Hidden Lock | Official

عدنا بمقطع جديد فاليوتيوب بعد غياب طوييل كيف ولدت توزيعات لينكس؟! 🐧 https://youtu.be/LZ7st3eIOCc

الحكاية المرة دي بتبدأ بخدعة هجومية بتضرب واحد من أجهزة أبل المعروفة بقوة حمايتها وهي أجهزة الماك (macOS)، عن طريق استغلال ميزة موثوقة بنستخدمها للتحكم عن بعد، وهي ميزة مشاركة الشاشة (Screen Sharing). ​الموضوع كشفه باحثون أمنيون بعد ما رصدوا هجمات شغال عليها هكرز بيستغلوا ثغرة أمنية في ميزة مشاركة الشاشة للوصول غير المصرح بيه لأجهزة الماك، بهدف تحويل الأجهزة دي لمزارع تعدين لعملة مونيرو (Monero) المشفرة من غير ما أصحابها ياخدوا بالهم! ​القصة بتتلخص في إن المهاجمين بيستغلوا خلل في إدارة الجلسات أو التحقق من الهوية جوه ميزة مشاركة الشاشة بالويندوز أو الماك، يخليهم يقدروا يتجاوزوا الشاشة الأولية ويتصلوا بالتقنية العكسية. أول ما بيمسكوا خط الاتصال بالجهاز، ما بيروحوش يسرقوا ملفات أو يقفلوا الجهاز بطلب فدية؛ دول بيلعبوا لعبة أهدى وأطول عشان يفضلوا مكسبين أكبر وقت ممكن. ​بينزلوا في الخفاء برنامج تعدين (Crypto Miner) متفصل بأسلوب خبيث عشان يستغل قوة المعالج (CPU) وزيادة استهلاك الطاقة في تعدين عملة Monero، وهي العملة المفضلة للهكرز لأن معاملاتها مستحيل تتبعها، وعشان الضحية ما يشكش إن الجهاز بطيء أو المروحة صوتها عالي فجأة، المهاجمين بيبرمجوا أداة التعدين بحيث يقلل استهلاك المعالج أول ما الضحية يحرك الماوس أو يفتح مدير المهام (Activity Monitor)، ويرجع يشتغل بكامل قوته أول ما الجهاز يبان إنه خامل (Idle)! ​المهاجمين بكده بيلعبوا على التخفي المستمر واستغلال موارد أجهزة أبل القوية، لأن الاتصال جاي من ميزة نظام شرعية، وبرمجية التعدين بتشتغل بذكاء يخلي المستخدم يفتكر إن البطارية بتخلص بسرعة أو الجهاز بيسخن لمجرد إنه قدم، بينما في الحقيقة جهازه عمال يطبع فلوس للهكرز في الخفاء ومن غير ما برامج الحماية تطلع أي إنذار!

