من بين ما يقارب 90 أداة موثقة لتعطيل برامج EDR تُستخدم بنشاط في بيئات حقيقية، تعتمد 54 منها على نفس التقنية الأساسية: BYOVD. حيث يتم تحميل برنامج تشغيل نواة موقّع بشكل شرعي ولكنه معرض للثغرات الأمنية، ثم يتم استغلاله للحصول على وصول على مستوى النواة. ومن هناك، يمكن للمهاجمين إنهاء عمل وكيل EDR أو إزالة عمليات الاستدعاء وموفري ETW (تتبع الأحداث لنظام Windows) قبل تشغيل أي حمولة لبرمجيات الفدية. ويُعد هذا دليلًا تشغيليًّا موثقًا يستخدمه المهاجمون حاليًّا لاستهداف بيئات المؤسسات.
في يوليو 2026، وثّق الباحثون عملية «GodDamn» لبرمجيات الفدية، وهي اسم جديد لمجموعة «Hyadina» التي تقدم خدمة «الفدية كخدمة»، حيث قامت بتحميل برنامج التشغيل «PoisonX» الموقّع لإنهاء العمليات الأمنية وإزالة API في وضع المستخدم قبل نشر حمولتها. وقد اتبعت عمليات الاختراق جميع الخطوات المعتادة: استخدام AnyDesk للوصول عن بُعد، ومجموعة أدوات لجمع بيانات الاعتماد مستندة إلى NirSoft، ثم إنهاء العمليات على مستوى النواة ضد أهداف في قطاعات الرعاية الصحية والتصنيع والتعليم في الولايات المتحدة.
بالنسبة لقادة الأمن، لم تعد مشكلة «إحضار برنامج تشغيلك الخاص المعرض للخطر» (BYOVD) مجرد مسألة يمكن معالجتها بالتحديثات التصحيحية. بل إنها تشير إلى مشكلة أعمق تتعلق بالثقة على مستوى البنية الأساسية، وترتبط بالطريقة التي يتعامل بها نظام «ويندوز» مع برامج تشغيل النواة الموقعة، والافتراضات المبنية على هذا النموذج. وأي استجابة مجدية تبدأ بفهم واضح لتأثير مشكلة BYOVD على الضوابط التي تعتمدون عليها.
ملخص: النقاط الرئيسية
- كشفت أبحاث ESET أن 54 من أصل ما يقرب من 90 أدوات معروفة مخصصة لتعطيل برامج EDR أدوات تقنية BYOVD، حيث تستغل 35 برنامج تشغيل موقّعًا ومُعرضًا للثغرات الأمنية للوصول إلى مستوى النواة
- تتيح ثغرة BYOVD للمهاجمين إنهاء عمليات EDR، وإلغاء تسجيل استدعاءات النواة، وتعطيل نظام القياس عن بُعد قبل أن يتم تنفيذ حمولة برنامج الفدية بأي شكل من الأشكال
- تفشل استراتيجية «الدفاع المتعدد الطبقات» عندما تعمل كل طبقة على نفس نظام التشغيل المضيف؛ فاختراق نواة واحدة يمكن أن يعطل المكدس بأكمله دفعة واحدة
- تقوم تقنية «الصندوق الرملي» القائمة على المحاكاة بتحليل الملفات على بنية تحتية معزولة خارج مساحة نواة الجهاز المضيف، وبالتالي لا يمكن لوكيل EDR المعطل منع إصدار نتيجة التحليل
- يوفر MetaDefender فعالية في الكشف عن هجمات «اليوم صفر» بنسبة 99.9٪ بسرعة تبلغ 20 ضعف سرعة بيئات الاختبار التقليدية، مع كفاءة في استخدام الموارد تفوق 100 ضعف تلك التي تتمتع بها الأساليب القائمة على الأجهزة الافتراضية
- تتطلب الأطر التنظيمية، بما في ذلك NIS2 وCMMC وNERC CIP وIEC 62443، أن تظل القدرات الوقائية فعالة في ظل الظروف المعاكسة، وهو ما لا يمكن أن يفي به عنصر تحكم واحد تم تعطيل ميزة BYOVD فيه
- في تحليل مؤكد لمجموعة أدوات BYOVD نشطة، تم تصنيف ملفَي VBoxDrv.sys وShark.sys على أنهما «خبيثان» قبل أن يتمكن أي مكون من التنفيذ، مما يدل على أن هذه التقنية تُستخدم حالياً ضد أهداف أمريكية
ما هو هجوم BYOVD وكيف يعمل على تعطيل نظام EDR؟
هذه التقنية في حد ذاتها ليست معقدة من حيث التنفيذ، لكن عواقبها يصعب احتواؤها. فما أن يبدأ المهاجم العمل على مستوى النواة، حتى يفشل الكشف السلوكي لأن جهاز الاستشعار لم يعد موجودًا. كما تفشل مكونات الفحص والكشف في نظام EDR للسبب نفسه، ويبدأ الافتراض القائل بأن أدوات الكشف ستكون موجودة وتعمل في اللحظة الحاسمة في الانهيار.
