Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Company / Microsoft

Microsoft

Bagaimana kesalahan Microsoft membuka jutaan PC untuk serangan malware yang kuat

by

Selama hampir dua tahun, Microsoft merusak pertahanan utama Windows yang membuat pelanggan terbuka terhadap teknik infeksi malware yang sangat efektif dalam beberapa bulan terakhir.

Microsoft dengan tegas menegaskan bahwa Pembaruan Windows akan secara otomatis menambahkan driver perangkat lunak baru ke daftar blokir yang dirancang untuk menggagalkan trik terkenal di buku pedoman infeksi malware.

Teknik malware dikenal sebagai BYOVD, kependekan dari “bawa driver Anda sendiri yang rentan” memudahkan penyerang dengan kontrol administratif untuk melewati perlindungan kernel Windows. Penyerang hanya menginstal salah satu dari lusinan driver pihak ketiga dengan kerentanan yang diketahui. Kemudian penyerang mengeksploitasi kerentanan tersebut untuk mendapatkan akses instan ke beberapa wilayah Windows yang paling dibentengi.

Namun, ternyata Windows tidak mengunduh dan menerapkan pembaruan dengan benar ke daftar blokir driver, yang membuat pengguna rentan terhadap serangan BYOVD baru.

Driver biasanya memungkinkan komputer untuk bekerja dengan printer, kamera, atau perangkat periferal lainnya—atau untuk melakukan hal lain seperti menyediakan analisis tentang fungsi perangkat keras komputer. Agar banyak driver dapat bekerja, mereka memerlukan saluran langsung ke kernel, inti dari sistem operasi tempat kode paling sensitif berada. Untuk alasan ini, Microsoft sangat membentengi kernel dan mengharuskan semua driver ditandatangani secara digital dengan sertifikat yang memverifikasi bahwa mereka telah diperiksa dan berasal dari sumber tepercaya.

Meski begitu, bagaimanapun, driver yang sah terkadang mengandung kerentanan kerusakan memori atau kelemahan serius lainnya yang, ketika dieksploitasi, memungkinkan peretas untuk menyalurkan kode berbahaya mereka langsung ke kernel. Bahkan setelah pengembang menambal kerentanan, driver lama dan buggy tetap menjadi kandidat yang sangat baik untuk serangan BYOVD karena sudah ditandatangani. Dengan menambahkan driver semacam ini ke alur eksekusi serangan malware, peretas dapat menghemat waktu pengembangan dan pengujian selama bermingguminggu.

YOVD telah menjadi fakta kehidupan setidaknya selama satu dekade. Malware yang dijuluki “Slingshot” menggunakan BYOVD setidaknya sejak 2012, dan pendatang awal lainnya ke adegan BYOVD termasuk LoJax, InvisiMole, dan RobbinHood.

Salah satu serangan semacam itu akhir tahun lalu dilakukan oleh kelompok Lazarus yang didukung pemerintah Korea Utara. Itu menggunakan driver Dell yang dinonaktifkan dengan kerentanan tingkat tinggi untuk menargetkan karyawan perusahaan kedirgantaraan di Belanda dan jurnalis politik di Belgia.

Dalam serangan BYOVD terpisah beberapa bulan lalu, penjahat dunia maya memasang ransomware BlackByte dengan menginstal dan kemudian mengeksploitasi driver buggy untuk MSI AfterBurner 4.6.2.15658 MicroStar, sebuah utilitas overclocking kartu grafis yang banyak digunakan.

Microsoft sangat menyadari ancaman BYOVD dan telah bekerja pada pertahanan untuk menghentikan serangan ini, terutama dengan membuat mekanisme untuk menghentikan Windows memuat driver yang ditandatangani tetapi rentan.

Mekanisme paling umum untuk pemblokiran driver menggunakan kombinasi dari apa yang disebut integritas memori dan HVCI, kependekan dari HypervisorProtected Code Integrity. Mekanisme terpisah untuk mencegah driver buruk ditulis ke disk dikenal sebagai ASR, atau Attack Surface Reduction.

