Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for bug Windows

bug Windows

Microsoft memperbaiki bug Windows Defender berusia 5 tahun yang mematikan kinerja Firefox

by

Selama lebih dari lima tahun, perlindungan keamanan yang diberikan oleh Microsoft Defender berdampak negatif terhadap pengguna Firefox selama sesi penjelajahan web mereka. Komponen Antimalware Service Executable dari Defender (MsMpEng.exe) bertingkah aneh, menunjukkan penggunaan CPU yang tinggi saat Firefox dijalankan pada waktu yang bersamaan.

Firefox mengandalkan dan mengeksekusi sejumlah besar panggilan ke fungsi VirtualProtect kernel OS sambil melacak kejadian Windows (ETW). VirtualProtect adalah fungsi untuk mengubah “perlindungan pada wilayah halaman yang berkomitmen di ruang alamat virtual dari proses pemanggilan,” Microsoft menjelaskan, dan Defender melakukan banyak “perhitungan yang tidak berguna” pada setiap peristiwa sementara Firefox menghasilkan banyak acara ETW.

Pengembang Mozilla mengatakan bahwa pembaruan Defender akan memberikan peningkatan besar-besaran ~75% dalam penggunaan CPU dari MsMpEng.exe saat menjelajah web dengan Firefox. Dengan perbaikan tersebut, fitur Perlindungan Real-time Defender – yang diaktifkan secara default di Windows – akan mengkonsumsi lebih sedikit CPU daripada sebelumnya saat memantau perilaku dinamis program apa pun melalui ETW.

Microsoft juga membawa pembaruan ke sistem Windows 7 dan Windows 8.1 yang sekarang sudah usang, karena Firefox akan tetap mendukung kedua sistem operasi tersebut “setidaknya” hingga 2024. Selanjutnya, para insinyur Mozilla mengatakan bahwa “penemuan terbaru” dibuat saat menganalisis bug Defender yang aneh akan membantu Firefox “melangkah lebih jauh dalam penggunaan CPU,” dengan semua perangkat lunak antivirus lainnya dan bukan hanya Defender kali ini.

selengkapnya : techspot.com

Eksploitasi Dirilis untuk Bug Spoofing Windows CryptoAPI yang Kritis

by

Proof of concept exploit telah dirilis oleh peneliti Akamai untuk vulnerable kritis Windows CryptoAPI yang ditemukan oleh NSA dan NCSC Inggris yang memungkinkan spoofing sertifikat tabrakan MD5.

“Kami telah mencari aplikasi di alam liar yang menggunakan CryptoAPI dengan cara yang rentan terhadap serangan spoofing ini. Sejauh ini, kami menemukan bahwa Chrome versi lama (v48 dan sebelumnya) dan aplikasi berbasis Chromium dapat dieksploitasi,” para peneliti dikatakan.

“Kami percaya ada target yang lebih rentan di alam liar dan penelitian kami masih berlangsung. Kami menemukan bahwa kurang dari 1% perangkat yang terlihat di pusat data telah ditambal, membuat sisanya tidak terlindungi dari eksploitasi vulnerable ini.”

Dengan mengeksploitasi vulnerable ini, penyerang dapat memengaruhi validasi kepercayaan untuk koneksi HTTPS dan menandatangani kode, file, atau email yang dapat dieksekusi.

Akibatnya, target tidak akan memiliki indikasi bahwa file tersebut benar-benar berbahaya, mengingat tanda tangan digital tampaknya berasal dari penyedia yang memiliki reputasi dan dapat dipercaya.

NSA melaporkan cacat spoofing Windows CryptoAPI lainnya (CVE-2020-0601) dua tahun lalu, dengan cakupan yang jauh lebih luas dan memengaruhi target yang berpotensi lebih rentan.

Kode eksploitasi PoC untuk vulnerable, yang sekarang dikenal sebagai CurveBall, dirilis dalam waktu 24 jam oleh pakaian keamanan siber Swiss Kudelski Security dan peneliti keamanan Oliver Lyak.

