CVE-2021-34448

IMMEDIATE ACTIONS:

1. Identify all Windows systems running affected versions (Windows 7, 8.1, 10, Server 2008 R2, 2012, 2012 R2, 2016, 2019)

2. Disable Windows Scripting Engine (VBScript/JScript) on systems where not operationally required

3. Block .vbs, .js, .jse file execution via Group Policy and AppLocker

4. Implement network segmentation to isolate critical systems



PATCHING GUIDANCE:

1. Deploy Microsoft security updates KB5004564 (or later cumulative updates) immediately

2. Prioritize patching for: domain controllers, email servers, web servers, and user-facing systems

3. Test patches in isolated environment before production deployment

4. Establish rollback procedures before patching



COMPENSATING CONTROLS:

1. Deploy YARA rules to detect malicious VBScript/JScript execution patterns

2. Monitor Windows Event Log for Script Engine errors (Event ID 1000, 1001)

3. Implement EDR solutions with behavioral detection for script-based attacks

4. Block execution from temporary directories (%TEMP%, %APPDATA%)



DETECTION RULES:

1. Monitor for cscript.exe, wscript.exe execution with suspicious arguments

2. Alert on .vbs/.js file creation in user profiles and temp directories

3. Track Windows Scripting Engine process spawning child processes

4. Monitor registry modifications to HKLM\Software\Microsoft\Windows Script Host

الإجراءات الفورية:

1. تحديد جميع أنظمة Windows التي تعمل بالإصدارات المتأثرة

2. تعطيل محرك البرامج النصية في الأنظمة التي لا تتطلبها عملياً

3. حظر تنفيذ ملفات .vbs و .js عبر Group Policy و AppLocker

4. تطبيق تقسيم الشبكة لعزل الأنظمة الحرجة



إرشادات التصحيح:

1. نشر تحديثات أمان Microsoft فوراً (KB5004564 أو تحديثات تراكمية أحدث)

2. إعطاء الأولوية لتصحيح: متحكمات المجال وخوادم البريد والخوادم الويب والأنظمة الموجهة للمستخدمين

3. اختبار التصحيحات في بيئة معزولة قبل النشر الإنتاجي

4. إنشاء إجراءات التراجع قبل التصحيح



الضوابط البديلة:

1. نشر قواعد YARA للكشف عن أنماط تنفيذ VBScript/JScript الضارة

2. مراقبة سجل أحداث Windows للأخطاء (Event ID 1000, 1001)

3. تطبيق حلول EDR مع الكشف السلوكي

4. حظر التنفيذ من المجلدات المؤقتة



قواعد الكشف:

1. مراقبة تنفيذ cscript.exe و wscript.exe برموز مريبة

2. تنبيهات إنشاء ملفات .vbs/.js في ملفات تعريف المستخدمين

3. تتبع عمليات محرك البرامج النصية التي تولد عمليات فرعية

4. مراقبة تعديلات السجل