Sumber: Arstechnica

Enkripsi email Microsoft Office 365 dapat mengekspos konten pesan

by

Peneliti keamanan di WithSecure, sebelumnya F-Secure Business, menemukan bahwa sebagian atau seluruh isi pesan terenkripsi yang dikirim melalui Microsoft Office 365 dimungkinkan untuk disadap karena penggunaan mode operasi sandi blok yang lemah.

Organisasi menggunakan Enkripsi Pesan Office 365 untuk mengirim atau menerima email, baik eksternal maupun internal, untuk memastikan kerahasiaan konten dari tujuan ke sumber.

Namun, fitur tersebut mengenkripsi data menggunakan mode Buku Kode Elektronik (ECB), yang memungkinkan menyimpulkan pesan teks biasa dalam kondisi tertentu.

Masalah utama dengan ECB adalah bahwa area berulang dalam data plaintext memiliki hasil terenkripsi yang sama ketika kunci yang sama digunakan, sehingga menciptakan sebuah pola.

Masalah ini disorot setelah pelanggaran data besar-besaran Adobe pada tahun 2013 ketika puluhan juta kata sandi bocor dan para peneliti menemukan bahwa perusahaan menggunakan mode ECB untuk mengenkripsi data, sehingga memungkinkan untuk mendapatkan kata sandi teks biasa.

Kelemahan ini kembali disorot pada tahun 2020 ketika ditemukan bahwa aplikasi telekonferensi Zoom yang banyak digunakan menggunakan kunci 128-bit yang sama untuk mengenkripsi semua audio dan video menggunakan algoritma AES dengan mode ECB.

Harry Sintonen dari WithSecure menggarisbawahi bahwa dengan Enkripsi Pesan Office 365, konten pesan terenkripsi tidak dapat diuraikan secara langsung, tetapi informasi struktural tentang pesan tersebut dapat ditangkap.

Penyerang yang dapat mengumpulkan beberapa pesan terenkripsi dapat mencari pola yang dapat menyebabkan bagian-bagian pesan menjadi dapat dibaca secara bertahap tanpa memerlukan kunci enkripsi.

Selengkapnya: Bleeping Computer

Microsoft menambahkan umpan RSS baru untuk pemberitahuan pembaruan keamanan

by

Microsoft kini telah menambahkan pembaruan yang memungkinkan untuk menerima pemberitahuan tentang pembaruan keamanan baru melalui umpan RSS baru untuk Panduan Pembaruan Keamanan.

Saat Microsoft memperbaiki kerentanan keamanan di salah satu produknya, mereka mengungkapkan detailnya di Panduan Pembaruan Keamanan (SUG).

Biasanya, Microsoft mengungkapkan kerentanan baru dua kali sebulan, sebagian besar adalah Patch Selasa bulanan dan ketika Microsoft memperbaiki kerentanan di Microsoft Edge.

Namun, jika kerentanan baru diungkapkan kepada publik sebelum Microsoft dapat memperbaikinya dan Microsoft percaya bahwa penting bagi pelanggan untuk menyadarinya, mereka akan menambahkan entri baru ke SUG saat merilis saran out-of-band.

Misalnya, bulan lalu, Microsoft menambahkan dua kerentanan zero-day Microsoft Exchange baru yang dilacak sebagai CVE-2022-41040 dan CVE-2022-41082 ke SUG.

Meskipun bug ini belum menerima pembaruan keamanan apa pun, Microsoft merilis mitigasi yang dapat membantu melindungi server yang terpapar Internet, yang menggambarkan perlunya tetap waspada terhadap masalah keamanan baru.

Sementara pemberitahuan email untuk penambahan Panduan Pembaruan Keamanan, mereka mengharuskan pengguna untuk membuat akun Microsoft untuk menerimanya dan tidak segera dikirim.

Karena itu, banyak pelanggan telah meminta Microsoft untuk menambahkan umpan RSS ke Panduan Pembaruan Keamanan sehingga mereka bisa mendapatkan pemberitahuan segera ketika CVE baru ditambahkan.