Pada saat itu, CISA memerintahkan badan-badan federal untuk menambal semua titik akhir yang terkena dampak dalam waktu sepuluh hari kerja sesuai Petunjuk Darurat yang kedua kalinya.

sumber : bleepingcomputer

Akan Menjalankan System Restore di Windows 11? Microsoft: Beberapa Aplikasi Tidak

by

Pengguna yang menjalankan versi terbaru Windows 11 kehilangan beberapa aplikasi Microsoft setelah menjalankan System Restore.

Redmond mengatakan bahwa bug tersebut memengaruhi aplikasi Windows yang menggunakan format paket aplikasi MSIX yang berjalan pada Windows 11 versi 22H2. Format pengemasan MSIX diperkenalkan pada tahun 2018 di Windows 10 sebagai cara untuk mempermudah pembaruan sistem seperti MSI dan ClickOnce, tetapi tidak dalam kasus ini.

Pengguna mengalami masalah saat menjalankan aplikasi Office setelah pemulihan, seperti pesan bahwa aplikasi tidak dapat dibuka, melihat beberapa entri aplikasi di menu “Start”, atau tidak mendapatkan respons sama sekali saat mencoba memulai aplikasi.

Sistem operasi yang terpengaruh adalah semua Windows 11 versi 22H2: Windows 11 SE, Windows 11 Home and Pro, Windows 11 Enterprise Multi-Session, Windows 11 Enterprise and Education, dan Windows 11 IoT Enterprise.

Microsoft mengusulkan sejumlah kemungkinan solusi, termasuk mencoba memulai ulang aplikasi dan menginstal ulang perangkat lunak dari Windows Store.

Microsoft juga merespon masalah alat keamanan ‘Microsoft Defender for Endpoint’ yang membuang ikon dan pintasan aplikasi dari desktop, Taskbar, dan Start Menu dari sistem Windows 10 dan 11 dengan merilis Advanced Hunting Queries dan skrip PowerShell untuk memungkinkan pengguna membuat ulang dan memulihkan pintasan untuk beberapa aplikasi yang terpengaruh.

Selengkapnya: The Register

CISA memperingatkan kelemahan Windows dan UnRAR yang dieksploitasi di alam liar

by

Badan Keamanan Siber dan Infrastruktur AS (CISA) telah menambahkan dua kelemahan ke katalog Kerentanan yang Diketahui telah Dieksploitasi, berdasarkan bukti eksploitasi aktif.

Kelemahan tersebut adalah :

Bug Windows DogWalk
Dilacak sebagai CVE-2022-34713, merupakan kelemahan keamanan di MSDT memungkinkan penyerang untuk menempatkan executable berbahaya ke dalam folder Startup Windows.

Masalah ini awalnya dilaporkan ke Microsoft oleh peneliti Imre Rad pada Januari 2020 tetapi laporannya salah diklasifikasikan karena tidak menggambarkan risiko keamanan dan diabaikan begitu saja.

Masalah tersebut kembali menjadi perhatian publik tahun ini oleh peneliti keamanan j00sean, yang merangkum apa yang dapat dicapai penyerang dengan mengeksploitasinya dan memberikan bukti video:


sumber : j00sean twitter

Eksploitasi yang berhasil membutuhkan interaksi pengguna, hambatan yang mudah dilampaui melalui rekayasa sosial, terutama dalam serangan email dan berbasis web, Microsoft mengatakan dalam sebuah nasihat hari ini:

Dalam skenario serangan email, penyerang dapat mengeksploitasi kerentanan dengan mengirimkan file yang dibuat khusus kepada pengguna dan meyakinkan pengguna untuk membuka file tersebut.

Dalam skenario serangan berbasis web, penyerang dapat meng-host situs web (atau memanfaatkan situs web yang disusupi yang menerima atau menghosting konten yang disediakan pengguna) yang berisi file yang dibuat khusus yang dirancang untuk mengeksploitasi kerentanan.

Patch tidak resmi ada sejak awal Juni dari layanan micropatch 0patch, untuk sebagian besar versi Windows yang terpengaruh (Windows 7/10/11 dan Server 2008 hingga 2022).

Microsoft membahas CVE-2022-34713 hari ini sebagai bagian dari pembaruan keamanan Agustus 2022 untuk Windows. Perusahaan mencatat bahwa masalah tersebut telah dieksploitasi dalam serangan.

