برامج مكافحة الغش على مستوى النواة أصبحت بصمت واحدة من أكبر نقاط الهجوم في ألعاب الكمبيوتر

تعمل برامج مكافحة الغش على مستوى النواة (kernel) اليوم بنفس صلاحيات محرك مكافحة الفيروسات لديك على عشرات ملايين أجهزة الكمبيوتر، وقد تحوّل هذا الوصول إلى واحدة من أكثر الثغرات قابلية للاستغلال في عالم الحوسبة الاستهلاكية. تقوم كل من Vanguard التابعة لـ Riot Games وEasy Anti-Cheat (EAC) وBattlEye وDenuvo Anti-Cheat بتحميل تعريف (driver) موقَّع في الحلقة صفر (Ring 0) لنواة ويندوز، أي بنفس مستوى الصلاحيات الذي يتمتع به نظام التشغيل نفسه، لرصد عمليات الغش التي تتلاعب بالذاكرة ولا تستطيع أدوات وضع المستخدم رؤيتها. المشكلة أن التعريف الموثوق بما يكفي لفحص كل عملية في الذاكرة موثوق أيضًا بما يكفي لتعطيل أدوات الأمان، وقد استغل المهاجمون هذه الثقة بصمت منذ عام 2022 على الأقل.

هذا ليس افتراضًا نظريًا. فقد أشار باحثو الأمان، وقائمة Microsoft الخاصة بالتعريفات الضعيفة (Vulnerable Driver Blocklist أو VBL) بشكل متكرر إلى تعريفات مكافحة الغش والألعاب الموقَّعة كأحد مسارات هجوم «استخدم تعريفك الضعيف الخاص» (BYOVD)، حيث يحمّل المهاجمون تعريفًا موقَّعًا بشكل شرعي لكنه يحتوي على ثغرة معروفة، ثم يستخدمون صلاحيات النواة التي يمنحها هذا التعريف لإيقاف عمليات أنظمة الاستجابة والكشف عن نقاط النهاية (EDR) قبل نشر برمجيات الفدية. ظهر هذا النمط في حوادث مرتبطة بمجموعة BlackByte وغيرها من مجموعات برمجيات الفدية، التي تفضّل التعريفات الضعيفة لأنها تحمل توقيعًا صالحًا من Microsoft وتتجاوز فحوصات توقيع الكود التي كانت ستحظر فورًا وحدة نواة غير موقَّعة.

كيف يتحول تعريف موثوق إلى سلاح

الآلية الكامنة وراء ذلك بسيطة. يشترط ويندوز أن تكون تعريفات وضع النواة موقَّعة، سواء مباشرة من Microsoft أو عبر برنامج WHQL (مختبرات جودة أجهزة ويندوز)، لمنع تشغيل كود عشوائي على أعلى مستوى صلاحيات. تحتاج شركات مكافحة الغش إلى هذا المستوى من الوصول لقراءة ذاكرة عمليات الخصوم، واعتراض استدعاءات النظام، واكتشاف أدوات التصحيح (debuggers)، وهي أمور كان من الممكن أن تخفيها عملية غش في وضع المستخدم. وبهذا تحصل الشركة على تعريف موقَّع شرعيًا يُثبَّت على كل جهاز يشغّل اللعبة.

وإذا كان في هذا التعريف خلل، مثل معالج IOCTL مكشوف يسمح لأي عملية على الجهاز بإرسال أوامر إليه، فلن يحتاج المهاجم حتى إلى تعريف خبيث خاص به. فهو يحمّل تعريف مكافحة الغش الموقَّع والموثوق مسبقًا، ويتواصل مع واجهته المكشوفة، ويستخدم صلاحيات النواة الخاصة به لإيقاف عمليات محمية، بما في ذلك عملاء EDR من CrowdStrike أو SentinelOne أو Microsoft Defender for Endpoint. وهذا بالضبط ما حدث مع تعريف mhyprot2.sys التابع لشركة miHoYo، الذي كان يُشحن أصلًا مع نظام مكافحة الغش في لعبة Genshin Impact: فقد كشف دوالّ تسمح لأي عملية محلية بإيقاف أي عملية أخرى بشكل عشوائي، وتبنّاه مشغّلو برمجيات الفدية بالضبط لأنه ملف ثنائي موقَّع ونظيف بلا أي توقيع واضح لبرمجية خبيثة.

مشكلة الحجم

كان تعريف مكافحة الغش التابع لشركة Capcom يحمل ثغرة مشابهة في إيقاف العمليات العشوائي، تم الكشف عنها عام 2020. وظل تعريف Genshin Impact مثبَّتًا وقيد التشغيل على بعض الأنظمة حتى بعد إزالة اللعبة نفسها، لأن عملية التثبيت لم توفر أبدًا أداة إزالة لمكوّن النواة، تفصيل لم يلفت انتباهًا أوسع إلا بعد أن بدأ باحثو الأمان في رصد التعريفات التي كانت مجموعات برمجيات الفدية تصنّفها لإعادة الاستخدام، في ما يُعرف بـ «LOLDrivers» (تعريفات العيش على موارد النظام نفسه). وقائمة VBL من Microsoft، التي تُنشر عبر Windows Update وApp Control for Business، تحظر الآن عبر بصمات التجزئة (hash) عشرات الإصدارات المحددة من تعريفات مكافحة الغش وأدوات الألعاب، لكن القائمة تبقى تفاعلية: يجب أن يُضبَط التعريف متلبسًا بالاستغلال قبل إضافته، وتصدر إصدارات جديدة من تعريفات مكافحة الغش باستمرار مع إصلاح الشركات للثغرات.