الحكاية المرة دي بتبدأ بتحدي تقني كبير، أبل لما نزلت نظام الذكاء الاصطناعي بتاعها (Apple Intelligence)، كانت متباهية جداً ببنية السحابة الخاصة بيها المسماة "Private Cloud Compute" أو (PCC). أبل وقفت قدام العالم وقالت إن السحابة دي مصممة بأسلوب مشفر ومعزول تماماً، لدرجة إن بيانات المستخدمين مستحيل تتسرب أو يوصلها أي حد، ولا حتى شركة أبل نفسها، وحطت مكافآت مالية ضخمة بتوصل لمليون دولار للي يقدر يكسر حمايتها! ​الموضوع أخد منحنى مختلف تماماً لما الباحث الأمني (Drinor) من فريق أبحاث Sentry قرر يقبل التحدي، وما يكتفيش بحيل حقن الأوامر النصية العادية (Prompt Injection) اللي بتلعب على الموديل من بره، لكنه قرر يتعمق ويكسر نسيج الحماية الهندسية للسحابة نفسها، ويدور على ثغرات حقيقية في كود النظام (Zero-day) ثبت وجودها وسُجلت برقم CVE-2026-20685، وحصل بسببها على مكافأة أمنية قدرها 150 ألف دولار! ​القصة بتتلخص في إن أبل عشان تضمن السرية المطلقة، عملت بيئة معزولة بتعتمد على التشفير القائم على العتاد والتأكد التلقائي من الشفرة المعتمدة (Attestation). الباحث ما حاولش يقنع الذكاء الاصطناعي بلغة بشرية إنه يغير إجاباته، لكنه ركز على الثغرات الأمنية في كيفية معالجة بيئة PCC للطلبات واستجاباتها أثناء معالجة بيانات الذكاء الاصطناعي. ​الباحث قدر يكتشف خلل أمني في حدود الحماية المشفرة (Trust Boundary)، بيسمح لمهاجم موجود في موقع شبكي مميز (Privileged Network Position) إنه يتخطى قيود العزل، و الخلل ده خلا المهاجم يقدر يوصل لبيانات طلبات المستخدمين والمعلومات الحساسة وهي بتتعالج جوه السحابة الخاصة، وده معناه إنه كسر الفكرة الأساسية اللي أبل بتبني عليها دعايتها وهي إن الطلبات لا يمكن الاطلاع عليها خارج جهاز المستخدم. ​المهاجمين بكده ما اعتمدوش على خدعة نصية تروح مع أول تحديث للموديل، لا دول استغلوا ثغرة برمجية عميقة في بنية السحابة، وأثبتوا إن حتى أكثر الأنظمة المعزولة والمصممة على أحدث معايير الأمان، ممكن ينفذ منها المهاجم لو قدر يكتشف خرم صغيّر في طريقة معالجة البيانات بين الجهاز والسحابة المشفرة!

الحكاية المرة دي بتبدأ من قلب الخوادم والبيئات الافتراضية للشركات، المكان اللي بيضم عشرات السيرفرات والتطبيقات الشغالة مع بعض، والمسؤول عن إدارتها وتنظيمها برنامج محوري واحد وهو VMware vCenter Server. ​الموضوع كشفته شركات أبحاث أمنية بعد ما رصدوا استغلال عملي لثغرة خطيرة جداً من نوع تنفيذ الأوامر عن بُعد (RCE) جوه نظام vCenter. الثغرة دي بتمس طريقة معالجة النظام لبروتوكولات الاتصال الداخلية (DCE/RPC)، وتحديداً من خلال خلل في إدارة الذاكرة (Heap-based buffer overflow). ​القصة بتتلخص في إن المهاجم مش محتاج يكون معاه إيميل ولا كلمة سر، ولا محتاج أي تفاعل من الموظفين، كل اللي بيعمله إنه بيبعت حزم بيانات (Network Packets) متفصلة بأسلوب خبيث عبر الشبكة، أول ما النظام بيستقبل البيانات دي، بيحصل طفح في الذاكرة وبيختل توازنه، فيقدر المهاجم ينفذ شفرات برمجية مباشرة وياخد أعلى صلاحيات تشغيل (Root) على السيرفر المركزي. ​أول ما المهاجمين بيمسكوا زمام السيرفر، بينفذوا حيلة ذكية عشان يضمنوا البقاء والتخفي، بدل ما يحاولوا يتصلوا بالخادم من بره بأسلوب مباشر والجدار الناري (Firewall) يرفضهم، بيجبروا خادم vCenter نفسه إنه يفتح نفق اتصال عكسي (Reverse SSH Tunnel) لخوادم خارجية تحت سيطرتهم. الحركة دي بتخلي حركة المرور تظهر قدام برامج المراقبة كأنها اتصال خروج عادي وطبيعي طالع من جوه الشركة. ​وبكده بيتحول سيرفر vCenter المركزي لجسر خلفي دائم، بيسمح للمهاجمين بالتحكم في كل الأجهزة والأنظمة الافتراضية (VMs) الشغالة جوه الشركة والتجسس على بياناتها بالكامل في الخفاء.

