Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for OS / Windows

Windows

Microsoft merilis emergency security updates untuk Windows and Visual Studio

by

Microsoft telah menerbitkan dua pembaruan keamanan out-of-band hari ini untuk mengatasi masalah keamanan di pustaka Windows Codecs dan aplikasi Visual Studio Code.
Kedua pembaruan datang sebagai kedatangan terlambat setelah perusahaan merilis batch pembaruan keamanan bulanan awal pekan ini, pada hari Selasa, menambal 87 kerentanan bulan ini.
Kedua kerentanan baru tersebut adalah kerentanan “eksekusi kode jarak jauh”, yang memungkinkan penyerang untuk mengeksekusi kode pada sistem.

KERENTANAN Libarary KODE WINDOWS
Bug pertama dilacak sebagai CVE-2020-17022. Microsoft mengatakan bahwa penyerang dapat membuat gambar berbahaya yang, ketika diproses oleh aplikasi yang berjalan di atas Windows, dapat memungkinkan penyerang untuk mengeksekusi kode pada OS Windows yang belum ditambal.

Semua versi Windows 10 terpengaruh.
Microsoft mengatakan pembaruan untuk perpustakaan ini akan dipasang secara otomatis pada sistem pengguna melalui Microsoft Store.
Tidak semua pengguna terpengaruh, tetapi hanya mereka yang telah menginstal codec media HEVC opsional atau “HEVC dari Device Manufacturer” dari Microsoft Store.
HEVC tidak tersedia untuk distribusi offline dan hanya tersedia melalui Microsoft Store. Pustaka juga tidak didukung di Windows Server.
Untuk memeriksa dan melihat apakah Anda menggunakan codec HEVC yang rentan, pengguna dapat pergi ke Pengaturan, Aplikasi & Fitur, dan pilih HEVC, Opsi Lanjutan. Versi amannya adalah 1.0.32762.0, 1.0.32763.0, dan yang lebih baru.

KERENTANAN Visual Studio Code
Bug kedua dilacak sebagai CVE-2020-17023. Microsoft mengatakan penyerang dapat membuat file package.json berbahaya yang, saat dimuat dalam Visual Studio Code, dapat mengeksekusi kode berbahaya.

Bergantung pada izin pengguna, kode penyerang dapat dijalankan dengan hak administrator dan memungkinkan mereka mengontrol penuh host yang terinfeksi.
File package.json secara teratur digunakan dengan pustaka dan proyek JavaScript. JavaScript, dan terutama teknologi Node.js sisi servernya, adalah salah satu teknologi paling populer saat ini.
Pengguna Visual Studio Code disarankan untuk memperbarui aplikasi secepat mungkin ke versi terbaru.

Source : ZDnet

Patch CVE-2020-1472 Netlogon Secure Channel sekarang!

by

Netlogon Remote Protocol atau disebut MS-NRPC adalah antarmuka RPC yang digunakan secara eksklusif oleh perangkat yang bergabung dengan domain tertentu. MS-NRPC menyertakan metode otentikasi dan metode untuk membuat Netlogon secure channel. Pembaruan ini memberlakukan perilaku klien Netlogon tertentu untuk menggunakan Secure RPC dengan Netlogon Secure Channel antara komputer client dan Domain Controllers (DC) direktori aktif (AD).

Pembaruan keamanan ini mengatasi kerentanan dengan memberlakukan Secure RPC saat menggunakan Netlogon Secure Channel di rilis secara bertahap yang dijelaskan di bagian Pembaruan. Untuk memberikan perlindungan AD, semua DC harus diperbarui karena mereka akan memberlakukan Secure RPC dengan Netlogon Secure Channel. Ini termasuk read only domain controller (RODC).

Pada halaman advisori, Microsoft merilis langkah-langkah untuk menutup celah CVE-2020-1472 :

1.UPDATE Domain Controller anda dengan update yang dirilis pada 11 Agustus 2020 atau setelahnya.
2.CARI perangkat yang mempunyai celah melalui monitoring event log.
3.CATAT perangkat yang sudah tidak mendapatkan update karena riskan terhadap koneksi yang rentan.
4.AKTIFKAN enforcement mode untuk mengatasi CVE-2020-1472 dalam organisasi anda.

