التحليل الهندسي الشامل(2026): كيف دمرت ثغرات U-Boot وفيروس GodDamn مفاهيم الحماية التقليدية؟

يمر المشهد الأمني في البنية التحتية لتكنولوجيا المعلومات بمنعطف خطير. لم تعد الهجمات تقتصر على التصيد الاحتيالي أو استغلال ثغرات المتصفحات، بل اتجهت مجموعات التهديد المتقدمة (APTs) نحو استهداف الطبقات السفلى والعميقة من الأنظمة. نحن نتحدث اليوم عن فيروس الفدية GodDamn الذي يغتال برامج الحماية من داخل نواة الويندوز، وحزمة الثغرات الدموية في نظام الإقلاع U-Boot التي تخترق الخوادم وأجهزة إنترنت الأشياء قبل أن يبدأ نظام التشغيل في الإقلاع من الأساس،

فهم آليات هذه التهديدات لم يعد رفاهية؛ الاختراق في مستوى الفيرموير (Firmware-level) أو مستوى النواة (Kernel-level) يعني أنك تفقد السيطرة الكاملة على عتادك، وتصبح كل دفاعاتك البرمجية مجرد شاشات وهمية لا قيمة لها. في هذا التقرير الفني الشامل والموسع، نقوم بتشريح هذه الهجمات هندسياً، سطرًا بسطر، مع توفير مؤشرات الاختراق (IoCs) وأدوات الاستجابة الفورية لمديري الأنظمة.

الجزء الأول: التشريح الهندسي لفيروس GodDamn وتكتيك إعماء النواة

فيروس GodDamn ليس مجرد برنامج فدية تقليدي يقوم بتشفير الملفات والمطالبة بالمال. إنه سلاح سيبراني معقد تديره مجموعة “Hyadina“، وهي مجموعة متخصصة في اختراق الشركات الكبرى وتعتمد على تكتيكات “الاستعصاء الطويل” أو الصيد البطيء. تبدأ العملية عادة باختراق أجهزة التوجيه الطرفية، أو عبر استغلال ثغرات (RDP) المكشوفة، لتؤسس المجموعة موطئ قدم أولي داخل الشبكة،

بمجرد الدخول، تقضي المجموعة فترة تتراوح بين 3 إلى 7 أيام في مرحلة الاستطلاع (Reconnaissance) والحركة الجانبية (Lateral Movement). يستخدمون أدوات شرعية مثل (Advanced IP Scanner) و (Rclone) لسرقة تيرابايتات من البيانات الحساسة ونقلها إلى خوادمهم السحابية. التهديد الحقيقي يبدأ عندما يقررون تفعيل مرحلة التشفير باستخدام تقنية (BYOVD).

ما هو تكتيك BYOVD؟ وكيف يتم استغلال تعريف PoisonX؟

تقنية (Bring Your Own Vulnerable/Malicious Driver) تعتبر حالياً الثغرة الأقوى لكسر دفاعات أنظمة الويندوز. لكي يعمل أي برنامج حماية (Antivirus/EDR) بكفاءة، يجب أن يعمل بصلاحيات النواة (Ring 0) لمراقبة كل صغيرة وكبيرة في النظام. مجموعة Hyadina طورت تعريف نواة خاص بها أطلقت عليه اسم “PoisonX“.

فور تحميل تعريف poisonx.sys في النواة، يقوم بتنفيذ عملية جراحية خبيثة. يبدأ بإزالة خطافات الحماية (Unhooking) لتعطيل واجهات برمجة التطبيقات (APIs) الحيوية مثل NtProtectVirtualMemory. بعد ذلك، يقوم بمسح وإغلاق العمليات الخاصة ببرامج (Windows Defender) و (CrowdStrike) و (SentinelOne) بشكل قسري من الجذور. النظام الآن أصبح أعمى بالكامل، ويبدأ التشفير الهجين والسريع للملفات لتنتهي بامتداد .God8Damn.