الحكاية المرة دي مختلفة شوية وبتبدأ بغرابة، لأن الاختراق حصل من غير ما أي ثغرة تكسر أو كود خبيث ينزل على السيرفرات، بل وكل حاجة كانت شغالة بالظبط زي ما السيستم متصمم! ​الموضوع كشفه باحثين أمنيين من شركة Reco، لما رصدوا حملة استمرت أكتر من 17 شهر وأطلقوا عليها اسم City-Forum، الحملة دي استهدفت منصات إدارة العملاء والدعم الفني الضخمة زي Salesforce و ServiceNow في شركات عالمية في قطاعات الاتصالات، البنوك، والخدمات الحكومية. ​القصة بتتلخص في إن المنصات دي بيبقى فيها بشكل افتراضي حساب مستخدم زائر (Guest User)، وده الحساب اللي بيشتغل تلقائياً أول ما أي حد غريب يدخل على بوابة الدعم أو قاعدة المعرفة من غير ما يعمل تسجيل دخول، والمشكلة إن كتير من الشركات بتنسى تظبط صلاحيات الحساب ده، وبتديله بالغلط صلاحيات قراءة أوسع من المفروض، فبيتفتح الباب للمعلومات الحساسة على البحري. ​المهاجمين هنا لعبوا على الشفرة دي بذكاء شديد بدل ما يستخدموا أدوات الفحص العادية المتوفرة على النت، طوروا برنامج خاص بيقدر يفحص أعمق الطبقات اللي محدش بيبص عليها و زي واجهات LWR الحديثة في Salesforce، ونقطة بحث خفية وغير موثقة تقريباً في ServiceNow. البرنامج كان بيدخل كزائر عادي جداً وبطلب منه بأسلوب هادي وبطريقة شرعية تماماً إنه يعرض البيانات المخزنة، والأنظمة طبعاً كانت بتجاوب وبتبعت البيانات لأن الصلاحيات المفتوحة بتسمح بكده! ​العملية كلها تمت بسلاسة ومن غير ما تثير أي شبهات أو تضرب أي إنذار أمني، لأن المهاجمين ما استخدموش أي حيل معقدة أو ثغرات Zero-day، وكانوا بيتواصلوا من عنوان سيرفر واحد ثابت، وكل السجلات كانت بتسجل إن طلبات البيانات طالعة من مستخدم زائر عادي ومرخص له بالوصول وفقاً لإعدادات الشركة نفسها.