وفقًا لشركة ESET، فإن 54 من أصل ما يقرب من 90 أدوات «EDR killer أدوات وثقتها أدوات تستخدم تقنية BYOVD تحديدًا نظرًا لموثوقيتها، حيث تستغل ما مجموعه 35 برنامج تشغيل معرضًا للثغرات الأمنية. وأشار الباحث في ESET، جاكوب سوتشيك، إلى أن مشغلي «برامج الفدية كخدمة» (Ransomware-as-a-Service) غالبًا ما ينتجون إصدارات جديدة من برامج التشفير، وتتيح لهم أدوات «EDR killer» القائمة على تقنية BYOVD الحفاظ على بساطة برنامج التشفير هذا وإخفاءه عن الكشف، بينما يتولى مكون منفصل مهمة التهرب من أنظمة الدفاع.
إن استخدام مجموعة «هايدينا» لبرنامج «PoisonX» — وهو برنامج تشغيل للنواة نُشر على منصة «GitHub» كأداة بحثية، ثم استُخدم بعد أسابيع في هجمات حقيقية ببرمجيات الفدية — يوضح السرعة التي أدوات هذه أدوات من مرحلة «إثبات المفهوم» إلى مرحلة «النشر العملي». ولم تعد تقنية «تشويش الدفاعات أولاً، ثم التشفير ثانيًا» حكرًا على المخترقين المتمرسين.
ينبغي على قادة الأمن إجراء محادثات أكثر مباشرة مع مجالس إداراتهم حول ما يعنيه ذلك. ولا تزال حلول الكشف والاستجابة للأمن (EDR) تمثل إجراءً رقابيًا بالغ الأهمية، لكن تبرير اعتبارها خط الدفاع الأخير أصبح أمرًا يصعب تبريره بشكل متزايد.
لماذا تفشل استراتيجية «الدفاع المتعدد الطبقات» في مواجهة نهج «أحضر جهازك الخاص» (BYOVD)؟
تفترض استراتيجية «الدفاع المتعدد المستويات» أنه لا توجد وسيلة تحكم واحدة تعمل كخط دفاع أخير، وأن البنية الأساسية تأخذ في الحسبان احتمال فشل أي طبقة على حدة. وفي الواقع العملي، تقوم العديد من المؤسسات بنشر أدوات متعددة لنقاط أدوات نفس التبعية الأساسية: نظام التشغيل المضيف. وإذا تعرض نظام التشغيل هذا للاختراق على مستوى النواة، فقد تتعرض البنية بأكملها للخطر في آن واحد.
تكمن المشكلة الأساسية في «مساحة الهجوم المشتركة»، وليس في عدد أدوات . فالمهاجم القادر على تنفيذ نهج «BYOVD» (جلب برنامج الكشف عن التهديدات الخاص بك) لا يحتاج إلى تجاوز كل إجراء تحكم على حدة. فمجرد تحميل واستغلال برنامج تشغيل واحد معرض للثغرات من أجل التنفيذ على مستوى النواة يتيح للمهاجم إلغاء تسجيل استدعاءات EDR وإنهاء عمليات الوكيل قبل أن تتاح لآلية الكشف المقيمة على المضيف فرصة حقيقية للاستجابة.
يُعد إدراج برامج التشغيل المعرضة للخطر في قائمة الحظر خطوة ضرورية، لكنها تعاني من مشكلة التأخر الهيكلي. وكما توضح بريجيد أو غورمان، الباحثة في شركة سيمانتيك، عادةً ما يكون هناك فارق زمني يمتد لعدة أيام، بل وأسابيع في أغلب الأحيان، بين اكتشاف برنامج تشغيل ما ووصول تحديث قائمة الحظر إلى أجهزة المستخدمين النهائيين في المؤسسات. بعبارة أخرى، يتحرك المهاجمون بشكل روتيني بسرعة تفوق سرعة تحديث القائمة. فقد تم نشر برنامج «PoisonX» في أبريل 2026، واستُخدم في هجوم فعلي ببرنامج فدية بحلول يوليو. وسيستمر المهاجمون الذين يدركون وجود هذه النافذة الزمنية في استغلالها.
