أرشيف الوسم: malware

ما هي شاشة الموت الزرقاء ؟ وما أسباب ظهورها ؟ وما الحلول ؟

كُتب يوم بواسطة

وأنت تمارس عملك الاعتيادي على الحاسوب أو أنك تستمع بإحدى الألعاب تظهر فجأة شاشة زرقاء تدوم لفترة محددة ثم يقوم النظام بعدها بإعادة التشغيل .. لا شك أنك قد مررت بمثل هكذا حالة .. نعم إنها شاشة الموت الزرقاء

ما هي شاشة الموت الزرقاء

شاشة الموت الزرقاء أو اختصارا BSOD هي تلك الشاشة التي تظهر عندما يواجه نظام التشغيل خطأ قاتلاً لا يستطيع التعامل وهذا الخطأ يؤدي إلى توقف نظام الويندوز Windows عن العمل والشيء الوحيد الذي يمكن فعله في هذه الحالة هو إعادة التشغيل وهذا يعني خسارة البيانات التي كنت تعمل عليها قبل ظهور الشاشة لأن البرامج لن يكون لديها الفرصة لحفظ تلك البيانات .

وتظهر هذه الشاشة في أنظمة ويندوز Windows وتأخذ مظهرا مختلفا بحسب النسخة حيث تأخذ في ويندوز 7 Windows والنسخ الأقدم مظهرا مشابهاً لشاشة الطرفية /terminal /أو الدوس DOS

أما في ويندوز 8 windows وويندوز 10 windows فالشاشة تكون أكثر بساطة :

ماهي أسباب شاشة الموت الزرقاء

كما قلنا فإن هذه المشلكة تظهر بشكل عام إما بسبب مشكلة في العتاد /الهارد وير / أو بسبب تنصيب تعريف غير متوافق مع الجهاز المستخدم .

أحيانا يمكن أن تظهر بسبب برمجيات منخفضة المستوى تعمل في نواة أو في أساس الويندوز  / Windows kernel/ .

إن التطبيقات التي نستخدمها بشكل اعتيادي لا تسبب عادة مثل iهكذا مشكلة حيث في حال تعرض التطبيق لمشكلة ما فإن نظام التشغيل يخرج منه فقط .

ماذا يفعل ويندوز عند ظهور هذه الشاشة

افتراضيا فإن ويندوز windows يقوم بإعادة تشغيل الحاسوب بشكل آلي عندما تظهر هذه الشاشة دون أن يعطي المجال لقراءة المعلومات الظاهرة على الشاشة .

ولكن إذا رغبت في تعطيل إعادة التشغيل التلقائي يمكنك تغيير الإعدادات من خلال لوحة التحكم .

استعراض التفاصيل حول شاشة الموت الزرقاء

ولكن ماذا لو ظهرت لك تلك الشاشة وتريد أن تعرف تفاصيل ذلك الخطأ ؟ ببساطة يمكنك تحميل تطبيق خارجي  BlueScreenView من شركة نيرسوفت NirSoft (رابط التحميل في الأسفل ) حيث يقوم هذا البرنامج بعرض المعلومات المحتواة في ملف دي إي إم بي dmp الذي أنشأنه نظام التشغيل أثناء ظهور تلك الشاشة .

يمكن عرض هذه المعلومات أيضا من خلال عارض أحداث ويندوز  Windows Event Viewer  والتي تكون تفاصيل شاشات الموت الزرقاء الظاهرة مسبقا موجودة إضافة إلى سجل أخطاء التطبيقات وأخطاء النظام

كيفية حل المشكلة

في ويندوز 7 Windows يمكن الحصول على معلومات من أجل حل المشكلة من خلال الدخول إلى  لوحة التحكم  Control Panel > النظام والأمان System and Security

في ويندوز 8 و 10 Windows : اذهب إلى لوحة التحكم Control Panel > الصيانة والأمان Security and Maintenance وتحت قسم الصيانة Maintenance يمكنك البحث عن حلول للمشكلة الحالية .