URL untuk umpan RSS baru sekarang aktif di https://api.msrc.microsoft.com/update-guide/rss dan juga dibagikan di SUG menggunakan ikon RSS, seperti yang ditunjukkan di bawah ini.

Ikon RSS baru di Panduan Pembaruan Keamanan

Untuk menggunakan fitur RSS feed baru, Anda perlu menginstal pembaca RSS Feed, baik aplikasi desktop, aplikasi seluler, atau ekstensi browser.

Setelah Anda berlangganan umpan, Anda akan secara otomatis menerima pemberitahuan saat Microsoft menambahkan CVE baru ke Panduan Pembaruan Keamanan, membantu Anda tetap waspada terhadap risiko keamanan terbaru.

Setelah Anda berlangganan feed, Anda akan mulai menerima pemberitahuan saat Microsoft menambahkan CVE baru ke Panduan Pembaruan Keamanan, membantu Anda tetap waspada terhadap risiko keamanan terbaru.

Sumber: Bleeping Computer

Microsoft meluncurkan layanan keamanan baru yang ditujukan untuk melindungi kode di cloud

by

Microsoft mengumumkan Defender Cloud Security Posture Management dan Defender untuk DevOps, dua penawaran baru dalam layanan Defender for Cloud perusahaan (sebelumnya Azure Defender) yang ditujukan untuk mengelola pengembangan perangkat lunak dan keamanan runtime di lingkungan multicloud, multi-pipa.

Dalam percakapan dengan TechCrunch, CVP Microsoft untuk keamanan cloud Shawn Bice mengatakan bahwa Defender for DevOps dan Defender Cloud Security Posture Management (atau Defender CSPM, untuk merujuknya dengan akronim yang lebih kuat) muncul dari tantangan yang semakin dihadapi perusahaan saat mereka menggunakan layanan cloud-native untuk menyebarkan dan mengelola aplikasi.

Pelanggan ini sering kali memiliki visibilitas yang tidak lengkap dan kurangnya mitigasi yang diprioritaskan, katanya, membuat keamanan mereka reaktif dibandingkan proaktif.

Menurut laporan tahun 2020 dari Orca Security, 59% tim keamanan siber melaporkan menerima lebih dari 500 peringatan tentang keamanan cloud per hari sebagian besar adalah positif palsu.

Tool sprawl sering disebut-sebut sebagai tantangan dalam menjaga keamanan kode. Menanggapi survei GitLab dari Agustus, 41% tim DevOps mengatakan bahwa mereka menggunakan antara enam hingga 10 alat dalam rantai alat pengembangan mereka, yang menyebabkan mereka melewatkan masalah keamanan.

Untuk tujuan ini, Defender CSPM memanfaatkan algoritme AI untuk melakukan analisis risiko kontekstual dari lingkungan pengembangan perangkat lunak.

Rekomendasi dan wawasan yang dihasilkan disalurkan ke platform manajemen kode sumber seperti GitHub dan Azure DevOps untuk mendorong upaya perbaikan; sebagai alternatif, pengguna dapat membuat alur kerja yang terhubung ke rekomendasi keamanan untuk memicu perbaikan otomatis.

Defender CSPM juga menyediakan “kueri serangan” yang dapat digunakan tim keamanan untuk menjelajahi data risiko dan ancaman, serta dasbor yang menunjukkan semua aturan yang diterapkan di seluruh lingkungan pengembang dan alat yang memungkinkan admin keamanan untuk menentukan aturan baru.

Adapun Defender untuk DevOps, ini menunjukkan postur keamanan kode aplikasi pra-produksi dan konfigurasi sumber daya. Tim keamanan dapat menggunakan layanan untuk mengaktifkan template dan gambar kontainer yang dirancang untuk meminimalkan kemungkinan kesalahan konfigurasi cloud mencapai lingkungan produksi.