الحكاية المرة دي بتبدأ بميزة كلنا بنعتمد عليها من سنين وبنعتبرها قمة الراحة والتطور في نظام الويندوز، وهي ميزة التشغيل الفوري أول ما نوصل أي جهاز (Plug and Play أو PnP) يعني مجرد ما تحط فلاشة أو كابل USB، الويندوز بياخد باله ويتعامل تلقائياً. ​الموضوع كشفه باحثين أمنيين (أليخاندرو هيرناندو وبورخا مارتينيز) في مؤتمر DEF CON، لما أثبتوا وجود هجوم جديد أطلقوا عليه اسم "Plug and Pwn". الفكرة ببساطة إن المهاجمين لقوا طريقة يضحكوا بيها على آلية التعرف التلقائي على الأجهزة جوه الويندوز عشان يجبروا النظام إنه ينزل تعريفات وحزم برمجية رسمية وموقعة ديجيتال من شركات معروفة، بس الحزم دي جواها ثغرات قديمة ومكشوفة، فيسحبوا منها صلاحيات المسؤول الأعلى (SYSTEM Privilege)! ​القصة بتتلخص في إن الويندوز أول ما بيحس بوجود جهاز USB جديد، بيروح يفتش عن التعريف المناسب ليه وينزله و المهاجم هنا بيستخدم أداة محاكاة زي FaceDancer عشان يخلي الهاردوير المزيف يبعت معارف خادعة للنظام، فالويندوز يفتكر إنه جهاز شرعي من شركة معينة ويجري ينزل البرامج المرافقة ليه (Co-installers)، الحزمة دي وهي بتنزل وتتثبت بصلاحيات النظام العالية، المهاجم بيستغل الثغرات اللي جواها عشان يغير إعدادات الـ DNS أو ينزل ملفات خبيثة، والعملية دي كلها بتتم في حوالي 5 دقائق ومن غير ما تحتاج أي تفاعل من الموظف (Zero-click)، بل وممكن تحصل والجهاز مقفول (Locked)! ​الأخبث من كده إن المهاجمين طوروا سيناريو تاني أطلقوا عليه اسم "NoPlug & Pwn" للهجوم عن بُعد يعني مش محتاجين حتى يكونوا واقفين قدام الجهاز ومعاهم فلاشة حقيقية! دول بيستغلوا ميزة إعادة توجيه أجهزة الـ USB عبر اتصالات سطح المكتب عن بُعد (RDP USB Redirection)، فيخلوا الجهاز الخادم يفتكر إن فيه جهاز اتوصل عنده، وينزل البرامج الملغومة بنفس الطريقة. ​المهاجمين بكده بيلعبوا على أعمى نقطة في تصميم النظام نفسه، ولأن برامج الحماية بتشوف إن الويندوز هو اللي بينزل تعريفات رسمية وموقعة بنفسه من المصدر، والترافيك كله طالع من عمليات نظام شرعية، وبالتالي بيفضل المهاجم واخد راحته وبياخد أعلى صلاحيات على الجهاز من غير ما يثسير أي شبهات أمنية.

عايزين نرجع زي زمان واحسن كمان ✨

الحكاية المرة دي بتبدأ بتحدي أمني جديد ظهر مع انتشار استخدام (AI Agents) في بيئات العمل، لما بقينا نعتمد عليهم ونفوضهم لنقل البيانات وتنفيذ المهام التلقائية بين الأنظمة المختلفة. ​الموضوع كشفه باحثون أمنيون بعد ما أثبتوا إن إعطاء الذكاء الاصطناعي مهام واسعة أو غامضة مع منحه صلاحيات وصول كاملة للأنظمة، بيفضل فتح باب خلفي خطير جداً يقدر أي مهاجم يستغله من غير ما يحتاج يكسر أي كلمات سر. ​القصة بتتلخص في إن الشركات أصبحت تربط موديلات الذكاء الاصطناعي مع البريد الإلكتروني وأدوات إدارة المشاريع وقواعد البيانات عشان تسهل العمليات؛ زي إنك تطلب من الوكيل الإداري "لخص كل الإيميلات المكتوبة وإبعتها لمساحة العمل المشتركة". المهاجم هنا مش بيهجم على نظام الذكاء الاصطناعي نفسه، لكنه بيبعت إيميل عادي للشركة جواه تعليمات مخفية مكتوبة بلغة بشرية بسيطة وده اللي بيسموه (Prompt Injection). ​أول ما وكيل الذكاء الاصطناعي يقرب من الإيميل ده عشان يلخصه، بيقرأ التعليمات الخبيثة المستخبية جواه وبيفتكرها أمر مباشر جاي له من النظام! وبما إن الموظف مديلو صلاحيات واسعة ووصول كامل للحسابات، فالوكيل ينفذ اللي المهاجم عايزه بالظبط: يسحب بيانات حساسة، أو يغير إعدادات معينة، أو يرسل معطيات واختصارات لروابط خارجية تابعة للمهاجم ​الفكرة كلها إن المهاجمين لقوا إن الأسلوب ده بيلعب على أعمى نقاط الأمن الرقمي؛ لأن الحركات اللي بيعملها الذكاء الاصطناعي بتظهر قدام برامج الحماية على إنها نشاط طبيعي جداً من مستخدم مرخص له، والترافيك كله طالع من الحساب الرسمي للشركة، وبالتالي بيفضل المهاجم متحكم في البيانات وموجه للوكيل من بعيد ومن غير ما يرصد أي إنذار أمني.