ويتطلب سد هذه الفجوة إجراء تحليل يعمل خارج نطاق الهجمات التي تستهدفها منصة BYOVD: أي نقل أنواع معينة من عمليات فحص التهديدات من نقطة النهاية إلى طبقة معزولة لا يمكن للاختراق على مستوى النواة الوصول إليها، وذلك لتقييم الملفات قبل تنفيذها. وعند هذه النقطة، يتحول النقاش حول البنية من تعزيز أمان نقطة النهاية إلى الفحص قبل التنفيذ.
كيف تقوم بيئة الحماية القائمة على المحاكاة بتحليل الملفات خارج «منطقة الإزالة»
يقول جاك مادين، مدير المنتجات الأول في OPSWAT: «لا تتفوق برامج EDR Killers على المستشعر، بل إنها ببساطة تزيله، وبذلك يزول معها كل ما يعتمد عليه». «ويعملMetaDefender على سد هذه الثغرة من خلال إنهاء التحليل قبل أن يصل الملف إلى المضيف الذي قد يعطل عمله».
MetaDefender هو محرك اتخاذ القرار القائم على الذكاء الاصطناعي OPSWAT والمصمم للكشف عن هجمات «اليوم صفر» على حدود الشبكة، وهو يعتمد على محاكاة التطبيقات بدلاً من الأجهزة الافتراضية التقليدية. وهذا الفرق له صلة مباشرة بنموذج BYOVD، لأن بيئة التحليل لا تعتمد أبدًا على حالة نقطة النهاية التي تحميها.
يمكن تحديد البصمة الرقمية لبيئات الاختبار القائمة على الأجهزة الافتراضية. وغالبًا ما تكتشف البرامج الضارة الأكثر تطورًا البيئات الافتراضية وتقوم بكبت السلوك الخبيث، مما يؤدي إلى إصدار تقييمات سليمة لملفات ليست في الواقع غير ضارة. كما أن البنية التحتية للأجهزة الافتراضية تخلق سطح هجوم خاص بها يمكن للمهاجمين المصممين استكشافه أو التحايل عليه؛ وفي بعض الحالات، تصبح بيئة الاختبار نفسها هدفًا.
يتبع مسار العمل المكون من خمس طبقات MetaDefender نهجًا مختلفًا. الطبقة الأولى، «سمعة التهديدات»، تتحقق من عناوين URL نظام منع التطفل(CAPTCHA) والنطاقات مقارنةً بمؤشرات الاختراق المعروفة في الوقت الفعلي. أما الطبقة الثانية، «الت حليل التنبئيباستخدام الذكاء الاصطناعي/التعلم الآلي والتحليل الثابت»، فتتنبأ بخطورة الملفات التي لم يسبق رؤيتها من قبل باستخدام نماذج التعلم الآلي والتحليل الثابت المتعمق، مما يتيح اكتشاف تهديدات «اليوم صفر» قبل تنفيذ أي كود.
الطبقة الثالثة، «التحليل الديناميكي»، تحاكي سلوك التطبيق على مستوى التعليمات داخل بيئة معزولة تعمل خارج مساحة نواة الجهاز المضيف، على بنية تحتية منفصلة. أما الطبقة الرابعة، «تقييم التهديدات»، فتربط مؤشرات السلوك لتكوين درجة مخاطر قائمة على الثقة، بينما تقوم الطبقة الخامسة، «البحث عن التهديدات»، بربط النتائج بنظام MITRE ATT&CK وإجراء بحث عن أوجه التشابه باستخدام التعلم الآلي للكشف عن عائلات البرامج الضارة وحملاتها.
في تحليل مؤكد لبرنامج BYOVD EDR-killer نشط، قامت MetaDefender بوضع علامة على مجموعة الأدوات قبل أن يتمكن أي مكون منها من التنفيذ. وقد تم تصنيف برنامج تشغيل VirtualBox الموقّع بشكل شرعي (VBoxDrv.sys) — وهو برنامج تشغيل تابع لمورد خارجي معروف بكونه عرضة للثغرات ويُستغل عادةً لتصعيد الامتيازات على مستوى النواة — على أنه «خبيث» بثقة تامة وتم وسمه بـ BYOVD، إلى جانب برنامج تشغيل نواة خبيث ثانٍ (Shark.sys) وبرنامج التحميل (Sea.exe) المصمم لنشرهما.