الجزء الثاني: كارثة U-Boot واختراق العتاد من مستوى الصفر

إذا كان GodDamn يضرب نظام التشغيل، فإن ثغرات U-Boot تضرب الأساس الذي يُبنى عليه النظام. يُعد U-Boot (Universal Bootloader) النظام البرمجي المسؤول عن تهيئة العتاد وإطلاق نظام التشغيل، ويستخدم في مليارات الأجهزة المدمجة، بدءاً من كاميرات IP المنزلية، مروراً بموجهات الشبكات (Routers)، وصولاً إلى وحدات التحكم والإدارة عن بُعد (BMCs) المدمجة في اللوحات الأم لخوادم مراكز البيانات الكبرى (مثل رقائق ASPEED و Nuvoton)،

أعلنت مختبرات شركة Binarly عن اكتشاف 6 ثغرات (Zero-Day) خطيرة في الكود المصدري لـ U-Boot. تنقسم هذه الثغرات لقسمين رئيسيين؛ الأول يؤدي إلى تدمير الذاكرة العشوائية أثناء الإقلاع، مما يُدخل الأجهزة في حالة “الموت السريري” (Bricking)، بحيث لا يمكن استعادتها إلا بتدخل مادي لفك الجهاز وشحن شريحة الذاكرة من جديد،

القسم الثاني والأخطر هو ثغرات تخطي التوقيع الرقمي (FIT Signature Bypass). يعتمد نظام الإقلاع على صور مفلطحة (FIT) لتخزين مكونات النواة والإقلاع الموقعة رقمياً. الثغرة تكمن في ضعف التحقق من حجم التوقيع (Boundary Check). يقوم المخترق بتعديل حقل الحجم بقيم ضخمة، مما يؤدي إلى فيضان في الذاكرة المؤقتة (Buffer Overflow). هذا الفيضان يُعمي معالج الإقلاع ويجعله يتجاوز خطوة التحقق الأمني بالكامل.

الجزء الثالث: أدوات الكشف المتقدمة والاستجابة الآلية

لمواجهة هذه التهديدات المعقدة في بيئات العمل (Enterprise)، يجب تفعيل الفحص الآلي المستمر. إليك سكريبت PowerShell المخصص للبحث في المسارات العميقة لاكتشاف محاولات زراعة تعريف poisonx.sys وإيقافها.

# Advanced Deep Scan for GodDamn Payload & Malicious Drivers
Write-Host "Initiating Kernel Driver Audit..." -ForegroundColor Cyan

# 1. Check for suspicious services masking as System Processes
$BadService = Get-Service | Where-Object { $_.Name -match "poison|driverx" -or $_.DisplayName -match "poison" }
if ($BadService) {
    Write-Host "CRITICAL ALERT: Malicious Service Detected Active in Memory!" -ForegroundColor Red
    $BadService | Format-Table -Autosize
}

# 2. Sweep temporary and public directories for dropped payloads
$TargetPaths = @("C:\Windows\Temp\", "C:\Users\Public\", "C:\ProgramData\")
foreach ($Path in $TargetPaths) {
    if (Test-Path $Path) {
        $SysFiles = Get-ChildItem -Path $Path -Filter "*.sys" -Recurse -ErrorAction SilentlyContinue
        if ($SysFiles) {
            Write-Host "WARNING: Rogue .sys file detected in temporary directory: $Path" -ForegroundColor Yellow
            $SysFiles | Select-Object FullName, Length, CreationTime, LastWriteTime
        }
    }
}
Write-Host "Audit Complete. Review logs if warnings were triggered." -ForegroundColor Green

بالنسبة لخوادم (BMCs) التي قد تكون مصابة بثغرات U-Boot، يجب استخدام أداة (FwHunt) المفتوحة المصدر لتحليل ملفات الفيرموير قبل تفليشها على الأجهزة، والتأكد من توافر الرقعة الأمنية (Patch) الخاصة بتخطي حدود (FIT).