Dengan peluncuran Defender CSPM dan Defender for Cloud, jelas Microsoft mencari bagian yang lebih besar dari segmen DevSecOps yang besar dan berkembang. Grand View Research memperkirakan bahwa pasar untuk DevSecOps — yang mencakup alat yang mengotomatiskan praktik keamanan di setiap langkah pengembangan perangkat lunak — bernilai $2,79 miliar pada tahun 2020.

Startup termasuk Spectral, yang bertujuan untuk mendeteksi potensi masalah keamanan dalam basis kode dan log, dan Cycode, yang menawarkan alat untuk mengamankan saluran DevOps, mungkin dianggap sebagai pesaing.

Tetapi skala Microsoft dan fakta bahwa Defender CSPM dan Defender for Cloud gratis untuk pelanggan Defender for Cloud selama periode pratinjau memberikan keuntungan.

“Microsoft berkomitmen untuk memungkinkan keamanan untuk semua,” tambah Bice, “[dengan] tolok ukur keamanan cloud yang komprehensif di berbagai cloud.”

Sumber: TechCrunch

Server Microsoft Exchange diretas untuk menyebarkan ransomware LockBit

by

Microsoft sedang menyelidiki laporan bug zero-day baru yang disalahgunakan untuk meretas server Exchange yang kemudian digunakan untuk meluncurkan serangan ransomware Lockbit.

Setidaknya dalam satu insiden sejak Juli 2022, penyerang menggunakan web shell yang sebelumnya digunakan pada server Exchange yang disusupi untuk meningkatkan hak istimewa ke admin Active Directory, mencuri sekitar 1,3 TB data, dan mengenkripsi sistem jaringan.

Seperti yang dijelaskan oleh perusahaan keamanan siber Korea Selatan AhnLab, yang ahli analisis forensiknya dipekerjakan untuk membantu penyelidikan, pelaku ancaman hanya membutuhkan waktu seminggu untuk membajak akun admin AD sejak web shell diunggah.

AhnLab mengatakan server Exchange kemungkinan diretas menggunakan “kerentanan zero-day yang tidak diungkapkan,” mengingat korban menerima dukungan teknis dari Microsoft untuk menyebarkan patch keamanan triwulanan setelah kompromi sebelumnya dari Desember 2021.

Seperti yang dikatakan juru bicara Microsoft kepada BleepingComputer sebelumnya, perusahaan sedang “menyelidiki klaim dalam laporan ini dan akan mengambil tindakan apa pun yang diperlukan untuk membantu melindungi pelanggan.”

Selengkapnya: Bleeping Computer

Microsoft October 2022 Patch Tuesday memperbaiki zero-day yang digunakan dalam serangan serta 84 kelemahan

by

Microsoft telah merilis Patch Tuesday bulan Oktober 2022, dan dengan itu datang perbaikan untuk kerentanan Windows yang dieksploitasi secara aktif dan total 84 kelemahan.

Tiga belas dari 84 kerentanan yang diperbaiki dalam pembaruan kali ini diklasifikasikan sebagai ‘Kritis’ karena memungkinkan peningkatan hak istimewa, spoofing, atau eksekusi kode jarak jauh, salah satu jenis kerentanan yang paling parah.

Patch Tuesday bulan ini juga memperbaiki dua kerentanan zero-day, satu secara aktif dieksploitasi dalam serangan dan satu diungkapkan secara publik.

Kerentanan zero-day yang dieksploitasi secara aktif yang diperbaiki kali ini dilacak sebagai ‘CVE-2022-41033 – Windows COM+ Event System Service Elevation of Privilege Vulnerability’.

“Seorang penyerang yang berhasil mengeksploitasi kerentanan ini dapat memperoleh hak istimewa SISTEM,” bunyi nasihat Microsoft.

Kerentanan yang diungkapkan kepada publik dilacak sebagai ‘CVE-2022-41043 – Microsoft Office Information Disclosure Vulnerability’ dan ditemukan oleh Cody Thomas dari SpecterOps. Microsoft mengatakan penyerang dapat menggunakan kerentanan ini untuk mendapatkan akses ke token otentikasi pengguna.