ونظرًا لأن النتيجة يتم التوصل إليها من خلال محاكاة على مستوى التعليمات في بنية تحتية معزولة، فإنها تظل صحيحة بغض النظر عما إذا كان وكيل نقطة النهاية لا يزال نشطًا على المضيف أم لا. وهذا هو بالضبط الشرط الذي صُمم BYOVD لإزالته.
لا يعني هذا الفصل تغطية كاملة؛ فلا يوجد إجراء تحكم واحد يوفر ذلك. وبفضل فعالية الكشف عن الثغرات «يوم الصفر» التي تبلغ 99.9٪ وكفاءة في استخدام الموارد تفوق 100 ضعف كفاءة بيئات الحماية المعزولة القائمة على الأجهزة الافتراضية (VM)، يوفر MetaDefender طبقة الفحص هذه دون الأعباء الإضافية للبنية التحتية التي تجعل بيئات الحماية المعزولة التقليدية غير عملية من الناحية التشغيلية عند تطبيقها على نطاق واسع. الهدف ليس استبدال حماية النقاط الطرفية، بل التأكد من أنه في حالة اختراق حماية النقاط الطرفية، تكون الطبقة السابقة قد أدت دورها بالفعل.
لماذا تُعد المرونة التزامًا بالامتثال، وليست مجرد خيار تصميمي
بالنسبة للمؤسسات التي تعمل وفقًا لمعايير NIS2 أو CMMC أو NERC CIP أو IEC 62443، فإن مفهوم المرونة ينطوي على توقعات محددة فيما يتعلق بضوابط الحماية، وليس مجرد نية معمارية. تتطلب هذه الأطر أن تحافظ الأنظمة الحيوية على قدراتها الوقائية حتى في ظل الظروف المعاكسة. ومن غير المرجح أن تلبي البنية التي يمكن فيها لتقنية BYOVD واحدة أن تعطل ضابط كشف أساسي تلك التوقعات، لا سيما في ظل التدقيق الذي يلي وقوع الحادث.
إن التحليل السابق للتنفيذ، الذي يعمل بشكل مستقل عن حالة النقاط الطرفية، يدعم بشكل مباشر متطلبات المرونة هذه. كما أنه ينتج العناصر التي عادةً ما تتطلبها تقارير الامتثال: مؤشرات الاختراق، و«التكتيكات والتقنيات والإجراءات» (TTPs) التي تم تحديدها، وتقييم المخاطر الذي يمكن لفرق الأمن تقديمه إلى مجالس الإدارة والجهات التنظيمية كدليل على وجود ضوابط فعالة ومتعددة الطبقات. ويحظى هذا الدليل بأهمية أكبر من توثيق الضوابط التي تم نشرها ولكن تم التحايل عليها لاحقًا.
تحظى OPSWAT بثقة أكثر من 2,100 منظمة وحكومة ومؤسسة في جميع أنحاء العالم، بما في ذلك 98% من منشآت الطاقة النووية في الولايات المتحدة، OPSWAT بنت منصتها على مبدأ واضح: «لا تثق بأي ملف. لا تثق بأي جهاز.™». وهذا المبدأ هو بالضبط ما تستغله هجمات BYOVD عندما تتخلى المنظمات عن تطبيقه على مستوى النقاط الطرفية.
لماذا تُحدد سرعة الفحص ما إذا كان هذا الأمر سيصمد عند تطبيقه على نطاق واسع
تظل «الدفاع المتعدد الطبقات» مجرد نظرية إذا تسببت في تأخير لا تستطيع العمليات استيعابه. فلا يمكن للبيئات ذات الإنتاجية العالية — مثل الخدمات، والدفاع، والبنية التحتية الحيوية — توجيه كل ملف عبر بيئة اختبار آمنة تستغرق دقائق لإصدار قرار بشأنه. فإذا أصبحت طبقة الفحص عقبة، فإن الفرق ستتجاوزها، وستُعاد فتح الثغرة التي كان من المفترض أن تسدها.
تم تصميم بنية المحاكاة MetaDefender بناءً على هذا القيد. فالمتطلبات المنخفضة من الموارد مقارنةً ببيئات الحماية المعزولة القائمة على الآلات الافتراضية (VM)، إلى جانب سرعات تحليل تفوق سرعات بيئات الحماية المعزولة التقليدية بـ 20 ضعفًا، تتيح توسيع نطاق الفحص ليشمل أحجام الملفات المؤسسية عبر مسارات البريد الإلكتروني، وسير عمل نقل الملفات المُدار، ونقاط الفحص عند البوابات. وهذه السرعة هي ما يجعل الفحص قبل التنفيذ خيارًا قابلاً للتطبيق كإجراء رقابي تشغيلي قياسي، بدلاً من كونه إجراءً يُستخدم فقط بعد وقوع حادث.
