CVE-2025-9491 هي مشكلة في طريقة عرض Windows لمحتوى ملفات الاختصار .LNK، سمحت لملفات مصممة بعناية بإخفاء Command-line Arguments خطرة عن المستخدم عند فحص خصائص الاختصار. عند كشفها علنًا في مارس 2025 كانت تُعرف باسم ZDI-CAN-25373 / ZDI-25-148، وكان باحثو Trend Micro قد ربطوا التقنية بحملات تعود إلى 2017 وبـ11 مجموعة مدعومة من دول.
المهم في 2026 أن وصفها بأنها «ثغرة Windows غير مصححة» لم يعد يعكس الصورة كاملة. خلال 2025 تغير سلوك واجهة خصائص ملفات LNK في فروع حديثة من Windows بحيث يمكن عرض ونسخ كامل محتوى حقل Target بدل إخفاء الجزء الموجود بعد مسافات طويلة. لكن ملفات LNK الخبيثة نفسها لم تختفِ كوسيلة لتنفيذ الأوامر وتوصيل البرمجيات الضارة، لذلك تبقى مراقبتها مهمة حتى على الأنظمة المحدثة.
ما هي CVE-2025-9491 باختصار؟
ملف LNK هو Windows Shell Link، أي ملف اختصار يمكنه الإشارة إلى برنامج أو ملف أو مجلد، كما يمكن أن يحتوي على Arguments يتم تمريرها إلى البرنامج عند تشغيل الاختصار. توثق مواصفات Microsoft الرسمية لملفات Shell Link البنية الثنائية لهذا النوع من الملفات.
المشكلة التي اكتشفها الباحثون لم تكن أن مجرد وجود ملف LNK على الجهاز يؤدي إلى الاختراق، بل أن Windows كان يستطيع تنفيذ Arguments موجودة داخل الاختصار بينما لا تعرض نافذة Properties هذه المعلومات الأمنية كاملة للمستخدم.
يصنف الخلل ضمن CWE-451: User Interface Misrepresentation of Critical Information، أي أن واجهة المستخدم لا تمثل بصورة صحيحة معلومات يحتاجها المستخدم لتقييم خطورة الملف.
كيف أخفت ملفات LNK الأوامر الخبيثة؟
وفق التحليل الأصلي لـTrend Micro، استغل المهاجمون حقيقة أن ملفات LNK تستطيع تخزين Command-line Arguments داخل بنيتها.
كان المهاجم يضع عددًا كبيرًا من محارف Whitespace قبل الجزء الخبيث، مثل المسافات أو Tab أو Line Feed. وعندما يفتح المستخدم خصائص الاختصار لفحص حقل Target، تعرض الواجهة الجزء الأول بينما يبقى الأمر الموجود لاحقًا خارج الجزء المرئي.
يمكن تبسيط الفكرة هكذا:
- الاختصار يشير ظاهريًا إلى برنامج أو مسار يبدو طبيعيًا.
- داخله توجد Arguments إضافية.
- يُضاف Padding طويل قبل الأمر الحقيقي.
- واجهة Windows القديمة لا تعرض كامل السلسلة للمستخدم.
- عند تشغيل الاختصار، تُمرر Arguments الحقيقية إلى العملية المستهدفة.
استخدمت الحملات التي درسها الباحثون برامج شرعية مدمجة في Windows مثل cmd.exe وpowershell.exe ضمن سلاسل هجوم لاحقة، لكن CVE-2025-9491 بحد ذاتها لا تمنح المهاجم SYSTEM ولا تتجاوز تلقائيًا حدود صلاحيات الحساب المستخدم.
هل CVE-2025-9491 ثغرة Zero-Click؟
لا. يتطلب الاستغلال تفاعل المستخدم. توضح نشرة Zero Day Initiative أن الضحية تحتاج إلى زيارة محتوى خبيث أو فتح ملف ضار حتى ينجح الهجوم.