إن كلا من ويندوز 8 و 10 windows يقومان بشكل آلي بتشخيص المشكلة ومحاولة حلها بعد إقلاع الحاسوب بعد ظهور شاشة الموت الزرقاء ولكن مع ذلك فإن الأمر يستحق أن تقوم بزيارة لمركز الصيانة من أجل البحث عن تفاصيل أو خطوات إضافية لحل المشكلة .

إذا لم يستطع ويندوز windows حل المشكلة ذاتيا فإن الأفضل هو القيام بعرض تفاصيل شاشة الموت الزرقاء والبحث عبر الإنترنت عن الحل المناسب من خلال كتابة اسم تلك المشكلة مثلا “Driver_IRQL_not_less_or_equal.” أو رقمها حيث يظهر بجانب عبارة “Stop Error” رقما مثل “0x00000024.”

في الواقع فإن ويندوز 8 و 10 windows غالبا ما يظهر العبارة الواجب البحث عنها عند ظهور شاشة الموت :

في حال لم تنج في الحصول على الحل المناسب يمكنك اتباع الاجراءات التالية :

1- استعادة النظام : استخدم استعادة النظام إلى نقطة قديمة قد يحل المشكلة في حال كانت مشكلة برمجية /software/

2 – البحث عن برمجيات خبيثة /Malware/ : أحيانا تكون البرمجيات الخبيثة التي استطاعت التسرب إلى نواة الويندوز windows سبباً في عدم استقرار النظام وبالتالي فإن البحث عنها وحذفها من خلال البرامج المناسبة قد يساعد في حل المشكلة .

3 – تثبيت تحديثات للتعاريف /driver/ : تأكد من تنصيب آخر التحديثات المتوافرة والمطابقة للأجهزة عندك من خلال الموقع الرسمي للشركة المصنعة .

4 – الإقلاع في الوضع الآمن /safe mode/: في حال ظهرت الشاشة الزرقاء في كل مرة يقلع فيها الجهاز حاول الإقلاع بالوضع الآمن حيث سيقوم الويندوز windows بتشغيل التعاريف الأساسية فقط وهنا يمكنك القيام بحذف آخر التعريفات التي قمت بتنزيلها قبل ظهور المشكلة

5 – تأكد من عتاد الحاسوب : في حال تكرار ظهور المشكلة ولم تنفع الحلول المسابقة قم بفحص قطع العتاد ودرجة حرارتها للتأكد أنها على مايرام .

6 – إعادة تنصيب الويندوز Windows : حل مثالي وناجح في حال كانت المشكلة غير متعلقة بالهارد وير ، وإذا ماعادت المشكلة للظهور بعد تنصيب النسخة الأصلية من ويندوز windows فتأكد أن مشكلتك في العتاد .

في النهاية يجب أن تعلم أن مواجهة مثل هكذا مشكلة مرة كل عامين هو أمر عادي ولا داعي للقلق حول ذلك .

تحميل برنامج  BlueScreenView من الموقع الرسمي ( ملاحظة : إذا لم يعمل الموقع قم بتشغيل كاسر بروكسي )

مقالات ذات صلة :

ما الأفضل . التعاريف المدمجة في Windows مسبقاً أم تعاريف الشركة المصنعة ؟

طريقة الدخول إلى الوضع الآمن Safe Mode في Windows 8 , 8.1 , 10

البرمجية الخبيثة التي أثرت على CCleaner استهدفت شركات كبيرة

كُتب يوم بواسطة

بعد أن تحدثنا في مقالة سابقة عن عملية اختراق لبرنامج تنظيف الويندوز CCleaner فإن الأمور تتجه لتكون أكثر إثارة مما توقعناه .

فبعد أن قام كلا من مركز أبحاث Cisco’s Talos و Avast بتحليل بيانات الهجوم السابق وجدوا دليلاً واضحاً على أن المهاجمين كانوا يستخدمون هذا الاختراق من أجل استهداف حواسيب الشركة التقنية المتطورة و شركات الاتصال في بعض دول العالم .