Harap segera patch perangkat anda pada situs resmi Microsoft disini.

Eksploitasi Microsoft Netlogon terus meningkat

by Leave a Comment

Cisco Talos melacak lonjakan upaya eksploitasi terhadap kerentanan Microsoft CVE-2020-1472, peningkatan bug hak istimewa di Netlogon, yang diuraikan dalam laporan Microsoft Patch Tuesday Agustus. Kerentanan berasal dari cacat dalam skema otentikasi kriptografi yang digunakan oleh Netlogon Remote Protocol yang – antara lain – dapat digunakan untuk memperbarui sandi komputer dengan memalsukan token otentikasi untuk fungsionalitas Netlogon tertentu. Cacat ini memungkinkan penyerang meniru identitas komputer mana pun, termasuk pengontrol domain itu sendiri dan mendapatkan akses ke kredensial admin domain.

Ciri-ciri Netlogon:

    • Klien mengirimkan tantangan klien yang mencakup tantangan delapan byte.
      Server merespons dengan tantangan server termasuk tantangan delapan byte-nya.
      Klien dan server menghitung kunci sesi bersama
      Klien mengenkripsi kunci sesi bersama yang menghasilkan kredensial klien
      Server mengenkripsi kunci sesi bersama yang menghasilkan kredensial server

    • Microsoft saat ini menangani kerentanan ini dalam perilisan dua bagian mitigasi secara bertahap. Microsoft menguraikan rencananya dalam sebuah halaman advisori yang mengatakan, “Untuk pedoman tentang cara mengelola perubahan yang diperlukan untuk kerentanan ini dan informasi lebih lanjut tentang peluncuran bertahap, lihat Bagaimana mengelola perubahan dalam koneksi aman Netlogon yang terkait dengan CVE-2020-1472. Ketika fase kedua pembaruan Windows tersedia pada K1 2021, pelanggan akan diberi tahu melalui revisi kerentanan keamanan ini. Jika Anda ingin diberi tahu ketika pembaruan ini dirilis, kami menyarankan Anda mendaftar ke pengirim pemberitahuan keamanan agar diberi tahu tentang perubahan konten pada dokumen advisori ini. ”

    Source : Cisco Talos

    Bagaimana geng malware Cina menipu pengguna Facebook

    by

    Pada konferensi keamanan Virus Bulletin 2020, anggota tim keamanan Facebook telah mengungkapkan detail mengenai salah satu operasi malware paling canggih yang pernah menargetkan pengguna Facebook.

    Dikenal sebagai SilentFade, geng malware ini aktif antara akhir 2018 dan Februari 2019, ketika tim keamanan Facebook mendeteksi keberadaan mereka dan turun tangan untuk menghentikan serangan mereka.

    SilentFade menggunakan kombinasi trojan Windows, injeksi browser, scripting cerdik, dan bug di platform Facebook, menunjukkan modus operandi canggih yang jarang terlihat dengan geng malware yang menargetkan platform Facebook.

    Tujuan operasi SilentFade adalah untuk menginfeksi pengguna dengan trojan, membajak browser pengguna, dan mencuri kata sandi dan cookie browser sehingga mereka dapat mengakses akun Facebook.

    Setelah memiliki akses, grup tersebut menelusuri akun yang memiliki jenis metode pembayaran apa pun yang dilampirkan ke profil mereka. Untuk akun ini, SilentFade membeli iklan Facebook dengan dana korban.

    Meskipun beroperasi hanya selama beberapa bulan, Facebook mengatakan grup tersebut berhasil menipu pengguna yang terinfeksi lebih dari $4 juta, yang mereka gunakan untuk memposting iklan Facebook berbahaya di seluruh jejaring sosial.

    Geng malware ini menyebarkan versi modern SilentFade dengan menggabungkannya dengan perangkat lunak resmi yang mereka tawarkan untuk diunduh secara online.

    Setelah pengguna terinfeksi, trojan SilentFade akan mengambil kendali atas komputer Windows korban, namun alih-alih menyalahgunakan sistem untuk operasi yang lebih mengganggu, malware hanya mengganti file DLL yang sah di dalam instalasi browser dengan versi jahat dari DLL yang sama yang memungkinkan geng SilentFade untuk mengontrol browser.

