🔵 EternalBlue (CVE-2017-0144)

ثغرة حرجة في تنفيذ التعليمات البرمجية عن بُعد عبر SMBv1 من مايكروسوفت

📌 نظرة عامة

EternalBlue هي ثغرة أمنية حرجة في بروتوكول Server Message Block الإصدار 1 (SMBv1) من مايكروسوفت تسمح للمهاجمين عن بُعد بتنفيذ تعليمات برمجية عشوائية على أنظمة ويندوز الضعيفة دون مصادقة.

تم تطوير الاستغلال من قبل وكالة الأمن القومي الأمريكية (NSA) ثم تم تسريبه لاحقًا من قبل مجموعة الاختراق Shadow Brokers في عام 2017. أصبح معروفًا على نطاق واسع بعد أن تم تسليحه في حملات برامج الفدية العالمية مثل WannaCry و NotPetya.

🆔 تفاصيل الثغرة

⚠️ التأثير

يمكن أن يؤدي الاستغلال الناجح إلى:

• 💀 تنفيذ التعليمات البرمجية عن بُعد بصلاحيات SYSTEM
• 🖥️ السيطرة الكاملة على الأجهزة الضعيفة
• 🌐 الانتشار الدودي عبر الشبكات
• 🔐 نشر برامج الفدية أو البرامج الضارة
• 📂 سرقة البيانات أو إتلافها أو تشفيرها
• 🚨 انقطاع الخدمة على نطاق واسع في المؤسسات

📸 عرض توضيحي

🛑 برنامج الفدية WannaCry (مايو 2017) 🛑

استخدم WannaCry ثغرة EternalBlue للانتشار تلقائيًا عبر الشبكات.

التأثير:

• 🌍 أكثر من 200,000 جهاز كمبيوتر مصاب
• 🌎 أثر على أكثر من 150 دولة
• 🏥 عطل المستشفيات والشركات والاتصالات والخدمات الحكومية
• 💰 تسبب في أضرار بمليارات الدولارات

🛑 برنامج الفدية NotPetya (يونيو 2017) 🛑

جمع NotPetya بين ثغرة EternalBlue وتقنيات انتشار أخرى.

التأثير:

• 🏢 استهدف المؤسسات المتعددة الجنسيات
• 💾 دمر البيانات بدلاً من مجرد تشفيرها
• 💸 تجاوزت الأضرار المقدرة 10 مليارات دولار
• 🌍 أحد أكثر الهجمات الإلكترونية تدميراً في التاريخ

🔥 لماذا كان EternalBlue خطيرًا

Internet
    |
    v
Exposed SMBv1 Port (TCP 445)
    |
    v
Specially Crafted SMB Packet
    |
    v
Kernel Memory Corruption
    |
    v
Remote Code Execution
    |
    v
SYSTEM-Level Access
    |
    v
Automatic Network Spread

🛡️ التخفيف

الإجراءات الفورية

• ✅ تطبيق تحديث الأمان من مايكروسوفت MS17-010
• ✅ تعطيل SMBv1 إذا لم يكن مطلوبًا
• ✅ حظر حركة مرور SMB (منفذ TCP 445) من الشبكات غير الموثوقة
• ✅ تقسيم الشبكات الداخلية
• ✅ الحفاظ على تحديث أنظمة ويندوز
• ✅ استخدام حماية حديثة لنقاط النهاية
• ✅ مراقبة نشاط SMB للكشف عن السلوك غير المعتاد

🔍 مؤشرات الكشف

علامات محتملة للاستغلال:

• حركة مرور SMB غير معتادة عبر TCP/445
• حركة جانبية سريعة بين الأنظمة
• إنشاء عمليات غير متوقع مثل cmd.exe أو powershell.exe
• نشاط برامج الفدية أو تعديلات الملفات الجماعية

📊 متجه CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 الجدول الزمني

📚 المراجع

• نشرة الأمان من مايكروسوفت MS17-010
• MITRE CVE-2017-0144
• كتالوج الثغرات المستغلة المعروفة من CISA

⚠️ إخلاء المسؤولية

هذا المستودع لأغراض تعليمية ودفاعية تتعلق بالأمن السيبراني فقط. لا تستخدم هذه المعلومات لمهاجمة الأنظمة دون إذن صريح.

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE