^(DLL)يرمز DLL إلى مكتبات الارتباط الديناميكي^{(Dynamic Link Libraries)} وهي أجزاء خارجية من التطبيقات التي تعمل على Windows أو أي نظام تشغيل آخر. معظم التطبيقات ليست كاملة في حد ذاتها وتخزن الكود في ملفات مختلفة. إذا كانت هناك حاجة إلى الكود ، يتم تحميل الملف ذي الصلة في الذاكرة واستخدامه. يؤدي ذلك إلى تقليل حجم ملف التطبيق أثناء تحسين استخدام ذاكرة الوصول العشوائي^(RAM) . تشرح هذه المقالة ما هو DLL Hijacking وكيفية اكتشافه ومنعه.

ما هي ملفات^(Files) DLL أو مكتبات الارتباط الديناميكي^{(Dynamic Link Libraries)}

ملفات DLL^(DLL) هي مكتبات ارتباط ديناميكي^{(Dynamic Link Libraries)} وكما يتضح من الاسم ، فهي امتدادات لتطبيقات مختلفة. أي تطبيق نستخدمه قد يستخدم أو لا يستخدم رموزًا معينة. يتم تخزين هذه الرموز في ملفات مختلفة ويتم استدعاؤها أو تحميلها في ذاكرة الوصول العشوائي^(RAM) فقط عندما يكون الرمز المرتبط مطلوبًا. وبالتالي ، فإنه يحفظ ملف التطبيق من أن يصبح كبيرًا جدًا ولمنع استنزاف الموارد بواسطة التطبيق.

يتم تعيين مسار ملفات DLL بواسطة نظام التشغيل Windows . يتم تعيين المسار باستخدام المتغيرات البيئية العالمية^{(Global Environmental Variables)} . بشكل افتراضي ، إذا طلب أحد التطبيقات ملف DLL ، فإن نظام التشغيل يبحث في نفس المجلد الذي تم تخزين التطبيق فيه. إذا لم يتم العثور عليه هناك ، فإنه ينتقل إلى مجلدات أخرى كما تم تعيينها بواسطة المتغيرات العامة. هناك أولويات مرتبطة بالمسارات وهي تساعد Windows في تحديد المجلدات التي تبحث عن مكتبات DLL^(DLLs) . هذا هو المكان الذي يأتي فيه اختطاف DLL .

ما هو اختطاف DLL

نظرًا لأن DLLs هي امتدادات وضرورية لاستخدام جميع التطبيقات تقريبًا على أجهزتك ، فهي موجودة على الكمبيوتر في مجلدات مختلفة كما هو موضح. إذا تم استبدال ملف DLL الأصلي بملف DLL مزيف يحتوي على تعليمات برمجية ضارة ، يُعرف باسم DLL Hijacking .

كما ذكرنا سابقًا ، هناك أولويات فيما يتعلق بالمكان الذي يبحث فيه نظام التشغيل عن ملفات DLL . أولاً^(First) ، يبحث في نفس المجلد مثل مجلد التطبيق ثم يذهب للبحث ، بناءً على الأولويات التي تحددها متغيرات البيئة لنظام التشغيل. وبالتالي ، إذا كان ملف good.dll موجودًا في مجلد SysWOW64 وقام شخص ما بوضع bad.dll في مجلد له أولوية أعلى مقارنة بمجلد SysWOW64 ، فسيستخدم نظام التشغيل ملف bad.dll ، لأنه يحمل نفس اسم DLL طلبها التطبيق. بمجرد دخوله إلى ذاكرة الوصول العشوائي^(RAM) ، يمكنه تنفيذ التعليمات البرمجية الضارة الموجودة في الملف وقد يعرض جهاز الكمبيوتر أو الشبكات للخطر.

كيفية اكتشاف اختطاف DLL

أسهل طريقة لاكتشاف ومنع اختطاف DLL هي استخدام أدوات الجهات الخارجية. هناك بعض الأدوات المجانية الجيدة المتوفرة في السوق والتي تساعد في اكتشاف محاولة اختراق DLL ومنعها.

أحد هذه البرامج هو DLL Hijack Auditor ولكنه يدعم تطبيقات 32 بت فقط. يمكنك تثبيته على جهاز الكمبيوتر الخاص بك ومسح جميع تطبيقات Windows الخاصة بك لمعرفة ما هي جميع التطبيقات المعرضة لاختطاف DLL . الواجهة بسيطة وواضحة. العيب الوحيد لهذا التطبيق هو أنه لا يمكنك فحص تطبيقات 64 بت.

يتوفر برنامج آخر لاكتشاف اختطاف  DLL ، DLL_HIJACK_DETECT ، عبر GitHub . يتحقق هذا البرنامج من التطبيقات لمعرفة ما إذا كان أي منها عرضة لاختطاف DLL . إذا كان الأمر كذلك ، يقوم البرنامج بإعلام المستخدم. يحتوي التطبيق على إصدارين - x86 و x64 بحيث يمكنك استخدام كل منهما لفحص تطبيقات 32 بت و 64 بت على التوالي.

تجدر الإشارة إلى أن البرامج المذكورة أعلاه تقوم فقط بفحص التطبيقات الموجودة على نظام Windows^(Windows) الأساسي بحثًا عن نقاط الضعف ولا تمنع بالفعل اختطاف ملفات DLL .

كيفية منع اختطاف DLL

يجب معالجة هذه المشكلة من قبل المبرمجين في المقام الأول حيث لا يوجد الكثير مما يمكنك فعله باستثناء تعزيز أنظمة الأمان الخاصة بك. إذا بدأ المبرمجون في استخدام مسار مطلق بدلاً من المسار النسبي ، فسيتم تقليل الثغرة الأمنية. عند قراءة المسار المطلق ، لن يعتمد Windows أو أي نظام تشغيل آخر على متغيرات النظام للمسار وسيذهب مباشرة إلى DLL المقصود ، وبالتالي استبعاد فرص تحميل نفس الاسم DLL في مسار ذي أولوية أعلى. هذه الطريقة أيضًا ، ليست مقاومة للفشل لأنه إذا تم اختراق النظام ، وكان مجرمو الإنترنت يعرفون المسار الدقيق لـ DLL ، فسيستبدلون ^(DLL)DLL الأصلي بـ DLL المزيف. سيؤدي ذلك إلى الكتابة فوق الملف بحيث يتم تغيير DLL الأصلي إلى تعليمات برمجية ضارة. ولكن مرة أخرى ، سيحتاج مجرم الإنترنت إلى معرفة المسار المطلق الدقيق المذكور في التطبيق الذي يستدعي DLL . هذه العملية صعبة لمجرمي الإنترنت وبالتالي يمكن الاعتماد عليها.

بالعودة إلى ما يمكنك القيام به ، ما عليك سوى محاولة توسيع نطاق أنظمة الأمان لديك لتأمين نظام Windows^{(secure your Windows system)} بشكل أفضل . استخدم جدار حماية^(firewall) جيد . إذا أمكن ، استخدم جدار حماية للأجهزة أو قم بتشغيل جدار حماية جهاز التوجيه. استخدم أنظمة كشف التسلل الجيدة حتى تعرف ما إذا كان أي شخص يحاول اللعب بجهاز الكمبيوتر الخاص بك.

إذا كنت تعمل على استكشاف أخطاء أجهزة الكمبيوتر وإصلاحها ، فيمكنك أيضًا إجراء ما يلي لزيادة الأمان:

1. تعطيل تحميل DLL من مشاركات الشبكة البعيدة
2. تعطيل تحميل ملفات DLL من ^(DLL)WebDAV
3. قم بتعطيل خدمة WebClient تمامًا أو قم بتعيينها يدويًا
4. ^(Block)قم بحظر منفذي TCP 445 و 139 حيث يتم استخدامهما في الغالب لتسوية أجهزة الكمبيوتر
5. قم بتثبيت آخر التحديثات لنظام التشغيل وبرامج الأمان.

^(Microsoft)أصدرت Microsoft أداة لمنع هجمات اختطاف تحميل DLL . تعمل هذه الأداة على التخفيف من مخاطر هجمات اختطاف DLL من خلال منع التطبيقات من تحميل التعليمات البرمجية بشكل غير آمن من ملفات DLL .

إذا كنت ترغب في إضافة أي شيء إلى المقال ، يرجى التعليق أدناه.^{(If you would like to add anything to the article, please comment below.)}

DLL Hijacking Vulnerability Attacks, Prevention & Detection

DLL stands for Dynamic Link Libraries and are external parts of applicatіons that run on Windows or any other operating system. Most applications are not сomplete in themselves and store code in different files. If there is a need for the code, the related file is loaded into memory and used. This reduces application file size while oрtimizing the usage of RAM. This article explains what is DLL Hijacking and how to detect and prevent it.

What are DLL Files or Dynamic Link Libraries

DLL files are Dynamic Link Libraries and as evident by the name, are extensions of different applications. Any application we use may or may not use certain codes. Such codes are stored in different files and are invoked or loaded into RAM only when the related code is required. Thus, it saves an application file from becoming too big and to prevent resource hogging by the application.

The path for DLL files are set by the Windows operating system. The path is set using Global Environmental Variables. By default, if an application requests a DLL file, the operating system looks into the same folder in which the application is stored. If it is not found there, it goes to other folders as set by the global variables. There are priorities attached to paths and it helps Windows in determining what folders to look for the DLLs. This is where the DLL hijacking comes in.

What is DLL Hijacking

Since DLLs are extensions and necessary to using almost all applications on your machines, they are present on the computer in different folders as explained. If the original DLL file is replaced with a fake DLL file containing malicious code, it is known as DLL Hijacking.

As mentioned earlier, there are priorities as to where the operating system looks for DLL files. First, it looks into the same folder as the application folder and then goes searching, based on the priorities set by the environment variables of the operating system. Thus if a good.dll file is in SysWOW64 folder and someone places a bad.dll in a folder that has higher priority compared to SysWOW64 folder, the operating system will use the bad.dll file, as it has the same name as the DLL requested by the application. Once in RAM, it can execute the malicious code contained in the file and may compromise your computer or networks.

How to detect DLL Hijacking

The easiest method to detect and prevent DLL hijacking is to use third-party tools. There are some good free tools available in the market that helps in detecting a DLL hack attempt and prevent it.

One such program is DLL Hijack Auditor but it supports only 32-bit applications. You can install it on your computer and scan all your Windows applications to see what all applications are vulnerable to DLL hijack. The interface is simple and self-explanatory. The only drawback of this application is that you cannot scan 64-bit applications.

Another program, to detect DLL hijacking, DLL_HIJACK_DETECT, is available via GitHub. This program checks applications to see if any of them are vulnerable to DLL hijacking. If it is, the program informs the user. The application has two versions – x86 and x64 so that you can use each to scan both 32-bit and 64-bit applications respectively.

It should be noted that the above programs just scan the applications on the Windows platform for vulnerabilities and do not actually prevent the hijacking of DLL files.

How to prevent DLL Hijacking

The issue should be tackled by the programmers in the first place as there is not much you can do except to beef up your security systems. If instead of a relative path, programmers start using an absolute path, the vulnerability will be reduced. Reading the absolute path, the Windows or any other operating system will not depend on system variables for path and will go straight for the intended DLL, thereby dismissing the chances of loading the same name DLL in a higher priority path. This method too, is not fail-proof because if the system is compromised, and the cybercriminals know the exact path of DLL, they will replace the original DLL with the fake DLL. That would be overwriting the file so that the original DLL is changed into malicious code. But again, the cybercriminal will need to know the exact absolute path mentioned in the application that calls for the DLL. The process is tough for cybercriminals and hence can be counted upon.

Coming back to what you can do, just try to scale up your security systems to better secure your Windows system. Use a good firewall. If possible, use a hardware firewall or turn on the router firewall. Use good intrusion detection systems so that you know if anyone is trying to play with your computer.

If you are into troubleshooting computers, you may also perform the following to up your security:

1. Disable DLL loading from remote network shares
2. Disable loading of DLL files from WebDAV
3. Disable WebClient service completely or set it to manual
4. Block the TCP ports 445 and 139 as they are used most for compromising computers
5. Install the latest updates to the operating system and security software.

Microsoft has released a tool to block DLL load hijacking attacks. This tool mitigates the risk of DLL hijacking attacks by preventing applications from insecurely loading code from DLL files.

If you would like to add anything to the article, please comment below.

Related posts

• ما هو بعيد Access Trojan؟ الوقاية، Detection & Removal

• Fileless Malware Attacks، Protection and Detection

• كيفية تجنب Phishing Scams and Attacks؟

• Cyber Attacks - تعريف، Types، الوقاية

• Browser Hijacking and Free Browser Hijacker Removal Tools

• كيفية التحقق مما إذا كان الملف ضارا أم لا في نظام التشغيل Windows 11/10

• أفضل Online Online Malware Scanners لمسح ملف

• كيفية استخدام Chrome browser في Malware Scanner & Cleanup Tool يحمل في ثناياه عوامل

• ما هو CandyOpen؟ كيفية إزالة CandyOpen من Windows 10؟

• كيفية استخدام Malwarebytes Anti-Malware لإزالة Malware

• ما هو FileRepMalware؟ يجب عليك إزالته؟

• كيفية إزالة Chromium Virus من Windows 11/10

• Malware Submission: أين يجب تقديم ملفات البرامج الضارة إلى Microsoft & others؟

• أفضل ماسحات ضوئية للفيروسات والبرامج الضارة مضمونة ل Nuke Any Virus

• تحقق مما إذا كان جهاز الكمبيوتر الخاص بك قد أصيب به ASUS Update Malware

• cryptojacking الجديد browser mining threat تحتاج إلى معرفته

• Prevent Drive-by التنزيلات والهجمات الضارة ذات الصلة

• خطأ فشل Fix Search عند تشغيل Chrome Malware Scanner

• Programs or Applications غير المرغوب فيها. Avoid PUP/PUA تركيب

• كيفية منع Malware - نصائح لWindows 11/10 آمنة