Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Microsoft

Microsoft

Microsoft: Pembaruan Windows Server Juni dapat menyebabkan masalah pencadangan

by

Microsoft mengatakan bahwa beberapa aplikasi mungkin gagal untuk mencadangkan data menggunakan Volume Shadow Copy Service (VSS) setelah menerapkan pembaruan Windows Patch Tuesday Juni 2022.

Masalah ini terjadi karena penegakan keamanan yang diperkenalkan untuk mengatasi peningkatan kerentanan hak istimewa (CVE-2022-30154) di Microsoft File Server Shadow Copy Agent Service (RVSS).

“Setelah Anda menginstal pembaruan Windows 14 Juni 2022 atau yang lebih baru, operasi yang terkait dengan salinan bayangan (pembuatan atau penghapusan) pada Server Aplikasi yang menjalankan Aplikasi Server sadar VSS yang menyimpan data pada berbagi file SMB 3.0 jarak jauh atau yang lebih baru mungkin gagal untuk berbagi SMB dihosting di File Server,” Microsoft menjelaskan.

Pada sistem yang mengalami masalah yang diketahui ini, aplikasi pencadangan Windows mungkin menerima kesalahan E_ACCESSDENIED selama operasi pembuatan salinan bayangan dan “FileShareShadowCopyAgent Event 1013” akan dicatat di File Server.

Karena RVSS adalah komponen opsional, sistem yang menjalankan Windows Server tidak rentan secara default. Selain itu, edisi Klien Windows tidak rentan terhadap serangan menggunakan eksploitasi CVE-2022-30154 dalam upaya eskalasi hak istimewa.

Daftar lengkap versi Windows yang terpengaruh dan pembaruan Windows yang menyebabkan masalah ini meliputi:

  • Windows Server 2022 (KB5014678)
  • Windows 10, versi 20H2 (KB5014699)
  • Windows Server 2019 (KB5014692)
  • Windows Server 2016 (KB5014702)
  • Windows Server 2012 R2 (KB5014746)
  • Windows Server 2012 (KB5014747)

Untuk mengatasi masalah ini, instal pemutakhiran Windows yang dirilis pada 14 Juni dan yang lebih baru di Server Aplikasi dan Server Berkas.

“Server aplikasi menjalankan aplikasi sadar Volume Shadow Copy Service (VSS) yang menyimpan data di server jarak jauh Server Message Block 3.0 (atau lebih tinggi) yang dibagikan di server file,” tambah Microsoft.

“Server file menghosting file yang dibagikan. Jika Anda tidak menginstal pembaruan pada kedua peran mesin, operasi pencadangan yang dilakukan oleh aplikasi, yang sebelumnya berfungsi, mungkin gagal.”

Masalah yang diketahui ini juga diketahui terjadi jika akun yang digunakan untuk melakukan operasi penyalinan bayangan adalah akun lokal dengan hak Administrator atau Operator Cadangan di File Server—dalam hal ini, Microsoft merekomendasikan untuk beralih ke akun domain.

Microsft juga mengatakan bahwa pencadangan mungkin gagal jika akun yang digunakan untuk melakukan operasi penyalinan tidak sesuai dengan persyaratan hak istimewa untuk Administrator atau Operator Cadangan. Untuk memperbaiki masalah ini, Anda harus beralih ke bagian akun domain dari grup Administrator Lokal atau Operator Cadangan di Server File.

Sumber: Bleeping Computer

Pencarian Windows baru zero-day ditambahkan ke mimpi buruk protokol Microsoft

by

Kerentanan zero-day Windows Search yang baru dapat digunakan untuk secara otomatis membuka jendela pencarian yang berisi executable malware yang di-host dari jarak jauh hanya dengan meluncurkan dokumen Word.

Masalah keamanan dapat dimanfaatkan karena Windows mendukung penangan protokol URI yang disebut ‘search-ms’ yang memungkinkan aplikasi dan tautan HTML untuk meluncurkan pencarian yang disesuaikan pada perangkat.

Sementara sebagian besar pencarian Windows akan melihat pada indeks perangkat lokal, juga dimungkinkan untuk memaksa Pencarian Windows untuk menanyakan pembagian file pada host jarak jauh dan menggunakan judul khusus untuk jendela pencarian.