الحكاية المرة دي بتبدأ بخدعة موجهة لمسؤولي الشبكات ومهندسي تقنية المعلومات، هكرز بيستغلوا برنامج كلنا بنثق فيه وبنستخدمه يومياً في حماية الاتصالات وهو WireGuard VPN. ​الموضوع كشفته شركة أبحاث أمنية بعد ما لاحظت إن مجموعة الهكرز الروسية الشهيرة باسم Sandworm وهي نفس المجموعة التابعة للاستخبارات العسكرية الروسية والمحسوبة على هجماتها الشرسة وقررت المرة دي تلعب لعبة مختلفة تماماً، مش رايحين يخترقوا الباب الخلفي للشركة، لا، دول مستنيين مهندس النظام بنفسه يفتح لهم الباب بإيده وهو فاكر إن كل حاجة تمام. ​القصة بدأت لما المهاجمين عملوا موقع وهمي متصمم بدقة شديدة عشان يبان كأنه الموقع الرسمي للبرنامج الشهير WireGuard. وعشان يضمنوا إن المهندسين يقعوا في الفخ، عملوا حملات إعلانية ممولة ومحسنة على محركات البحث (SEO Poisoning)، بحيث لما أي مهندس يسرش على تحميل VPN عشان يحمي شبكة الشركة، يظهر له الموقع المزيف ده في أول نتائج البحث. ​المهندس بيدخل على الموقع المزيف وبيحمل ملف التثبيت وهو فاكر إنه الملف الشرعي. الملف فعلاً بيثبت برنامج WireGuard الأصلي وشغال عادي جداً عشان ما يثيرش أي شكوك، لكن في الخفاء، ملف التثبيت بيزرع أداة خبيثة ومفتوحة المصدر معروفة باسم (Method) أو برمجية تجسس مصممة للتحكم عن بُعد (RAT). ​أول ما البرمجية الخبيثة بتستقر على جهاز المهندس، بتبدأ تفتح قناة اتصال خفية وتتواصل مع سيرفرات التحكم بتوع Sandworm. ومن هنا المهاجم بياخد كامل السيطرة على جهاز المهندس، وبيقدر يعمل حاجات خطيرة جداً بيسرق كلمات السر المخزنة في المتصفح، وبياخد (Screenshots) لكل حاجة المهندس بيعملها، وأهم من ده كله إنه بيقدر يسحب مفاتيح التشفير وجلسات الـ VPN الشغالة. ​المهاجمين بكده بيستغلوا الصلاحيات العالية اللي عند مهندس الـ IT، وبيستخدموا جهازه كجسر عشان يدخلوا منه لعمق شبكة الشركة والتجسس على البنية التحتية بالكامل، من غير ما برامج الحماية تشك في أي حركة، لأن الترافيك كله طالع من جهاز مسموح له أصلاً بالدخول، وبالتالي بيفضل المهاجم متحكم في الشبكة في الخفاء ومن غير ما ينكشف.