إذا فتح المستخدم ملف LNK المعد للهجوم، يمكن تنفيذ الأوامر في سياق حسابه الحالي. لذلك من المهم التفريق بين:
- وجود ملف LNK: لا يعني وحده تنفيذ كود.
- فتح LNK خبيثة: قد يبدأ عملية أو أمرًا معدًا مسبقًا.
- الحصول على صلاحيات SYSTEM: ليس نتيجة تلقائية لهذه CVE، وقد يحتاج المهاجم إلى مرحلة أو ثغرة إضافية.
وهذا مثال عملي على أهمية التمييز بين Vulnerability وExploit وActive Exploitation وغيرها من مصطلحات الأمن السيبراني الأساسية.
لماذا كان إخفاء Target مهمًا للمهاجمين؟
ملفات الاختصار ليست آلية جديدة لتنفيذ الأوامر؛ الميزة التي قدمتها CVE-2025-9491 للمهاجم كانت تقليل قدرة المستخدم أو المحلل الذي يعتمد على نافذة Properties على معرفة ما سيفعله الملف فعليًا.
كما يستطيع ملف LNK استخدام أيقونة مصممة لتبدو مثل مستند أو ملف آخر، ما يجعل الاختصار أكثر إقناعًا ضمن حملات التصيد والهندسة الاجتماعية.
بالتالي كانت المشكلة طبقة تمويه داخل سلسلة هجوم أوسع، وليست محرك تنفيذ مستقلًا يختصر جميع مراحل الاختراق.
11 مجموعة مدعومة حكوميًا استغلت التقنية
قال فريق Trend Micro Zero Day Initiative إنه اكتشف قرابة ألف عينة LNK خبيثة مرتبطة بهذه الطريقة، مع وجود مئات العينات الأخرى التي لم يتمكن الباحثون من إسنادها بثقة إلى جهة محددة.
وخلص التحليل إلى استخدام التقنية من قبل 11 مجموعة مدعومة من دول مرتبطة بكوريا الشمالية وإيران وروسيا والصين، إضافة إلى مجموعات وجهات إجرامية أخرى.
ووفق البيانات التي حللها الباحثون، كان ما يقارب 70% من مجموعات الحملات المرتبطة بالأسلوب تركز أساسًا على التجسس وسرقة المعلومات، بينما ارتبط أكثر من 20% بدوافع مالية.
شملت القطاعات المستهدفة جهات حكومية ومؤسسات مالية واتصالات وقطاعات عسكرية ودفاعية وطاقة ومراكز أبحاث، لكن هذه البيانات تصف العينات والحملات التي تمكن الباحثون من رصدها ولا تعني أن كل مستخدم لملف LNK الخبيث ينتمي إلى جهة حكومية.
متى بدأت القصة؟
- منذ 2017: عثر Trend Micro على حملات قديمة تستخدم الأسلوب نفسه.
- 20 سبتمبر 2024: أبلغ ZDI شركة Microsoft بالمشكلة.
- سبتمبر ونوفمبر 2024: تبادل الباحثون وMicrosoft معلومات إضافية حول الحالة.
- 3 مارس 2025: بقي تقييم Microsoft آنذاك أن الحالة لا تستوفي معيار إصدار Security Patch.
- 18 مارس 2025: نشر ZDI وTrend Micro التفاصيل علنًا تحت ZDI-CAN-25373.
- 26 أغسطس 2025: حصلت المشكلة على المعرف الرسمي CVE-2025-9491.
- سبتمبر وأكتوبر 2025: رصد Arctic Wolf استغلال التقنية ضمن حملة تجسس مرتبطة بجهة صينية ضد مؤسسات دبلوماسية أوروبية.
- أواخر 2025: أكدت بيانات CVE وتوجيهات Microsoft تغير سلوك واجهة خصائص LNK في إصدارات حديثة من Windows.
ماذا حدث بعد الكشف؟
هذه هي النقطة التي تجعل وصف خبر مارس 2025 كما كان وقت نشره غير مناسب في 2026.
توضح البيانات المضافة لاحقًا إلى سجل CVE أن Windows 11 25H2 يعرض ويتيح نسخ كامل محتوى حقل Target في خصائص ملف LNK. كما طُبق التغيير في تحديثات أكتوبر 2025 لـWindows 11 24H2 وWindows Server 2025.
كان السلوك السابق لا يعرض كل محتويات Target إذا سبقتها Whitespace Characters، وهي الآلية الأساسية التي اعتمدت عليها خدعة الإخفاء.
نشرت Microsoft أيضًا ADV25258226 الخاص بسلوك Windows LNK وCVE-2025-9491، وأكدت أهمية التحذيرات التي يعرضها Windows عند التعامل مع ملفات الاختصار القادمة من الإنترنت.
لذلك لا يصح الآن القول إن Microsoft لم تفعل شيئًا تجاه المشكلة. الأدق أن الشركة لم تتعامل معها في البداية كحالة تستوجب Security Patch فوريًا، ثم تغير سلوك واجهة LNK في إصدارات Windows الحديثة بحيث يعالج جوهر مشكلة إخفاء Target.
هل يعني ذلك أن ملفات LNK أصبحت آمنة؟
لا. التغيير يقلل مشكلة Misrepresentation في نافذة Properties، لكنه لا يزيل القدرة الطبيعية لملفات LNK على تشغيل Target وتمرير Arguments إليه.
يمكن للمهاجم الاستمرار في إرسال Shortcut خبيث يحاول إقناع الضحية بفتحه. الفرق هو أن فروع Windows الحديثة المذكورة أصبحت أفضل في إظهار محتوى Target إذا قرر المستخدم أو المحلل فحص الخصائص.
لهذا السبب يجب عدم اعتبار فتح Properties إجراء حماية كافيًا بحد ذاته.
هل ما زال CVE-2025-9491 مستغلًا بنشاط في 2026؟
هناك أدلة قوية وموثقة على استغلال فعلي تاريخي، ولا سيما الحملات التي حللها Trend Micro منذ 2017 والحملة التي كشفها Arctic Wolf في أكتوبر 2025.
لكن لا ينبغي تحويل هذه الأدلة تلقائيًا إلى ادعاء بأن CVE-2025-9491 نفسها لا تزال تُستغل بنشاط في أغسطس 2026 دون بيانات أحدث تثبت ذلك.
ما يبقى مؤكدًا هو أن ملفات LNK لا تزال Attack Surface مفيدة للمهاجمين، وأن تشغيل Shortcuts غير موثوقة قد يؤدي إلى تنفيذ أوامر وبرمجيات خبيثة حتى بدون الاعتماد على مشكلة إخفاء Target الأصلية.
كيف تكتشف نشاط LNK المشبوه؟
في بيئة مؤسسة، الأفضل ألا يبحث فريق Blue Team عن وجود PowerShell بمفرده، لأن PowerShell وCommand Prompt أدوات إدارية شرعية. القيمة الأعلى تأتي من ربط الأحداث في سلسلة واحدة.
ابحث مثلًا عن علاقة:
LNK → Process → Command Line → Network/File Activity
ومن المؤشرات التي تستحق التحقيق:
- ملف LNK وصل عبر بريد إلكتروني أو Archive من مصدر خارجي.
- Shortcut يبدأ
cmd.exeأوpowershell.exeأو أدوات نظام أخرى بصورة غير متوقعة. - عملية بدأت من LNK ثم اتصلت مباشرة بخادم خارجي.
- تنزيل ملف أو إنشاء Executable بعد ثوانٍ من فتح الاختصار.
- Child Process غير معتاد يبدأ من عملية مرتبطة بالاختصار.
- ملفات LNK ذات أحجام غير طبيعية أو Padding كبير دون سبب مشروع.
تستطيع حلول Endpoint Detection and Response ربط هذه الأحداث أفضل من الاعتماد على توقيع ملف واحد، ويمكن التوسع في دور EDR ضمن نظم الحماية الأساسية في الأمن السيبراني.
