ثغرة خفية تهدد أجهزة Windows المحدثة.. برمجية BlackX تتجاوز Secure Boot وتتجسس على الضحايا
كشفت شركة الأمن السيبراني «كاسبرسكي» عن برمجية خبيثة جديدة تُعرف باسم BlackX، قادرة على تجاوز ميزة Secure Boot الأمنية في أجهزة Windows، حتى تلك التي ثُبّتت عليها أحدث التحديثات، مستغلة ثغرة أمنية تعود إلى عام 2022 لم يُفعّل إصلاحها بالكامل بصورة تلقائية.
وتثير البرمجية مخاوف بشأن قدرة بعض الهجمات المتقدمة على التسلل إلى الأجهزة قبل بدء تشغيل نظام التشغيل نفسه، ما يمنح المهاجمين فرصة لتعطيل وسائل الحماية وإخفاء أنشطتهم وتثبيت أدوات تجسس يصعب اكتشافها.
كيف تتجاوز BlackX الحماية الأمنية؟
تعتمد ميزة Secure Boot على التحقق من موثوقية الملفات التي تبدأ تشغيل الحاسوب، إذ تسمح بتحميل الملفات التي تحمل توقيعات رقمية معتمدة، بهدف منع البرمجيات الخبيثة من العمل في المراحل الأولى لبدء تشغيل النظام.
لكن BlackX تستغل ثغرة قديمة تُعرف باسم Baton Drop (CVE-2022-21894)، لتجاوز هذه الحماية وتحميل ملفات بدء تشغيل خاصة بها، مع إضافة مفاتيح موثوقة تجعل تلك الملفات تبدو وكأنها شرعية.
وتنتمي البرمجية إلى فئة تُعرف باسم Bootkit، وهي برمجيات خبيثة تستهدف مرحلة بدء تشغيل الجهاز قبل تحميل Windows بالكامل. وتكمن خطورتها في قدرتها على العمل في مرحلة مبكرة، قبل أن تبدأ كثير من أدوات الحماية المعتادة في أداء وظائفها.
برنامج تشغيل مخفي وأدوات تجسس
لا تتوقف قدرات BlackX عند تجاوز Secure Boot، إذ تثبّت البرمجية برنامج تشغيل مخفيًا داخل Windows، يعمل على تعطيل بعض العمليات الأمنية وإخفاء سجلات النشاط، بما يصعّب على فرق الأمن السيبراني اكتشاف آثار الاختراق.
ووفقًا للتقرير، تتضمن آليات البرمجية حيلًا تستهدف بعض منتجات الحماية، من بينها برامج Kaspersky وAvast، كما قد يستبدل برنامج التشغيل عرض ملفات Bootkit بتشغيل تطبيق الحاسبة في Windows عند محاولة فتحها، في محاولة لتضليل المستخدم أو إخفاء الملفات الخبيثة.
وفي المرحلة النهائية، تثبّت البرمجية أدوات تجسس على الجهاز المصاب، ما يتيح للمهاجمين مواصلة مراقبة النظام وجمع المعلومات.
صلة محتملة ببرمجية BlackLotus
تحاكي BlackX بدرجة كبيرة برمجية BlackLotus، وهي Bootkit ظهرت في أوساط القرصنة منذ عام 2022، وتُعرف بقدرتها على استهداف آليات الحماية أثناء بدء تشغيل الأجهزة.
كما نسبت الحملة، وفق التقرير، بدرجة ثقة متوسطة إلى مجموعة APT41، وهي مجموعة قرصنة صينية يُعتقد أنها مدعومة من الدولة.
واكتُشفت الحملة في أوائل عام 2026، مع استهداف جهات دبلوماسية في آسيا الوسطى، شملت طاجيكستان وأوزبكستان وتركمانستان، ما يشير إلى أن النشاط المرصود يندرج ضمن عمليات تجسس موجهة، وليس بالضرورة هجومًا واسعًا يستهدف المستخدمين بصورة عشوائية.
لماذا لم تمنع تحديثات Windows الاختراق؟
تكمن المشكلة في أن تثبيت تحديثات Windows لا يعني بالضرورة تفعيل جميع إجراءات الحماية المرتبطة بثغرة Baton Drop.
فالإصلاح يعتمد على إلغاء الثقة في شهادة قديمة من Microsoft تُعرف باسم Windows Production PCA 2011، كانت تُستخدم لتوقيع ملفات بدء التشغيل المتأثرة بالثغرة. لكن فرض الحظر يتطلب تطبيق خطوات إضافية لإدراج الشهادة ضمن قائمة الحظر الخاصة بميزة Secure Boot.
وبالتالي، قد يظل الجهاز معرضًا للخطر رغم تحديث النظام، إذا لم تُطبّق إجراءات إلغاء الثقة المطلوبة فعليًا.
وأشار التقرير إلى أن الشهادة انتهت صلاحيتها رسميًا في 19 أكتوبر 2026، إلا أن انتهاء الصلاحية وحده لا يمنع بالضرورة تحميل الملفات المرتبطة بالثغرة؛ إذ يعتمد الحظر الفعلي على تطبيق آليات الإلغاء المناسبة.
هل المستخدمون العاديون معرضون للخطر؟
تشير المعلومات المنشورة إلى أن الحملة استهدفت جهات حكومية ودبلوماسية، ولذلك لا يُرجح أن يكون معظم المستخدمين المنزليين هدفًا مباشرًا لها. ومع ذلك، فإن طبيعة الثغرة تجعل التعامل معها أمرًا مهمًا لفرق أمن المعلومات ومسؤولي الأجهزة، خصوصًا في المؤسسات التي تدير أعدادًا كبيرة من الحواسيب.
وينصح الخبراء بمواصلة تثبيت تحديثات Windows، وتحديثات البرامج الثابتة للحواسيب، سواء BIOS أو UEFI، مع إبقاء ميزة Secure Boot مفعّلة.
أما المؤسسات والشركات، فينبغي لها اتباع الإرشادات الرسمية من Microsoft الخاصة بالثغرة CVE-2022-21894، والتحقق من تطبيق إجراءات إلغاء الشهادة وحظر الملفات المتأثرة، بدلًا من الاكتفاء بتثبيت التحديثات الشهرية.
وتكشف BlackX عن تحدٍ مهم في الأمن السيبراني: فالتحديث وحده لا يضمن الحماية الكاملة إذا كانت بعض إجراءات الإصلاح تتطلب تفعيلًا إضافيًا، وهو ما يجعل التحقق من إعدادات الأمان ومتابعة الإرشادات الرسمية جزءًا أساسيًا من حماية الأجهزة والبيانات.