Microsoft meminta pengguna untuk segera menerapkan pembaruan sesegera mungkin untuk melindungi sistem mereka.

Selengkapnya: Bleeping Computer

Peretas Pertahanan Email Microsoft

by

Semakin banyak penyerang siber yang berfokus pada pembuatan serangan yang dikhususkan untuk melewati keamanan default Microsoft

“Banyak peretas menganggap email dan Microsoft 365 sebagai titik awal kompromi mereka, [sehingga mereka] akan menguji dan memverifikasi bahwa mereka dapat melewati keamanan default Microsoft,” menurut laporan baru dari Avanan yang menandai peningkatan dalam telemetri pelanggannya. email berbahaya yang mendarat di kotak email yang dilindungi Microsoft.

Beberapa angka yang menarik dalam laporan, diperoleh dari analisis 3 juta email perusahaan pada tahun lalu, termasuk:

Sekitar 19% email phishing yang diamati oleh Avanan melewati Microsoft Exchange Online Protection (EOP) dan Defender.
Sejak tahun 2020, tingkat phishing yang terlewatkan Defender di antara pelanggan Avanan telah meningkat sebesar 74%.
Rata-rata, Defender hanya mengirimkan 7% dari pesan phishing yang diterima oleh pelanggan Avanan ke folder Junk.
Kabar baiknya: Microsoft menandai dan memblokir 93% upaya kompromi email bisnis.

Microsoft menangkap 90% email yang dijebak dengan lampiran yang sarat malware.
Sekali lagi, angka tersebut menunjukkan evolusi phishing dan fakta bahwa penyerang semakin sering menggunakan taktik seperti memanfaatkan layanan yang sah untuk menghindari menyertakan tautan yang jelas-jelas berbahaya dalam email, menggunakan teknik penyamaran seperti URL cantik, dan menghindari lampiran sama sekali.

Untuk mempertahankan diri terhadap serangan yang dibuat khusus ini, organisasi dapat menggunakan pendekatan dasar pertahanan mendalam dengan empat cabang utama, menurut Roger Grimes, penginjil pertahanan berbasis data di KnowBe4.

Cabang-cabang tersebut meliputi: Fokus yang lebih baik untuk mencegah rekayasa sosial, menggunakan kombinasi kebijakan, pertahanan teknis, dan pendidikan terbaik; patch perangkat lunak dan firmware, terutama yang terdaftar di Katalog Kerentanan yang Diketahui CISA yang Dieksploitasi; menggunakan otentikasi multifaktor tahan phishing (MFA); dan menggunakan kata sandi yang berbeda dan aman untuk setiap situs dan layanan di mana MFA tidak dapat digunakan.

“Tidak ada pertahanan lain, selain empat ini, yang akan berdampak paling besar pada penurunan risiko keamanan siber,” kata Grimes. “Kurangnya fokus dunia pada empat pertahanan inilah yang telah membuat peretas dan malware begitu sukses begitu lama.”

Sumber: Dark Reading

Mitigasi server zero-day Microsoft Exchange dapat dilewati

by

Microsoft telah berbagi mitigasi untuk dua kerentanan zero-day Microsoft Exchange baru yang dilacak sebagai CVE-2022-41040 dan CVE-2022-41082, tetapi para peneliti memperingatkan bahwa mitigasi untuk server lokal masih jauh dari cukup.

Pelaku ancaman sudah merantai kedua bug zero-day ini dalam serangan aktif untuk menembus server Microsoft Exchange dan mencapai eksekusi kode jarak jauh.

Microsoft berbagi mitigasi untuk server lokal dan rekomendasi kuat bagi pelanggan Exchange Server untuk “menonaktifkan akses PowerShell jarak jauh untuk pengguna “non-admin” di organisasi.”