و قال الباحثون إن الهجوم كان يستهدف بشكل أساسي  سلسلة من الدومينات الخاصة بشركات تكنولوجية بهدف جمع بيانات و دخول دائم إلى اي من الأجهزة المصابة .

و رغم أن آفاست رفضت الإفصاح عن قائمة الشركات المصابة إلا أن مركز أبحاث Cisco’s Talos نشر قائمة الدومينات المستهدفة والتي ضمت إضافة للمركز نفسه – Cisco’s Talos – عدداً من الشركات الكبيرة مثل الدومين “Ntdev.corp.microsoft.com” و هو الدومين الخاص بمطوري ويندوز Windows .

و شملت قائمة الدومينات أيضاً كلاً من شركة جوجل Google وإنتل Intel ومايكروسوفت Microsoft وسامسونج Samsung وسوني Sony  وإتش تي سي HTC ولينكسيس Linksys، إضافة إلى شركات الاتصال الرئيسية في سينغافورة و المملكة المتحدة .

و شملت القائمة حوالي 20 شركة مختلف و ذلك خلال أربعة أيام فقط من الهجمة و التي استمرت حوالي الشهر ( من 15 آب حتى 12 أيلول )  و لذلك فإن عدد الشركات يتوقع أن يكون أكبر من ذلك بكثير .

حيث وُصف هذا الهجوم على أنه هجوم ” إغراقي ” بحيث أصاب مئات الآلاف من الحواسيب إلا أن الهدف الرئيسي له هو الشركات التقنية .

و اقتصر هذا الهجوم على مهمة جمع المعلومات فقط دون إلحاق أي ضرر ، دون معرفة دوافع المهاجمين للحصول على مثل هكذا معلومات .

و قدّر الباحثون عدد الأجهزة المصابة بحوالي 700.000 وذلك بعد أن كانت التقديرات الأولية حوالي 2.2 مليون جهاز .

هاكرز قاموا بإخفاء برمجية خبيثة ضمن برنامج CCleaner

كُتب يوم بواسطة

إذا كنت من مستخدمي البرنامج الشهير في تنظيف الويندوز CCleaner فإن لدينا لك أخباراً سيئة هذا اليوم .

قد لا تصدق أن البرنامج الشهير و المستخدم من قبل الملايين عبر العالم قد تعرض للاختراق و ذلك بحسب ما تم كشفه من قبل مركز الأبحاث Cisco Talos .

حيث اكتشف المركز أنّ المخترقين قد تمكنوا من إدخال برمجية خبيثة Malware ضمن النسخة  CCleaner 5.33

و أكدت شركة بيريفورم   Piriform – و هي الشركة الأم لتطبيق CCleaner – عملية الاختراق هذه ، وأضافت الشركة أنه حالياً هنالك حوالي 2.27 مليون شخص تعرضوا للاختراق عبر تلك البرمجية الخبيثة داخل CCleaner، و لكنها طمأنت المستخدمين و قالت أنها قد أصلحت الخلل سريعاً و لا تعتقد أن المستخدمين قد تضرروا من هذه العملية .

ما الذي تفعله هذه البرمجية الخبيثة Malware ؟

رغم أن هذه البرمجية الخبيثة لا تؤدي إلى إحداث ضرر ما في النظام ، إلا أنها تقوم بتشفير و جمع معلومات يمكن أن تستخدم في المستقبل من أجل إلحاق الضرر بالنظام ، و بشكل أكثر تحديدا فإنها تقوم بصنع معرف نوعي لكل جهاز حاسوب و تقوم بجمع المعلومات التالية :

1 – اسم جهاز الكومبيوتر .

2 – قائمة بالبرامج المنصبة إضافة إلى تحديثات ويندوز أيضاً .

3 – قائمة بالعمليات المشغلة .