    Browser yang ditargetkan termasuk Chrome, Firefox, Internet Explorer, Opera, Edge, Orbitum, Amigo, Touch, Kometa, dan Browser Yandex.

    Facebook juga mengatakan SilentFade adalah bagian dari tren yang lebih besar dan generasi baru pelaku kejahatan siber yang tampaknya tinggal di China dan terus-menerus menargetkan platformnya.

    Berita selengkapnya dapat dilihat di tautan di bawah ini;
    Source: ZDNet

    Source Kode Windows 10 Diduga Bocor ke Dunia Maya

    by

    Source Code pada Windows XP SP1 dan versi lainnya diduga telah bocor ke dunia maya pada hari ini.
    Pelaku mengklaim telah menghabiskan dua bulan terakhir untuk mengumpulkan koleksi Source Code Microsoft yang bocor di dunia maya. Koleksi file sebesar 43 GB ini dirilis hari ini secara Torrent melalui forum 4chan.

    Isi “bocoran” Source Code Windows

    Yang termasuk dalam torrent ini diduga source code Windows XP dan Windows Server 2003, juga bermacam-macam versi sistem operasi yang bahkan lebih lama.

    Isi torrent tersebut meliputi:

        MS DOS 3.30
        MS DOS 6.0
        Windows 2000
        Windows CE 3
        Windows CE 4
        Windows CE 5
        Windows Tertanam 7
        CE Tertanam Windows
        Windows NT 3.5
        Windows NT 4

    Torrent tersebut juga menyertakan folder media yang berisi kumpulan video teori konspirasi aneh tentang Bill Gates.
    Selain torrent, file 2,9GB 7zip yang lebih kecil yang hanya berisi kode sumber untuk Windows XP dan Windows Server 2003 juga didistribusikan secara online.

    Pelaku menyatakan bahwa source code Windows XP telah diedarkan secara pribadi di antara para peretas selama bertahun-tahun, tetapi dirilis untuk umum untuk pertama kalinya hari ini.
    BleepingComputer berkata telah melihat sumbernya, tetapi tidak memiliki cara untuk memastikan apakah itu kode sumber sebenarnya untuk Windows XP atau Windows Server 2003.
    Microsoft pun belum mengonfirmasi apakah sumber yang bocor itu valid atau tidak.

    Apakah source code ini mengancam kemanana Windows?

    Walaupun Windows XP sudah dirilis lebih dari 20 tahun yang lalu, jika ada kode yang masih digunakan dalam Windows 10, kebocoran ini berpotensi mengancam keamanan Windows 10.
    Source Code adalah instruksi yang didesain agar mudah dipahami oleh manusia, dengan melihat source code ini seseorang bisa tahu bagaimana seharusnya program berjalan. Source code ini kemudian dicompile menjadi file yang dapat dieksekusi oleh komputer.

    Memang kita bisa mereverse-engineering Windows untuk mencari celah ataupun bug, tetpai dengan adanya source code, menjadi lebih mudah untuk melihat detail sebuah sistem operasi bekerja.

    Source : BleepingComputer

    Microsoft menghapus kemampuan Windows Defender setelah masalah keamanan dilaporkan

    by

    Microsoft telah menghapus kemampuan untuk mengunduh file menggunakan Windows Defender setelah diperlihatkan bagaimana fitur tersebut dapat digunakan oleh penyerang untuk mengunduh malware ke komputer.

    Ketika ini ditemukan, ada kekhawatiran dari komunitas keamanan siber bahwa Microsoft akan mengizinkan Microsoft Defender disalahgunakan oleh penyerang sebagai LOLBIN.

    LOLBIN, atau living-off-the-land binaries, adalah file sistem operasi yang sah yang dapat disalahgunakan untuk tujuan jahat.

    Untuk mengunduh file, pengguna dapat menjalankan Microsoft Antimalware Service Command Line Utility (MpCmdRun.exe) dengan argumen -DownloadFile.

    Dengan rilis Windows Defender Antimalware Client versi 4.18.2009.2-0 kemarin, BleepingComptuer menemukan bahwa Microsoft sekali lagi diam-diam mengubah fitur MpCmdRun.exe.