Untuk mengurangi risiko eksploitasi, Microsoft mengusulkan pemblokiran pola serangan yang diketahui melalui rule di Manajer IIS:

  • Buka Manajer IIS.
  • Pilih Situs Web Default.
  • Di** Feature View**, klik URL Rewrite.
  • Di panel Tindakan di sisi kanan, klik Tambahkan Rule….
  • Pilih** Permintaan Pemblokiran** dan klik OK.
  • Tambahkan string “.autodiscover.json.*@.*Powershell.” (tidak termasuk tanda kutip) lalu klik OK.
  • Perluas Rule dan pilih Rule dengan pola “autodiscover.json.*@.*Powershell.” dan klik Edit di bawah Ketentuan.
  • Ubah input kondisi dari {URL} menjadi {REQUEST_URI}

Administrator dapat mencapai hasil yang sama dengan menjalankan Alat Mitigasi Exchange di Tempat Microsoft yang diperbarui – skrip yang memerlukan PowerShell 3 atau lebih baru, perlu dijalankan dengan hak istimewa admin, dan berjalan di IIS 7.5 atau yang lebih baru.

Namun rule yang diusulkan Microsoft, bagaimanapun, hanya mencakup serangan yang diketahui, sehingga pola URL terbatas pada mereka.

Peneliti keamanan Jang menunjukkan bahwa solusi sementara Microsoft untuk mencegah eksploitasi CVE-2022-41040 dan CVE-2022-41082 tidak efisien dan dapat dilewati dengan sedikit usaha.

Will Dormann, analis kerentanan senior di ANALYGENCE, juga setuju dengan temuan tersebut dan mengatakan bahwa ‘@’ di blok URL Microsoft “tampaknya tidak perlu tepat, dan karena itu tidak cukup.”

Alih-alih blok URL yang diajukan Microsoft, Jang memberikan alternatif yang kurang spesifik, yang dirancang untuk mencakup serangkaian serangan yang lebih luas:

.*autodiscover\.json.*Powershell.*

Microsoft mengatakan bahwa instruksi mitigasi berlaku untuk pelanggan dengan Exchange Server lokal dan bahwa klien Exchange Online tidak perlu mengambil tindakan apa pun.

Namun, banyak organisasi memiliki penyimpanan hybrid yang menggabungkan lokal dengan penyebaran cloud Microsoft Exchange dan mereka harus memahami bahwa mereka juga rentan.

Peneliti keamanan Kevin Beaumont memperingatkan bahwa selama ada penyebaran Exchange Server di lokasi, organisasi dalam bahaya.

Mengacu pada rantai eksploitasi sebagai ProxyNotShell, Beaumont mengatakan bahwa pengaturan Exchange hybrid “sangat umum” di lingkungan perusahaan dan harus mempertimbangkan tingkat risiko yang mereka hadapi.

Lebih dari 1.200 organisasi ini juga mengekspos penerapan hybrid mereka di web publik. Di antara mereka adalah entitas di sektor keuangan, pendidikan, dan pemerintah, semua target yang sangat menarik bagi peretas yang menjalankan operasi spionase atau pemerasan.

Pada saat penerbitan, Microsoft belum merilis pembaruan untuk memperbaiki dua masalah tetapi menerbitkan nasihat keamanan dengan informasi tentang dampak dan kondisi yang diperlukan untuk eksploitasi.

Microsoft menjelaskan CVE-2022-41040 sebagai kerentanan berisiko tinggi (skor keparahan 8,8/10) yang dapat dimanfaatkan penyerang dengan mudah untuk meningkatkan hak istimewa mereka pada mesin yang terpengaruh tanpa interaksi pengguna apa pun.

Alasan mengapa masalah keamanan ini tidak memiliki skor keparahan yang lebih tinggi adalah karena aktor ancaman perlu diautentikasi.

CVE-2022-41082 memiliki skor tingkat keparahan yang sama tetapi dapat digunakan untuk eksekusi kode jarak jauh pada Server Microsoft Exchange lokal yang rentan oleh penyerang dengan “hak istimewa yang menyediakan kemampuan pengguna dasar” (pengaturan dan file yang dimiliki oleh pengguna) .

Selengkapnya: Bleeping Computer