الحجم هنا أهم من أي حادثة منفردة. فلعبة Valorant وحدها تضم أكثر من 20 مليون لاعب نشط شهريًا، ويُثبَّت Vanguard عند الإقلاع، قبل تحميل واجهة النظام نفسها، تحديدًا لمنع أدوات الغش من تعطيله خلال الجلسة. وتغطي EAC وBattlEye معًا مئات الألعاب التنافسية. هذا يعني ملفًا ثنائيًا بصلاحيات نواة، تتحكم به شركة خارجية بدلًا من مُصنّع نظام التشغيل، ومثبَّتًا على قاعدة مستخدمين ضخمة، وعلى عكس شركات مكافحة الفيروسات، لم تخضع معظم شركات مكافحة الغش أبدًا لنوع التدقيق الأمني العدائي الذي تخضع له منتجات EDR بشكل منتظم، لأن نموذج التهديد الخاص بها صُمم لضبط المتلاعبين، وليس لمقاومة أبحاث استغلال تعريفات على مستوى الدول.

لماذا يتكرر هذا دائمًا

تواجه شركات مكافحة الغش مشكلة حوافز بنيوية: كل قدرة جديدة على مستوى النواة تضيفها لرصد غش أكثر تطورًا هي أيضًا قدرة جديدة يمكن للمهاجم استغلالها، لكن المؤشر الذي تُقاس به الشركة هو معدل رصد الغش، لا تقليص سطح الهجوم. وإعادة بناء هذه الأنظمة لتعمل في وضع المستخدم بصلاحيات أضيق، وهو الاتجاه الذي اتبعته Valve مع تصميم VAC القائم إلى حد كبير على وضع المستخدم في Steam، مقبولةً سقفًا أدنى للكشف في مقابل بصمة نواة أصغر بكثير، هو مقايضة حقيقية رفضت معظم الشركات الناشرة تبنّيها، لأن شكاوى النزاهة التنافسية تؤثر على التقييمات وأعداد اللاعبين أسرع من ثغرة نظرية في تعريف.

كما تدفع Microsoft الشركات نحو أطر عملها Kernel-Mode Hardware-Enforced Stack Protection وHVCI (حماية سلامة الكود بدعم من المحاكي الافتراضي)، والتي تقيّد ما يمكن أن يفعله تعريف النواة حتى مع توقيع كود صالح، لكن تبنّيها اختياري وبطيء لأنه قد يُعطّل منطق الكشف في مكافحة الغش، الذي يعتمد على رؤية واسعة للذاكرة. وإلى أن يصبح الاحتواء على طراز HVCI إلزاميًا بدلًا من اختياري، سيبقى نموذج الثقة القائم على التعريفات الموقَّعة الذي يجعل مكافحة الغش يعمل هو نفسه ما يجعله هدفًا دائمًا لهجمات BYOVD.

ما يجب فعله بالفعل حيال ذلك

بالنسبة لمسؤولي تقنية المعلومات الذين يديرون أساطيل أجهزة تشغّل ألعابًا تنافسية، وهو أمر شائع في مقاهي الإنترنت ومنظمات الرياضات الإلكترونية، وحتى في صور الأجهزة المؤسسية العامة حيث يملك الموظفون صلاحيات مسؤول محلي، فإن الخطوة العملية هي الحفاظ على تفعيل قائمة VBL من Microsoft وتحديثها بدلًا من تعطيلها لأسباب التوافق، لأن هذه القائمة هي الآلية الرئيسية التي تزيل بنشاط تعريفات الألعاب المعروفة بإمكانية استغلالها. وينبغي لعمليات نشر EDR في الشركات رصد أحداث تحميل تعريفات مكافحة الغش خارج عمليات الألعاب المتوقعة بشكل خاص؛ فتحميل تعريف Vanguard أو EAC على خادم أو محطة عمل لا تحتوي على اللعبة المقابلة مثبَّتة هو بذاته إشارة قوية تستحق التحقيق.

أما بالنسبة للاعبين، فإن النتيجة العملية أضيق نطاقًا: إزالة لعبة تنافسية لا تزيل دائمًا تعريف النواة الخاص بها، لذا يستحق فحص قائمة التعريفات المثبَّتة في ويندوز (عبر أمر driverquery في نافذة طرفية تعمل بصلاحيات مرتفعة) بعد إزالة الألعاب المحمية بمكافحة الغش الثلاثين ثانية التي يستغرقها ذلك. وبالنسبة للشركات الناشرة التي لا تزال تقرر كيفية بناء الجيل القادم من مكافحة الغش، فإن مقايضة Valve مع VAC هي التي تستحق دراسة جادة: نظام كشف بسقف أدنى، لكن ببصمة نواة صغيرة بما يكفي ليتوقف عن كونه التعريف الموقَّع المفضّل لمجموعة برمجيات فدية.