Misalnya, kumpulan alat Sysinternals yang populer memungkinkan Anda memasang live.sysinternals.com dari jarak jauh sebagai jaringan berbagi untuk meluncurkan utilitas mereka. Untuk mencari berbagi jarak jauh ini dan hanya mencantumkan file yang cocok dengan nama tertentu, Anda dapat menggunakan URI ‘search-ms’ berikut:

search-ms:query=proc&crumb=lokasi:%5C%5Clive.sysinternals.com&displayname=Searching%20Sysinternals

Seperti yang dapat Anda lihat dari perintah di atas, variabel ‘crumb’ search-ms menentukan lokasi yang akan dicari, dan variabel ‘displayname’ menentukan judul pencarian.

Jendela pencarian yang disesuaikan akan muncul ketika perintah ini dijalankan dari dialog Run atau bilah alamat browser web pada Windows 7, Windows 10, dan Windows 11, seperti yang ditunjukkan di bawah ini.

Pencarian Windows pada berbagi file jarak jauh
Sumber: BleepingComputer

Perhatikan bagaimana judul jendela diatur ke nama tampilan ‘Searching Sysinternals’ yang kami tentukan di URI ms pencarian.

Pelaku ancaman dapat menggunakan pendekatan yang sama untuk serangan berbahaya, di mana email phishing dikirim dengan berpura-pura sebagai pembaruan keamanan atau patch yang perlu diinstal.

Mereka kemudian dapat mengatur berbagi Windows jarak jauh yang dapat digunakan untuk meng-host malware yang disamarkan sebagai pembaruan keamanan dan kemudian menyertakan URI ms pencarian dalam lampiran phishing atau email mereka.

Namun, tidak mudah untuk membuat pengguna mengklik URL seperti ini, terutama ketika muncul peringatan, seperti yang ditunjukkan di bawah ini.

Peringatan browser saat meluncurkan penangan protokol URI
Sumber: BleepingComputer

Tetapi salah satu pendiri dan peneliti keamanan Hacker House Matthew Hickey menemukan cara dengan menggabungkan kelemahan objek Microsoft Office OLEO yang baru ditemukan dengan pengendali protokol pencarian-ms untuk membuka jendela pencarian jarak jauh hanya dengan membuka dokumen Word.

Minggu ini, para peneliti menemukan bahwa pelaku ancaman memanfaatkan kerentanan zero-day Windows baru di Microsoft Windows Support Diagnostic Tool (MSDT). Untuk mengeksploitasinya, pelaku ancaman membuat dokumen Word berbahaya yang meluncurkan pengendali protokol URI ‘ms-msdt’ untuk menjalankan perintah PowerShell hanya dengan membuka dokumen.

Diidentifikasi sebagai CVE-2022-30190, cacat memungkinkan untuk memodifikasi dokumen Microsoft Office untuk melewati Tampilan Terproteksi dan meluncurkan penangan protokol URI tanpa interaksi oleh pengguna, yang hanya akan menyebabkan penyalahgunaan lebih lanjut terhadap penangan protokol.

Ini terlihat kemarin ketika Hickey mengonversi eksploitasi Microsoft Word MSDT yang ada untuk menggunakan pengendali protokol pencarian-ms yang kami jelaskan sebelumnya.

Dengan PoC baru ini, ketika pengguna membuka dokumen Word, maka secara otomatis akan meluncurkan perintah ‘search-ms’ untuk membuka jendela Pencarian Windows yang mencantumkan executable pada share SMB jarak jauh. Pembagian ini dapat diberi nama apa pun yang diinginkan oleh pelaku ancaman, seperti ‘Pembaruan Penting’, yang mendorong pengguna untuk menginstal malware yang terdaftar.

Seperti eksploitasi MSDT, Hickey juga menunjukkan bahwa Anda dapat membuat versi RTF yang secara otomatis membuka jendela Pencarian Windows saat dokumen ditampilkan di panel pratinjau Explorer.

Dengan menggunakan jenis dokumen Word berbahaya ini, pelaku ancaman dapat membuat kampanye phishing yang rumit yang secara otomatis meluncurkan jendela Pencarian Windows di perangkat penerima untuk mengelabui mereka agar meluncurkan malware.