UnRAR bug dieksploitasi
Kerentanan kedua yang ditambahkan ke Katalog Kerentanan Tereksploitasi yang Diketahui CISA dilacak sebagai CVE-2022-30333 dan merupakan bug traversal jalur di utilitas UnRAR untuk sistem Linux dan Unix.

Penyerang dapat memanfaatkannya untuk menanam file berbahaya pada sistem target dengan mengekstraknya ke lokasi yang berubah-ubah selama operasi pembongkaran.

Masalah keamanan diungkapkan oleh perusahaan Swiss SonarSource pada akhir Juni dalam sebuah laporan yang menjelaskan bagaimana hal itu dapat digunakan untuk eksekusi kode jarak jauh untuk mengkompromikan server email Zimbra tanpa otentikasi.

Kode eksploitasi telah ditambahkan ke perangkat lunak pengujian penetrasi Metasploit awal bulan ini.

Sumber: Bleeping Computer

Microsoft: Malware baru menggunakan bug Windows untuk menyembunyikan tugas terjadwal

by

Microsoft telah menemukan malware baru yang digunakan oleh kelompok peretas Hafnium yang didukung China untuk mempertahankan kegigihan pada sistem Windows yang disusupi dengan membuat dan menyembunyikan tugas terjadwal.

Kelompok ancaman Hafnium sebelumnya menargetkan perusahaan pertahanan, think tank, dan peneliti AS dalam serangan spionase siber.

Ini juga merupakan salah satu grup yang disponsori negara yang dihubungkan oleh Microsoft dengan eksploitasi skala global tahun lalu dari kelemahan zero-day ProxyLogon yang berdampak pada semua versi Microsoft Exchange yang didukung.

“Ketika Microsoft terus melacak aktor ancaman yang disponsori negara dengan prioritas tinggi HAFNIUM, aktivitas baru telah ditemukan yang memanfaatkan kerentanan zero-day yang belum ditambal sebagai vektor awal,” kata Microsoft Detection and Response Team (DART).

“Investigasi lebih lanjut mengungkapkan artefak forensik dari penggunaan alat Impacket untuk gerakan lateral dan eksekusi dan penemuan malware penghindaran pertahanan yang disebut Tarrask yang menciptakan tugas terjadwal ‘tersembunyi’, dan tindakan selanjutnya untuk menghapus atribut tugas, untuk menyembunyikan tugas terjadwal dari alat identifikasi tradisional.”

Alat peretasan ini, dijuluki Tarrask, menggunakan bug Windows yang sebelumnya tidak dikenal untuk menyembunyikannya dari “schtasks/query” dan Penjadwal Tugas dengan menghapus nilai registri Security Descriptor yang terkait.

Grup ancaman menggunakan tugas terjadwal “tersembunyi” ini untuk mempertahankan akses ke perangkat yang diretas bahkan setelah reboot dengan membuat kembali koneksi yang terputus ke infrastruktur command-and-control (C2).

Sementara operator Hafnium dapat menghapus semua artefak di disk, termasuk semua kunci registri dan file XML yang ditambahkan ke folder sistem untuk menghapus semua jejak aktivitas jahat mereka, itu akan menghapus persistensi saat dimulai ulang.

Menghapus Security Descriptor untuk menyembunyikan tugas terjadwal (Microsoft)

Tugas “tersembunyi” hanya dapat ditemukan setelah pemeriksaan manual Windows Registry yang lebih dekat jika Anda mencari tugas terjadwal tanpa Nilai SD (deskriptor keamanan) di dalam Kunci Tugasnya.

Admin juga dapat mengaktifkan log Security.evtx dan Microsoft-Windows-TaskScheduler/Operational.evtx untuk memeriksa peristiwa penting yang terkait dengan tugas “tersembunyi” menggunakan malware Tarrask.

Microsoft juga merekomendasikan untuk mengaktifkan logging untuk ‘TaskOperational’ dalam log Microsoft-Windows-TaskScheduler/Operational Task Scheduler dan memantau koneksi keluar dari aset Tingkat 0 dan Tingkat 1 yang penting.

Sumber : Bleeping Computer