4 – عنوان الماك MAC لمحولات الشبكة الثلاثة الأولى .

5 – معلومات أخرى مثل معرفة إذا كانت عملية ما تجري بصلاحية المسؤول ( الأدمن ) ، هل النظام بمعمارية 64 بت ، و غيرها .

هل نسختي مصابة ؟ 

لحسن الحظ فإن هذه الإصابة اقتصرت على عدد قليل من المستخدمين ، بشكل أكثر تحديداً فإن النسخة المصابة يجب أن تحقق الشروط التالية :

1 – النسخة المستخدمة هي نسخة 32 بت و ليس نسخة ال 64 بت .

2 – رقم النسخة المستخدمة هو 5.33.6162 بالنسبة لبرنامج CCleaner أو النسخة 1.07.3191 بالنسبة للنسخة السحابية  CCleaner Cloud و التي تم إطلاقهما في 15 آب الماضي .

لحسن الحظ أيضاً فإن البرنامج لا يقوم بتحديث نفسه بشكل تلقائي عادة و هذا أمر جيد للكثير من المستخدمين الذين يعتمدون النسخ الأقدم .

كيف أعرف أن النسخة التي لدي مصابة أم لا ؟ 

إذا كنت تملك نسخة 32 بت من البرنامج و تعتقد أنك قمت بتحميله في فترة الإصابة ( أي بين 15 آب و 12 أيلول) ، فعليك القيام بفتح البرنامج و النظر إلى الزاوية العلوية اليسرى حيث سترى رقم الإصدار :

فإذا كان الرقم أقل من  5.33.6162 فالبرنامج غير مصاب ، و ينصح بتحديث هذه النسخة يدوياً من خلال حذف النسخة الحالية و تنصيب أحدث نسخة من خلال هذا الرابط  .

و أما إذا كان رقم النسخة 5.34 أو أحدث فإن البرنامج غير مصاب أيضاً ، و لكن يجب الانتباه فيما إذا كنت قد قمت بتحديث البرنامج في الفترة بين 15 آب و 12 أيلول الماضيين فإنه من المحتمل أن هذه النسخة قد كانت مصابة مسبقاً قبل التحديث .

ماذا علي أن أفعل ؟  

ينصح مركز Cisco Talos باستعادة النظام إلى نقطة ما قبل 15 آب 2017 من النسخ الاحتياطي ، كما ينصح أيضاً بعمل فحص شامل لكل محتويات النظام و النسخ الاحتياطي من أجل التأكد من سلامة الجهاز .

و كحل جذري يمكن القيام بإعادة تنصيب الويندوز Windows كلياً ، و ذلك للتأكد من سلامة جهازك بشكل مطلق .

باحثون وجدوا وسيلة لإصلاح بعض الحواسيب المصابة بـ WannaCray

كُتب يوم بواسطة

إذا كنت واحداً من آلاف الناس الذي تأثروا بهجوم برمجية الفدية WannaCry ، فهناك وسيلة لك لإصلاح ذلك – فقط إذا كنت لم تقم بإعادة إقلاع حاسوبك .

وسيلة الإصلاح هذه تم صنعها من قبل باحث الحماية Benjamin Delpy ، المعروف بـ “gentilkiwi  ”  وتدعى هذه الوسيلة “wanakiwi  ” . هي مبنية على وسيلة قديمة تسمى ” WannaKey ” تم صنعها من قبل  Adrien Guinet ، وتعمل على ويندوز Windows من نسخة اكس بي XP حتى نسخة ويندوز 7 Windows .

إليك طريقة عملها : إنها تبحث في ذاكرة الحاسوب من أجل أرقام رئيسية التي هي أساس التشفير ، والتي ستكون قد مسحت إذا كنت قد أعدت تشغيل حاسوبك .  ثم تقوم باستعمال هذه الأرقام لتوليد مفاتيح فتح القفل unlock keys للملفات المشفرة . إنها نسبياً سهلة للفهم ، ومجانية في Github .