Meskipun eksploitasi ini tidak separah kerentanan eksekusi kode jarak jauh MS-MSDT, ini dapat menyebabkan penyalahgunaan oleh aktor ancaman yang rajin yang ingin membuat kampanye phishing yang canggih.

Untuk mengurangi kerentanan ini, Hickey mengatakan Anda dapat menggunakan mitigasi yang sama untuk eksploitasi ms-msdt – hapus pengendali protokol pencarian-ms dari Windows Registry.

  • Jalankan Command Prompt sebagai Administrator.
  • Untuk membuat cadangan kunci registri, jalankan perintah “reg export HKEY_CLASSES_ROOT\search-ms search-ms.reg”
  • Jalankan perintah “reg delete HKEY_CLASSES_ROOT\search-ms /f”

Contoh penyalahgunaan MSDT dan search-ms bukanlah hal baru, awalnya diungkapkan oleh Benjamin Altpeter pada tahun 2020 dalam tesisnya tentang keamanan aplikasi Elektron.

Namun, baru-baru ini mereka mulai dijadikan senjata dalam dokumen Word untuk serangan phishing tanpa interaksi pengguna, yang mengubahnya menjadi kerentanan zero-day.

Berdasarkan panduan Microsoft untuk CVE-2022-30190, perusahaan tampaknya mengatasi kelemahan dalam penangan protokol dan fitur Windows yang mendasarinya, daripada fakta bahwa pelaku ancaman dapat menyalahgunakan Microsoft Office untuk meluncurkan URI ini tanpa interaksi pengguna.

Seperti yang dikatakan oleh analis kerentanan CERT/CC Will Dormann, eksploitasi ini sebenarnya memanfaatkan dua kelemahan yang berbeda. Tanpa memperbaiki masalah URI Microsoft Office, penangan protokol lebih lanjut akan disalahgunakan.

Hickey juga mengatakan bahwa ia percaya bahwa ini tidak selalu merupakan cacat pada protokol penangan, melainkan kombinasi yang mengarah ke ‘Microsoft Office OLEObject search-ms Location Path Spoofing Vulnerability.’

Pada bulan Juni, para peneliti secara tidak sengaja mengungkapkan detail teknis dan eksploitasi proof-of-concept (PoC) untuk kerentanan Windows Spooler RCE bernama PrintNightmare.

Sementara komponen RCE diperbaiki dengan cepat, berbagai kerentanan elevasi hak istimewa lokal ditemukan yang terus diungkapkan di bawah klasifikasi ‘PrintNightmare’.

Tidak sampai Microsoft membuat beberapa perubahan drastis pada Windows Printing yang akhirnya mereka kendalikan kelas kerentanan ini, meskipun menyebabkan banyak masalah pencetakan untuk beberapa waktu.

Dengan mengatasi masalah hanya di sisi fitur penangan protokol/Windows, Microsoft menghadapi klasifikasi ‘ProtocolNightmare’ yang sama sekali baru di mana para peneliti akan terus menemukan penangan URI baru untuk disalahgunakan dalam serangan.

Sampai Microsoft tidak memungkinkan untuk meluncurkan penangan URI di Microsoft Office tanpa interaksi pengguna, bersiaplah untuk serangkaian artikel berita serupa saat eksploitasi baru dirilis.

Sumber: Bleeping Computer

Microsoft menambal patch yang merusak otentikasi Windows

by

Beberapa administrator mengeluh minggu lalu bahwa setelah menginstal patch 10 Mei, mereka mengalami kegagalan otentikasi di beberapa sistem.

Tyler mengatakan pada saat itu: “Kami tahu akar masalahnya adalah nama subjek salah digunakan untuk memetakan sertifikat ke akun mesin di AD daripada DNSHostname di nama alternatif subjek di DC yang telah menginstal 5b dan kami sedang mengerjakannya .”

Sebuah entri kemudian muncul dalam daftar panjang masalah yang diketahui untuk patch di mana Microsoft memperingatkan bahwa, setelah menginstal patch 10 Mei pada pengontrol domain, mungkin ada masalah dengan beberapa layanan.

“Layanan ini,” katanya, “termasuk Network Policy Server (NPS), Routing and Remote access Service (RRAS), Radius, Extensible Authentication Protocol (EAP), dan Protected Extensible Authentication Protocol (PEAP).

