احذر .. هذا البرنامج الضار الجديد يمنع تحديثات Windows Defender ويعرض جهاز الكمبيوتر الخاص بك للخطر

أصدر الباحث الأمني ​​عبد الحميد ناصري، المعروف في أوساط المجتمع التقني باسم "Nightmare Eclipse"، ثغرة استغلال جديدة من نوع "اليوم صفر" (zero-day) تستهدف برنامج Windows Defender، حيث تمنع البرنامج من إتمام عمليات التحديث الخاصة به. وتعمل هذه الأداة -التي أطلق عليها اسم "BigDiskBuster"- على جميع إصدارات نظام التشغيل الويندوز المدعومة، إذ تقوم بحظر تنزيل ملفات التعريف (signatures) وتحديثات المنصة أثناء عملها في الخلفية، مما يبقي محرك الحماية عالقاً عند إصداره الحالي.

وقد طرح ناصري الأداة خلال عطلة نهاية الأسبوع، مشبهاً إياها بأداة "UnDefend" -وهي ثغرة أخرى كان قد نشرها في شهر أبريل- التي كانت تتيح للمستخدمين العاديين حظر تحديثات ملفات التعريف. وكما أوضح الباحث نفسه: "لقد صممت أداة مسلية توقف تحديث Defender تماماً، بحيث يظل النظام عالقاً عند الإصدار الحالي طالما استمرت الأداة في العمل في الخلفية". كما أقر بأن نموذج إثبات المفهوم (proof-of-concept) "غير مستقر نوعاً ما ويحتاج إلى إعادة كتابة"، رغم أنه يرى أن الأداة توضح المبدأ الأساسي بوضوح.

لا يقوم برنامج BigDiskBuster بسرقة البيانات أو تنفيذ تعليمات برمجية ضارة؛ بل تقتصر وظيفته على تعطيل قدرة برنامج مكافحة الفيروسات على التحديث. إذ يكفي تشغيل هذه العملية في الخلفية ليتوقف برنامج Defendern عن تلقي كلٍ من توقيعات الفيروسات الجديدة وتحديثات منصة الفحص الخاصة به. وتتمثل النتيجة العملية لذلك -وهي نقطة جديرة باهتمام مسؤولي أنظمة الويندوز في أن النظام يواصل إظهار برنامج مكافحة الفيروسات على أنه نشط، رغم أن قاعدة بيانات الكشف الخاصة به تصبح متقادمة بشكل متزايد فيما يتعلق بالتهديدات الحديثة.

ويؤكد "ناصري" أن هذه الثغرة تؤثر على جميع إصدارات الويندوز التي تدعمها مايكروسوفت حالياً، ولا تتطلب صلاحيات مرتفعة (صلاحيات المسؤول) لتعمل. ونظراً لأنها ثغرة من نوع zero-day ، فلا يوجد حالياً تصحيح رسمي مخصص لإبطال مفعول هذا التعطيل. وفي انتظار رد رسمي من مايكروسوفت ، فإن الإجراء الأكثر حكمة للمستخدمين هو مراقبة العمليات غير المعروفة التي تظل نشطة باستمرار على النظام؛ إذ أن هذا النشاط في الخلفية هو بالضبط ما تحتاجه الأداة لتعمل.

لا تُعد حالة "BigDiskBuster" حادثةً منفردة، بل هي الحلقة الأحدث في سلسلة من الكشوفات التي ينشرها "ناصري" منذ أبريل 2026. فقد أصدر الباحث الذي يزعم أنه عمل لدى شركة مايكروسوفت وفُصل منها تعسفياً في مارس 2025 ما يقرب من اثنتي عشرة ثغرة أمنية من نوع "اليوم الصفر" (zero-day exploits) خلال العام الماضي، مستهدفاً بها مكونات متنوعة في نظام التشغيل "ويندوز". وتُظهر مراجعة منشوراته أن هذه الاكتشافات ليست حالات معزولة، وإنما تمثل حملةً مستمرة تستهدف على وجه التحديد كلاً من "Defender" و"BitLocker" ومكونات النظام الأساسية الأخرى.

قبل أسبوعين فقط، تم الكشف عن ثغرة ShieldCrash —وهي خلل آخر في برنامج Defender يتيح الوصول على مستوى النظام— وذلك مباشرةً بعد إصدار مايكروسوفت لتحديثات الأمان الشهرية المعروفة بـ "Patch Tuesday". ووفقاً لتفسير الباحث نفسه، فإن ثغرة ShieldCrash تتجاوز ثغرة أخرى خاصة بتصعيد الامتيازات تُعرف باسم ShieldBreak (والتي عالجتها مايكروسوفت قبل أسبوع واحد فقط)، وهذه الأخيرة كانت بدورها تتجاوز ثغرة RoguePlanet؛ وهي ثغرة كشف عنها الباحث Naceri بنفسه في شهر يونيو وعالجتها مايكروسوفت في يوليو. إنها حلقة متكررة من الثغرات الأمنية والتصحيحات التي تتوالى كل بضعة أسابيع.

تنضم إلى قائمة الثغرات التي كشف عنها ناصري هذا العام كل من LegacyHive وBlueHammer وRedSun وYellowKey وGreenPlasma وMiniPlasma وUnDefend؛ وتستهدف جميعها  Defender و BitLocker  ومكونات أخرى في نظام ويندوز. وقد عالجت مايكروسوفت بالفعل عدداً من هذه الثغرات، بما في ذلك ShieldBreak وRoguePlanet وYellowKey وGreenPlasma وMiniPlasma؛ مما يشير إلى أن الشركة تتابع عن كثب كل عملية كشف عن ثغرة، وإن كان ذلك يحدث بتأخر زمني ما مقارنةً بوتيرة ظهور هذه الثغرات.

أما الثغرات المتبقية، بما فيها ثغرة BigDiskBuster الجديدة، فلا تزال تفتقر إلى إصلاح رسمي. وفي حينه، ردت مايكروسوفت على عمليات الكشف هذه بالتحذير من اتخاذ إجراءات قانونية محتملة ضد أي شخص يمارس أنشطة خبيثة تلحق ضرراً فعلياً بعملائها؛ وهو موقف فسّره جزء كبير من مجتمع الأمن السيبراني على أنه تهديد موجه مباشرةً إلى الباحث. ولم يصدر أي تعليق من المتحدث باسم الشركة بشأن ثغرة "حجب الخدمة" (DoS) هذه منذ الإعلان عنها، لذا سنترقب ما إذا كانت مايكروسوفت ستصدر رداً رسمياً في الأيام المقبلة.