مركز يورو بول Europol للجريمة الالكترونية جربها ، ووجدها ناجحة بطريقة أو بأخرى .

إنها لن تساعد الجميع – فنحن لن نلومك إذا كان أحد أول الأمور التي قمت بها لتجرب وتصلح حاسوبك هو أن تعيد تشغيله . لكن كلنا نأمل أنها ستساعد بعض الأشخاص الذين لا يستطيعون (أو لا يودون ) دفع فدية 300$ بيتكوين bitcoin التي يطالب بها المهاجمون حالياً .

وسيلة الإصلاح من هنا .

رابط WhatsApp.com مزيف يؤدي لإصابة أجهزتك ببرامج خبيثة

كُتب يوم بواسطة

في المرة القادمة التي يعطيك شخص ما رابطاً لـ واتس أب Whatsapp.com ، تأكد أن تلقي نظرة ثانية . هناك الآن برمجية تسويقية تجول في الويب عن طريق خداع المستخدمين لزيارة المجال “шһатѕарр.com” بدلاً عنه . نعم ، إنهما عنوانا ويب مختلفان – عنوان الويب الزائف يستخدم رموزاً من الأبجدية السريالية.

وقد تم ملاحظته من قبل u/yuexist  وهو مستخدم في موقع reddit من هنا ، الموقع يعدك بأن يسمح لك بتثبيت واتس أب Whatsapp بألوان مختلفة.

الجميع يحبون خيارات الألوان ، صحيح ؟ لكن إذا قمتم بزيارة الرابط ، فسيتم سؤالكم أن تشاركوا الموقع مع أصدقائكم “وذلك للتحقق بحسب ما يدعي الموقع” . عندها سيتلقى أصدقاؤكم رسالة تقول ” أنا أحب الألوان الجديدة لواتس أب Whatsapp ” متضمناً عنوان الويب الزائف .

عندما تقوم بإجراء “التحقق المُدَّعى” عندها سوف يتم إخبارك أن ألوان واتس أب Whatsapp يمكن ولوجها فقط عن طريق سطح المكتب ، وسيتم سؤالك أن تثبت إضافة من متجر كروم Chrome الحقيقي تدعى BlackWhats .

 

كل هذا ينبغي أن يرسل حوالي 27.531 علماً أحمر لأي شخص لديه معرفة بالتقنيات ، لكن هناك الكثير من مستخدمي واتس أب Whatsapp الذين لا يمضون وقتهم في مدونات التقنيات وقد يقعون بذلك – عنوان الويب الزائف هو بالتأكيد مقنع كفاية للوهلة الأولى .

الإضافة لوحدها بها أكثر من 16000 مستخدم و تقييم أربع نجوم في 55 تقييم ، رغم ذلك هناك فقط 3 مراجعات نصية – من الصعب معرفة إذا كانت هذه التقييمات زائفة بشكل ما .

بعد فترة قامت غوغل بحذف الاضافة من على متجر كروم Chrome . وقامت بحظر الموقع عند فتحه من خلال متصفح كروم وربما أيضاً قد توقف الموقع عن العمل .

لكن على كل انتبهوا من مثل تلك الروابط فقد يقوم صاحب الموقع أو آخرين بتوفير طرق جديدة لإصابة أجهزتكم بالبرمجيات الخبيثة والفيروسات من خلال الروابط المزيفة .

فقد بدأ ذلك بالفعل بعد توفير بعض الأشخاص لروابط مزيفة مشابهة لتويتر .

كيف تمكن الباحثون من إيقاف برمجية مطالبة الفدية WannaCry

كُتب يوم بواسطة

خلال الأيام الماضية ، برنامج مطالبة فدية يدعى WannaCry أوقف أكثر من 75000 حاسوباً عن العمل في 99 بلداً التفاصيل في مقالة ذكرناها سابقاً هنا , متضمناً عدداً من المشافي في المملكة المتحدة ووحدات هامة لتوزيع الغاز والماء في اسبانيا . لكن بالرغم من المقياس الهائل للهجوم ، تبين أن إيقاف العدوى الجديدة من الهجوم سهلة كـ حجز عنوان ويب واحد (نطاق) Domain .