“Masalah telah ditemukan terkait dengan bagaimana pengontrol domain mengelola pemetaan sertifikat ke akun mesin.”

Seperti banyak pembaruan, patch 10 Mei adalah yang penting, dan menyertakan perbaikan untuk kerentanan elevasi hak istimewa “keparahan tinggi” yang dapat terjadi saat Kerberos Distribution Center (KDC) melayani permintaan otentikasi berbasis sertifikat.

Mundur dari pembaruan tampaknya menyelesaikan masalah, tetapi, seperti yang diamati oleh seorang pengguna, “ini adalah tambalan yang cukup kritis tetapi tampaknya cukup merusak peran kunci!”

Administrator akan dimaafkan karena merasa bahwa tambalan untuk memperbaiki tambalan tampaknya menjadi agak terlalu umum selama bertahun-tahun.

Selengkapnya: The Register

Peringatan: Pembaruan Windows merusak otentikasi untuk beberapa admin server

by

Microsoft memperingatkan pembaruan keamanan dapat menyebabkan kegagalan otentikasi untuk pengontrol domain Windows.

“Setelah menginstal pembaruan yang dirilis 10 Mei 2022 di pengontrol domain Anda, Anda mungkin melihat kegagalan otentikasi di server atau klien untuk layanan seperti Network Policy Server (NPS), Routing and Remote Access Service (RRAS), Radius, Extensible Authentication Protocol ( EAP), dan Protected Extensible Authentication Protocol (PEAP),” kata goliath IT itu dalam sebuah nasihat yang diterbitkan Rabu.

Saran mengacu pada pembaruan Windows KB5013943 (dirilis Selasa, 10 Mei 2022), yang mengikuti KB5012643 (dirilis 25 April 2022) dan membahas penyebab layar berkedip saat memulai dalam Safe Mode.

Pembaruan KB5012643 April itu ditarik dari peredaran pada Rabu, 11 Mei, tanpa penjelasan.

Pembaruan Windows terbaru, KB5013943, meninggalkan masalah yang belum terselesaikan di mana beberapa aplikasi .NET Framework 3.5 gagal dibuka dan beberapa aplikasi yang menggunakan Direct3D 9 dengan GPU tertentu mogok (solusi disarankan untuk kedua kasus.)

Kesulitan otentikasi seharusnya tidak mempengaruhi perangkat Windows klien atau server pengontrol non-domain, menurut Microsoft.

Netizen yang memposting ke /r/sysadmin di Reddit mencatat terjadinya kegagalan otentikasi setelah penerapan dua tambalan Microsoft. Diidentifikasi oleh ID kerentanan CVE-2022-26931 dan CVE-2022-26923, patch tersebut dimaksudkan untuk menyelesaikan dua kerentanan eskalasi hak istimewa “keparahan tinggi” yang dijelaskan dalam KB5014754.

Selengkapnya: The Register

Microsoft Meluncurkan Layanan Keamanan Siber untuk Membantu Klien Melawan Ransomware dan Serangan Lainnya

by

Bisnis keamanan Microsoft tumbuh lebih cepat daripada produk utamanya, dan sekarang perusahaan menambahkan bobot pada penawarannya dengan tiga layanan baru yang dirancang untuk membantu organisasi mengenali dan merespons insiden keamanan siber.

Microsoft adalah salah satu pemimpin dalam perangkat lunak dan infrastruktur cloud, yang berarti teknologinya telah menjadi tulang punggung bagi banyak bisnis dari semua ukuran. Itu menempatkan perusahaan dalam posisi untuk tidak hanya menyediakan perangkat lunak keamanan untuk basis kliennya, tetapi juga menawarkan layanan berorientasi konsultasi di pasar di mana permintaan jauh melebihi pasokan.

Investasi tersebut datang ketika organisasi meningkatkan pengeluaran keamanan mereka untuk mengelola peningkatan ancaman serangan ransomware dan peretasan jaringan. Tahun lalu, Microsoft dan perusahaan teknologi lainnya berjanji untuk membantu mengisi sekitar 500.000 pekerjaan keamanan siber di AS, dan CEO Microsoft Satya Nadella mengatakan pengeluaran penelitian dan pengembangan tahunan dalam keamanan siber akan melonjak menjadi $4 miliar dari $1 miliar.

