويندوز سببها ملفات الإختصارات
مقال يتحدث بشكل موجز عن ثغرة في قشرة نظام تشغيل الوندوز تسمح بتنفيذ أكواد على الأجهزة المستهدفة. إنتشرت في الفترة الأخيرة إستغلال لثغرة في نظام ويندوز في التعامل مع ملفات الإختصارات lnk وأردت أن أسلط الضوء عليها بطرح موضوع بسيط.
تصيب الثغرة الإصدارات التالية:
- Windows XP Service Pack 3
- Windows XP Professional x64 Edition Service Pack 2
- Windows Server 2003 Service Pack 2
- Windows Server 2003 x64 Edition Service Pack 2
- Windows Server 2003 with SP2 for Itanium-****d Systems
- Windows Vista Service Pack 1 and Windows Vista Service Pack 2
- Windows Vista x64 Edition Service Pack 1 and Windows Vista x64 Edition Service Pack 2
- Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows Server 2008 for x64-****d Systems and Windows Server 2008 for x64-****d Systems Service Pack 2
- Windows Server 2008 for Itanium-****d Systems and Windows Server 2008 for Itanium-****d Systems Service Pack 2
- Windows 7 for 32-bit Systems
- Windows 7 for x64-****d Systems
- Windows Server 2008 R2 for x64-****d Systems
- Windows Server 2008 R2 for Itanium-****d Systems
في موضوعنا هذا سنقوم بتجربتها على نظامي Windows 7 Ultimate 64bit و Windows XP sp2 64bit بآخر تحديثاتهم.
إستغلال الملف المصاب في المثال يتمثل في تحميل وبدء مكتبة بإسم dll.dll على جذر القرص C, المكتبة ستعرض رسالة للمستخدم حال تحميلها.
بعد تجهيز المكتبة نقوم بوضعها مع الإختصار المصاب على القرص, إعادة تسمية ملف الإختصار ومن ثم تحديث المجلد لإعادة تحميل الإيقونة...
نلاحظ أن المكتبة قد تم تحميلها وقد تم تنفيذ محتوياتها:
طبعاَ الإستغلال الضار يكون بإضافة ****lcode يقوم بتحميل أو تنفيذ ملفات ضارة مرفقة مع ملف الإختصار, كما في فيروس Stuxnet الذي يعتبر أول إستغلال علني وواسع النطاق للثغرة حيث ينشر الإختصارات المصابة مع نسخة منه في كل أقراص الذاكرة ويقوم بتحميل rootkit يحمل شهادة رقمية موقعة من شركة Realtek Semiconductor Corp. حسب تحليل موقع F-Secure.
الثغرة بشكل عام تعتمد على خطأ في قشرة النظام في التعامل مع أيقونات ملفات الإختصار وبطريقة ما يستطيع الملف المصاب تحويل مجرى التنفيذ إلى الحمولة الخاصة به أي أنها تجري عند أي محاولة للنظام لتحديث إيقونة الملف, عند تصفح المجلد وعند تركيب الأقراص الخارجية حتى.
بما أن الموضوع يعتمد على أيقونات الإختصارات فقد قمت بعمل حل بسيط ومؤقت إلى حين إصدار ترقيع رسمي من الشركة, الطريقة تعتمد على إزالة القيم الخاصة بترجمة أيقونات الإختصارات. صحيح أن ذلك قد يؤثر على الإختصارات كاملة لكنه كما قلت يعتبر حل مؤقت ( أو دائم بالنسبة لمستخدمي نظام Windows XP SP2 ) إلى حين إصدار الترقيع.
سيتم تحديث الموضوع عند نزول الترقيع , وسيتم إرفاق الملف المصاب بعد الترقيع إن شاء الله.