حيث أن الباحثين أعلنوا أنهم قد وجدوا زر قتل في شيفرة برنامج مطالبة الفدية والذي هو نطاق Domain واحد والذي عند حجزه يمكنه أن يمنع حدوث إصابات جديدة . لا يبدو جلياً إذا كان التسجيل في ذلك المجال سيمنع كامل العدوى ، لكنه يجب أن يحد بشكل كبير الانتشار العالمي للهجوم .

عنوان الويب المهم وُجد في قسم صغير من الشيفرة ، والذي لا يزال الهدف من وجوده غير واضح .

فقط فإنه عندما يعدي البرنامج حاسوباً جديداً ، يقوم بالبداية بالتحقق من عنوان ويب غامض وهو iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com ليتأكد من أن المجال Domain قد تم حجزه (تسجيله) . وطالما بقي المجال غير محجوزاً أي متوفراً فإن العدوى تستمر ، لتقوم بتشفير القرص الصلب للحاسوب وإغلاقه إلى أن يتم دفع الفدية .

هذه الميزة لوحظت أولاً من قبل باحث انكليزي عمره 22 عاماً الذي يكتب تحت اسم MalwareTech . كتجربة ، قام الباحث MalwareTech بتسجيل المجال (النطاق) ؛

الآن عندما يقوم البرنامج بتحققه ، يجد أن عنوان الويب (النطاق) الدومين Domain قد تم حجزه (تسجيله) وهو قيد الاستعمال . لاحقاً ظهر جلياً أثر هذه الحركة : حيث أن حجز ذلك المجال منع أي عدوى جديدة من التأثير . عندما تكتشف برمجية الفدية أن المجال (الدومين) محجوز ، فهي توقف فوراً عملية التثبيت ، تاركةً النظام الأكبر بدون تأثير .

نتيجة هذه العملية هي حماية كبرى للحواسيب التي لم تتأثر بعد ببرمجية مطالبة الفدية حيث أنه إذا وصلت برمجية الفدية إلى حاسوبك ، فإن زر القتل (حجز النطاق) سيوقف البرمجية من وضعك تحت رهن الفدية .

لا يزال غير واضح لم تضمنت برمجية الفدية مثل زر القتل هذا . البعض تكهنوا أنها طريقة من قبل الصانع ليوقفها عن العمل عن بعد ، رغم ذلك لا يوجد أي مؤشر أنه قد قرر فعل ذلك .

الباحث MalwareTech لديه نظرية مختلفة : التحقق من المجال (النطاق) كان طريقة ليبقي برمجية الفدية بعيداً عن الملاحظة من باحثي البرمجيات الخبيثة . إذا كان البرنامج يتم تشغيله في بيئة متحكم بها “Sandbox” والذي يتم استعماله بشكل شائع من قبل الباحثين لفحص الشيفرات بدون فضح أنفسهم للبرمجيات الخبيثة ، فإن المجال قد يستجيب أنه محجوز كنتيجة لمحدودية لـ Sandbox (عدم قدرته على الاتصال بالإنترنيت) . في تلك الحالات ، منع التثبيت كان ليكون خدعة نافعة .

ضغط مفتاح القتل قد لا يوقف برمجية الفدية WannaCry كلياً .

إنه لمن غير الواضح كيف أن العديد من الإصابات الملاحظة كانت نتيجة سلسلة محددة من البرمجية الخبيثة التي تم تحليلها من قبل الباحث MalwareTech . أكثر من ذلك ، فإنه سيكون سهلاً للمؤلفين أن يرسلوا إصداراً جديداً من برمجية انتزاع الفدية مع مجال مختلف أو بدون بروتوكول زر القتل كله .