Vasu Jakkal, wakil presiden perusahaan Microsoft yang berfokus pada keamanan, mengatakan kepada CNBC bahwa sebagian besar pengeluaran tambahan Microsoft adalah untuk orang.

“Kami hanya memperluas skala layanan karena tuntutan yang kami lihat,” kata Jakkal.

Di antara produk baru yang diluncurkan adalah Microsoft Defender Experts for Hunting. Ini akan melibatkan teknisi Microsoft yang menandai masalah yang mereka temukan di perangkat klien, instalasi perangkat lunak produktivitas Office 365, aplikasi cloud, dan program identitas, dengan biaya $3 per orang per bulan. Peluncuran ini akan menempatkan Microsoft dalam persaingan yang lebih langsung dengan perusahaan perangkat lunak keamanan murni seperti CrowdStrike.

Ada juga Microsoft Defender Experts untuk XDR, dengan biaya $14 per orang per bulan. Ini adalah layanan padat karya yang menugaskan karyawan Microsoft untuk membantu perusahaan mengambil tindakan terhadap ancaman. Jenis pekerjaan itu dilakukan oleh berbagai perusahaan saat ini, termasuk kantor akuntan empat besar.

Penawaran baru ketiga adalah Layanan Keamanan Microsoft untuk Perusahaan, yang mencakup serangkaian layanan berbasis orang yang lebih luas lagi.

Sumber: CNBC

Microsoft Patch Tuesday Bulan Mei 2022 memperbaiki 3 zero-day, 75 kelemahan

by

Microsoft telah merilis Patch Tuesday bulan Mei 2022, dan dengan itu datang perbaikan untuk tiga kerentanan zero-day, dengan satu kerentanan sedang dieksploitasi secara aktif, dan total 75 kelemahan.

Dari 75 kerentanan yang diperbaiki dalam pembaruan hari ini, delapan diklasifikasikan sebagai ‘Kritis’ karena memungkinkan eksekusi kode jarak jauh atau peningkatan hak istimewa.

Kerentanan zero-day yang dieksploitasi secara aktif yang diperbaiki hari ini adalah untuk NTLM Relay Attack baru menggunakan kelemahan LSARPC yang dilacak sebagai ‘CVE-2022-26925 – Windows LSA Spoofing Vulnerability.’

Dengan menggunakan serangan ini, pelaku ancaman dapat mencegat permintaan otentikasi yang sah dan menggunakannya untuk mendapatkan hak istimewa yang lebih tinggi.

Microsoft merekomendasikan admin untuk membaca nasihat PetitPotam NTLM Relay untuk informasi tentang cara memitigasi jenis serangan ini.

Dua zero-day yang diperbaiki adalah kerentanan penolakan layanan di Hyper-V dan kerentanan eksekusi kode jarak jauh baru di Azure Synapse dan Azure Data Factory.

  • CVE-2022-22713 – Windows Hyper-V Denial of Service Vulnerability
  • CVE-2022-29972 – Insight Software: CVE-2022-29972 Magnitude Simba Amazon Redshift ODBC Driver

Microsoft sangat menyarankan IT Admin untuk menginstal pembaruan keamanan hari ini sesegera mungkin.

Selengkapnya: Bleeping Computer

Microsoft menambahkan VPN built-in gratis ke browser Edge-nya

by

Microsoft menambahkan layanan jaringan pribadi virtual (VPN) built-in gratis ke browser Edge-nya dalam upaya untuk meningkatkan keamanan dan privasi, sebuah halaman dukungan Microsoft mengungkapkan.

Disebut “Edge Secure Network,” Microsoft saat ini sedang menguji layanan VPN yang didukung Cloudflare dan mengatakan akan meluncurkannya ke publik sebagai bagian dari peningkatan keamanan.

Saat diaktifkan, Edge Secure Network harus mengenkripsi lalu lintas web pengguna sehingga penyedia layanan internet tidak dapat mengumpulkan informasi penelusuran yang Anda lebih suka merahasiakannya, seperti, katakanlah, penelusuran terkait kesehatan atau sekadar pertanyaan aneh.