غالبًا ما تختلف بنية الأمان التي تصمد تحت الضغط عن تلك التي لا تعمل إلا على الورق. يعتمد مرتكبو التهديدات الذين يستخدمون تقنيات «BYOVD» على الفجوة بين الضوابط الموثقة والواقع التشغيلي. إن سد هذه الفجوة من خلال وضع آلية الفحص في طبقة لا يمكن للهجمات على مستوى النواة الوصول إليها بسهولة، وتشغيلها بالسرعة التي تتطلبها البيئة، هو ما يجعل هذه البنية تعمل على أرض الواقع.
لقد حسمت حالات الاختراق الموثقة مسألة ما إذا كان من الممكن تعطيل نظام EDR. الإجابة هي نعم، وقد تم تعطيله مرارًا وتكرارًا. والسؤال المتبقي هو: ما الذي يكتشف التهديد قبل أن تتاح له الفرصة؟ اكتشف كيف يوفر MetaDefender فحصًا قبل التنفيذ يعمل بشكل مستقل عن حالة نقطة النهاية.
الأسئلة المتداولة
ما هو هجوم BYOVD؟
BYOVD (Bring Your Own Vulnerable Driver) هي تقنية يقوم فيها المهاجمون بتحميل برنامج تشغيل نواة شرعي وموقّع ولكنه معرض للثغرات الأمنية، بهدف الحصول على امتيازات Ring 0، ثم يستخدمون هذا الوصول لإنهاء عمليات EDR، وتعطيل نظام القياس عن بُعد، وتمهيد الطريق لحمولة برامج الفدية.
كم عدد أدوات تعطيل EDR أدوات تقنية BYOVD؟
وفقًا لشركة ESET، أدوات 54 أدوات من أصل ما يقرب من 90 أدوات موثقة لتعطيل EDR على تقنية BYOVD، حيث تستغل 35 برنامج تشغيل موقّعًا معرضًا للثغرات الأمنية للوصول إلى مستوى النواة.
هل يمكن لقائمة الحظر الخاصة ببرامج التشغيل المعرضة للثغرات أن توقف هجمات BYOVD؟
تعمل قائمة الحظر على إيقاف برامج التشغيل المعروفة بوجود ثغرات فيها، لكن الجهات الخبيثة تتحول إلى استخدام برامج تشغيل موقعة لم تُدرج بعد في القائمة، كما يستخدم المخترقون الأكثر خبرة ثغرات «يوم الصفر» في برامج التشغيل غير المعروفة لدى مايكروسوفت ومزودي حلول الكشف عن التهديدات (EDR)، مما يتجاوز تطبيق قائمة الحظر تمامًا.
لماذا تعتبر بيئات الاختبار القائمة على الآلات الافتراضية عرضة للتحايل؟
يمكن التعرف على بصمة بيئات الاختبار القائمة على الآلات الافتراضية، وغالبًا ما تكتشف البرامج الضارة المتطورة البيئة الافتراضية وتقوم بكبت السلوك الخبيث لإصدار نتيجة سليمة، حتى وإن كان الملف غير آمن.
كيف تقاوم بيئة الحماية المعزولة القائمة على المحاكاة هجمات BYOVD؟
تعمل بيئة الحماية المعزولة القائمة على المحاكاة، مثل MetaDefender على تحليل الملفات ضمن بنية تحتية معزولة تعمل خارج مساحة نواة الجهاز المضيف. ولا تجد هجمات BYOVD التي تعمل على تعطيل وكيل EDR في نقطة النهاية أي طريق للوصول إلى بيئة التحليل المنفصلة تلك، لذا يستمر الفحص وإصدار النتائج بغض النظر عن حالة الجهاز المضيف.
هل يحل الفحص قبل التنفيذ محل نظام EDR؟
لا. يظل نظام EDR أحد عناصر التحكم المهمة في البنية الشاملة. ويضيف الفحص قبل التنفيذ طبقة تُنجز مهمتها قبل أن تتاح للمهاجم فرصة تعطيل عناصر التحكم المستندة إلى المضيف، مما يدعم المرونة متعددة الطبقات بدلاً من أن يحل محل حماية نقاط النهاية.
- MetaDefender Aether ،
- تحليل التهديدات ،
- تحليل البرمجيات الضارة