    Kali ini, Microsoft menghapus kemampuannya untuk mengunduh file melalui utilitas command line MpCmdRun.exe.

    Pengguna yang mencoba mengunduh file menggunakan MpCmdRun.exe akan melihat kesalahan yang menyatakan “CmdTool: Argumen baris perintah tidak valid.” Opsi baris perintah -DownloadFile telah dihapus dari layar bantuan.

    Baca berita selengkapnya pada tautan di bawah ini;
    Source: Bleeping Computer

    Maze Ransomware Mengadopsi Teknik Virtual Machine Ragnar Locker

    by

    Penjahat Ransomware, Maze, telah menambahkan teknik baru: Mendistribusikan ransomware melalui mesin virtual (VM). Ini adalah pendekatan yang cukup “radikal”, menurut peneliti, hal ini dimaksudkan untuk membantu ransomware melewati pertahanan terakhir.

    Menurut peneliti dari Sophos Managed Threat Response (MTR) pelaku baru-baru ini terlihat menyebarkan malware dalam bentuk gambar disk virtual VirtualBox (file VDI). File VDI itu sendiri dikirim di dalam file MSI Windows, yang merupakan format yang digunakan untuk penginstalan, penyimpanan, dan penghapusan program. “penyerang juga menggabungkan salinan VirtualBox hypervisor berusia 11 tahun yang telah dipreteli di dalam file .MSI, yang menjalankan VM sebagai perangkat ‘headless’, tanpa perlu menggunakan UI, ”kata peneliti.

    Peneliti Sophos, menambahkan, “Ragnar Locker dipasang di dalam mesin virtual Oracle VirtualBox Windows XP. dengan file installer sebesar 122 MB dan image virtual 282 MB, semuanya untuk menyembunyikan ransomware 49 KB yang dapat dieksekusi.”

    Detail Teknis

    Dalam insiden ransomware Maze, File installer sebesar 733 MB dengan image virtual Windows 7 sebesar 1,9 GB, kedua file itu untuk menyembunyikan ransomware 494 KB yang dapat dieksekusi.

    Sumber dari disk virtual berisi tiga file yang terkait dengan ransomware Maze: preload.bat, vrun.exe (VM itu sendiri) dan file yang bernama payload (tanpa ekstensi), yang merupakan muatan Maze DLL yang sebenarnya.

    Untuk persistensi, mereka menambahkan file bernama startup_vrun.bat ke menu Start Windows.

    “Skrip ini menyalin tiga file yang sama yang ditemukan di root disk VM (biner vrun.exe dan payload DLL, serta skrip batch preload.bat) ke disk lain, lalu menjalankan perintah untuk segera mematikan komputer,” menurut analisis. “Saat seseorang menyalakan komputer lagi, skrip mengeksekusi vrun.exe.”

    Saat file MSI pertama kali dijalankan, VM membuat lokasi folder C:\SDRSMLINK\, yang bertindak sebagai clearinghouse untuk folder tertentu yang ingin dilacak malware – Labirin melakukannya menggunakan tautan simbolis (symlink), yang bertindak sebagai pintasan ke folder di hard drive lokal. Folder ini dibagikan dengan seluruh jaringan.

    Pada akhirnya, skrip batch yang disebut starter.bat digunakan untuk meluncurkan muatan ransomware dari dalam VM.

    Source : Threatpost

    Pengguna Microsoft Active Directory, Lakukan Ini Sekarang!

    by Leave a Comment

    CVE-2020-1472, kerentanan yang memengaruhi Microsoft Windows Netlogon Remote Protocol dapat dimanfaatkan oleh penyerang untuk mendapatkan akses administrator domain Active Directory.

    Meskipun Microsoft telah merilis perbaikan untuk CVE-2020-1472 pada Agustus 2020, sistem yang belum ditambal akan menjadi target yang menarik bagi aktor siber.

    Kami menghimbau pengguna dan administrator untuk segera menerapkan pembaruan dan solusi yang diperlukan.

    Tidak melakukan ini SEKARANG dapat membuat sistem anda rentan untuk diambil alih oleh aktor siber.

    Panduan Microsoft tentang Cara mengelola perubahan dalam koneksi saluran aman Netlogon:
    Microsoft Support