كيف تقلل الخطر الآن؟
- حدّث Windows باستمرار: استخدم إصدارًا مدعومًا وثبّت أحدث التحديثات المتاحة. إذا كنت تستخدم Windows 11، يمكنك مراجعة تحديث Windows 11 25H2 وطريقة الترقية الرسمية.
- لا تفتح LNK قادمة من مصادر غير موثوقة: خصوصًا الملفات الموجودة داخل ZIP أو Archives وصلت عبر البريد أو خدمات مشاركة الملفات.
- ضع سياسة للتعامل مع Shortcuts الخارجية: المؤسسات التي لا تحتاج إلى استقبال LNK من خارج بيئتها يمكنها عزلها أو حظرها عند بوابات البريد.
- استخدم EDR أو Endpoint Telemetry: راقب العمليات التي تبدأ مباشرة بعد فتح ملفات الاختصار بدل الاعتماد فقط على فحص الملف نفسه.
- طبق Least Privilege: تنفيذ الأوامر يحدث في سياق المستخدم الحالي، لذلك يقلل الحساب محدود الصلاحيات الأثر المحتمل للمرحلة الأولى.
- حقق في السلسلة كاملة: إذا اكتشفت LNK مشبوهة، افحص Child Processes والاتصالات والملفات التي أُنشئت بعدها بدل حذف الاختصار وإنهاء التحقيق.
هل يجب حظر PowerShell لمنع هذا الهجوم؟
الحظر الشامل لـPowerShell ليس علاجًا لـCVE-2025-9491، لأن المشكلة الأصلية في طريقة تمثيل معلومات LNK، كما يستطيع المهاجم استخدام أدوات تنفيذ أخرى.
النهج الأقوى هو مراقبة السياق: لماذا بدأ PowerShell؟ من كانت Parent Process؟ ما Arguments التي استُخدمت؟ وهل تبع التنفيذ اتصال شبكي أو تنزيل أو إنشاء ملفات؟
بهذه الطريقة تستطيع اكتشاف السلوك الخبيث دون تعطيل أداة إدارية يحتاجها مسؤولو الأنظمة.
لماذا لا تعني «11 مجموعة APT» أن كل LNK خبيثة عملية تجسس حكومية؟
تقنيات الهجوم لا تنتمي بالضرورة إلى جهة واحدة. بمجرد نجاح طريقة معينة يمكن أن تظهر لدى مجموعات حكومية ومجرمين ومشغلي Malware-as-a-Service في الوقت نفسه.
لذلك لا يكفي اكتشاف LNK تستخدم Padding أو Arguments مشبوهة لإسناد الهجوم إلى دولة محددة. Attribution الجاد يحتاج إلى أدلة إضافية مثل البنية التحتية، والبرمجيات المستخدمة، وأنماط الاستهداف، وVictimology، وتسلسل TTPs.
الخلاصة
CVE-2025-9491 لم تكن ثغرة Zero-Click تمنح المهاجم السيطرة على Windows بمجرد وصول Shortcut إلى الجهاز. جوهر المشكلة كان أن ملف LNK يستطيع احتواء Arguments خطرة بينما تخفي واجهة Windows القديمة جزءًا منها عن المستخدم، ما أعطى المهاجمين طبقة تمويه فعالة داخل حملات التصيد وتنفيذ البرمجيات الخبيثة.
استُخدمت التقنية في حملات موثقة تعود إلى 2017 وربط Trend Micro استخدامها بـ11 مجموعة مدعومة من دول، واستمر ظهورها في عمليات تجسس خلال 2025.
لكن الوضع تغير لاحقًا: فروع حديثة من Windows أصبحت تعرض كامل Target بدل السلوك القديم الذي سمح بإخفاء الأمر بعد Whitespace طويلة. لذلك لم يعد الوصف الصحيح في 2026 هو «ثغرة Windows غير مصححة»، بل مشكلة أمنية استُغلت لسنوات ثم عولج جوهر سلوك الواجهة الخاص بها في إصدارات حديثة، مع بقاء ملفات LNK نفسها وسيلة يجب التعامل معها بحذر ومراقبة ما تنفذه بعد فتحها.