Fitur baru ini juga memungkinkan pengguna menyembunyikan lokasi mereka dengan memungkinkan mereka menjelajahi web menggunakan alamat IP virtual. Itu juga berarti pengguna dapat mengakses konten yang diblokir di negara mereka seperti, misalnya, acara Netflix atau Hulu.

inilah tangkapan untuk layanan gratis ini. Penggunaan data dibatasi hingga 1GB per bulan, dan pengguna harus masuk ke akun Microsoft sehingga perusahaan dapat melacak penggunaan mereka secara ironis.

Microsoft menambahkan bahwa sementara Cloudflare akan mengumpulkan dukungan dan informasi diagnostik dari layanan, perusahaan akan secara permanen menghapus data itu setiap 25 jam.

Sementara fitur ini masih dalam pengembangan dan belum tersedia untuk pengujian awal, Microsoft merinci bagaimana pengguna dapat mencoba pratinjau.

Selengkapnya: The Verge

Microsoft menonaktifkan SMB1 secara default untuk Windows 11 Home Insiders

by

Microsoft hari ini mengumumkan bahwa protokol berbagi file SMBv1 yang berusia 30 tahun sekarang dinonaktifkan secara default pada sistem Windows yang menjalankan build saluran Windows 11 Home Dev terbaru, edisi terakhir Windows atau Windows Server yang masih datang dengan SMBv1 diaktifkan.

Redmond pertama kali mengumumkan rencana untuk menonaktifkan SMBv1 di sebagian besar versi sistem operasi Windows pada Juni 2017 setelah terlebih dahulu menonaktifkannya untuk build internal Windows 10 Enterprise dan Windows Server 2016.

SMBv1 tidak lagi diinstal di OS Microsoft secara default sejak Windows 10 versi 1709 dan Windows Server versi 1709, dengan versi Windows yang lebih baru menggunakan SMBv3.

SMBv1 dinonaktifkan di Windows 11 Home edition Dev build
“Saya memiliki pengumuman yang cukup besar: kami telah memulai fase terakhir penonaktifan SMB1 di Windows,” kata Ned Pyle, Manajer Program Utama di grup Ketersediaan dan Penyimpanan Tinggi Microsoft Windows Server.

Ini juga akan menjadi perilaku default di rilis utama Windows 11 berikutnya setelah Windows Insiders dapat menguji dan memberikan umpan balik tentang perubahan baru,

Namun, seperti yang dijelaskan lebih lanjut oleh pakar Microsoft, perubahan ini tidak akan memengaruhi perangkat yang menggunakan SMBv1 setelah pemutakhiran di tempat, dengan admin masih diizinkan untuk menginstalnya kembali.

Pyle juga membagikan daftar vendor dan produk yang memerlukan SMBv1 sehingga pengguna dapat menghindarinya dan tidak terhalang untuk beralih ke versi protokol SMB yang lebih baru dan lebih aman.

Mereka yang tertarik untuk menonaktifkan SMBv1 di server mereka dapat memeriksa halaman dukungan Microsoft ini untuk instruksi terperinci.

Microsoft telah merekomendasikan admin untuk menghapus dukungan untuk SMBv1 di jaringan mereka sejak 2016 karena tidak menampilkan peningkatan keamanan tambahan yang ditambahkan ke versi protokol SMB yang lebih baru.

Penyempurnaan ini mencakup pemeriksaan integritas pra-otentikasi untuk mencegah serangan man-in-the-middle (MiTM), enkripsi, pemblokiran otentikasi tamu yang tidak aman, perlindungan terhadap serangan penurunan versi keamanan, dan banyak lagi.

Dua tahun lalu, Tim Microsoft Exchange juga mendesak admin untuk menonaktifkan SMBv1 untuk melindungi server dari serangan malware.

Peringatan ini muncul setelah kebocoran beberapa eksploitasi NSA tahun 2017 yang dirancang untuk mengeksploitasi kelemahan dalam protokol SMBv1 untuk menjalankan perintah pada server yang rentan dengan hak administratif.

Beberapa dari eksploitasi ini, seperti EternalBlue dan EternalRomance, kemudian disebarkan secara liar oleh malware TrickBot, Emotet, WannaCry, Retefe, NotPetya, dan Olympic Destroyer untuk menginfeksi lebih banyak perangkat dan meluncurkan serangan yang merusak atau mencuri kredensial pengguna.

Sumber : Bleeping Computer