الحكاية بتبدأ بمشهد بيحصل كتير في شركات الطيران والدفاع، موظف بيجيله إيميل بعرض شغل مغري من شركة عالمية زي "لوكهيد مارتن". بيفرح طبعاً ويفتح ملف الـ PDF المرفق عشان يقرأ التفاصيل، وفي اللحظة دي، ومن غير ما يلاحظ أي حاجة غريبة، بيتم اختراق جهازه في الخفاء ومن غير ما برامج الحماية تطلع أي تنبيه. السيناريو ده هو جزء من الحملة اللي كشفتها شركة "تشيك بوينت"، واللي بتنفذها مجموعة الهكرز الكورية المشهورة باسم "لازاروس" تحت اسم "عملية وظيفة الأحلام". المرة دي المهاجمين استغلوا ثغرة جديدة من نوع Zero-day  في نظام الويندوز ما حدش يعرف عنها ولا نزلها تصليح وقتها موجودة جوه ملف في قلب النواة (Kernel) اسمه AFD.sys، وده الملف المسؤول عن إدارة اتصالات الشبكة بين التطبيقات والنظام. عشان يوصلوا للضحية من غير ما يشك، استخدموا طريقة ذكية؛ بعتوا ملف مضغوط فيه برنامج قراءة PDF شرعي ومضمون، وجنبه ملف خفي صغيّر (DLL). أول ما الضحية بيشغل ملف الـ PDF، الملف الخفي بيشتغل معاه في الmemory وبيفك تشفير الكود الخبيث، وفي نفس الوقت بيعرض ملف الوظيفة الوهمي عشان الموظف يفضل يقرأ فيه وما يحسش بأي حركة غريبة, وفي طريقة تانية عملوا فيها مواقع وهمية محسنة على جوجل عشان تخلي الموظف ينزل البرنامج بنفسه وهو فاكر إنه برنامج أمان. بعد ما الكود بيدخل الmemory، بيبدأ برنامج صغير اسمه MISTPEN يتواصل مع مساحات التخزين السحابية في OneDrive عشان ينزل باقي الأدوات. البرمجية دي بتعمل استطلاع هادي في الأول، تتأكد إن الجهاز ده فعلاً بتاع شخص مهم في شركة طيران أو دفاع مش مجرد جهاز عادي، وأول ما تتأكد، بتنفذ الثغرة الموجودة في ملف AFD.sys. الاستغلال ده بيدي المهاجم صلاحيات المسؤول الأعلى (SYSTEM Privilege) على الجهاز بالكامل. بعد ما بيوصلوا لأعلى الصلاحيات، بينزلوا أداة الروتكت (Rootkit) الخاصة بيهم وهي FudModule في إصدارها الجديد v3.1. الأداة دي مش بتهجم برامج الحماية بأسلوب مباشر، لكنها بتلغي أدوات المراقبة والتتبع الداخلية في الويندوز، وتطفي مسجلات الأحداث (ETW) والمرشحات، فبالتالي برامج الأمان والـ EDR بتتعمى تماماً وما بتشوفش الأنشطة الخبيثة اللي بتحصل جوه النظام. وعشان يخفوا حركة الاتصال تماماً، المهاجمين ما استخدموش سيرفرات خاصة بيهم، لكن اخترقوا خوادم بريد وسيرفرات وردبريس شغال بيها مواقع تانية، وزرعوا عليها أداة اسمها RelayShell. الأداة دي بتمرر الأوامر بين المهاجم وجهاز الضحية من خلال رسائل عادية، فبالتالي حركة المرور بتظهر وسط شبكة الشركة كأنها تصفح موقع عادي جداً. في النهاية، مايكروسوفت نزلت التحديث الأمني اللي بيسد ثغرة الـ Zero-day دي بعد ما تم الإبلاغ عنها. والدرس الأساسي هنا إن مجموعات زي لازاروس بتدمج بين الهندسة الاجتماعية البسيطة واستغلال ثغرات النواة المتقدمة عشان توصل لأهدافها من غير ما تثير أي شبهات.

‼️ ازاي لعبة 113 جيجا تتحول ل 66 جيجا !! ✅ الفكرة هنا مش مجرد برنامج او تقنية غريبة مثلا , بل حاجة كل يوم احنا بنستخدمها حرفيا , بالتالي عدم معرفتنا بتاريخها وهي ازاي بتشتغل حرفيا انت مضيع عليك متعة رهيبة , من افضل القصص اللي انت ممكن تسمعها فعلا رابط الفيديو : 🎥 https://youtu.be/4hy8odFiOuc