Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Microsoft

Microsoft

Microsoft memperbaiki bug Windows Defender berusia 5 tahun yang mematikan kinerja Firefox

by

Selama lebih dari lima tahun, perlindungan keamanan yang diberikan oleh Microsoft Defender berdampak negatif terhadap pengguna Firefox selama sesi penjelajahan web mereka. Komponen Antimalware Service Executable dari Defender (MsMpEng.exe) bertingkah aneh, menunjukkan penggunaan CPU yang tinggi saat Firefox dijalankan pada waktu yang bersamaan.

Firefox mengandalkan dan mengeksekusi sejumlah besar panggilan ke fungsi VirtualProtect kernel OS sambil melacak kejadian Windows (ETW). VirtualProtect adalah fungsi untuk mengubah “perlindungan pada wilayah halaman yang berkomitmen di ruang alamat virtual dari proses pemanggilan,” Microsoft menjelaskan, dan Defender melakukan banyak “perhitungan yang tidak berguna” pada setiap peristiwa sementara Firefox menghasilkan banyak acara ETW.

Pengembang Mozilla mengatakan bahwa pembaruan Defender akan memberikan peningkatan besar-besaran ~75% dalam penggunaan CPU dari MsMpEng.exe saat menjelajah web dengan Firefox. Dengan perbaikan tersebut, fitur Perlindungan Real-time Defender – yang diaktifkan secara default di Windows – akan mengkonsumsi lebih sedikit CPU daripada sebelumnya saat memantau perilaku dinamis program apa pun melalui ETW.

Microsoft juga membawa pembaruan ke sistem Windows 7 dan Windows 8.1 yang sekarang sudah usang, karena Firefox akan tetap mendukung kedua sistem operasi tersebut “setidaknya” hingga 2024. Selanjutnya, para insinyur Mozilla mengatakan bahwa “penemuan terbaru” dibuat saat menganalisis bug Defender yang aneh akan membantu Firefox “melangkah lebih jauh dalam penggunaan CPU,” dengan semua perangkat lunak antivirus lainnya dan bukan hanya Defender kali ini.

selengkapnya : techspot.com

Microsoft menunda penghentian Exchange Online CAR hingga 2024

by

Bulan berikutnya, Redmond menonaktifkan cmdlet CAR di penyewa yang tidak digunakan untuk mempromosikan peralihan ke alternatif yang lebih aman seperti akses bersyarat (CA) Azure Active Directory (AAD) dan evaluasi akses berkelanjutan (CAE).

Penundaan penghentian bertahap dipicu oleh ketidakmungkinan memigrasikan beberapa CAR ke Azure AD CA dan CAE hingga tenggat waktu awal, dalam beberapa kasus, karena kebutuhan akan dukungan yang tepat.

“Kami telah bekerja dengan pelanggan untuk mempelajari bagaimana mereka menggunakan CAR dan bagaimana mereka dapat bermigrasi ke fitur yang lebih baru ini, tetapi kami telah menemukan beberapa skenario di mana tidak mungkin untuk memigrasi aturan saat ini,” kata Tim Exchange pada hari Jumat.

“Untuk skenario ini, kami akan mengizinkan penggunaan CAR di luar batas waktu September 2023 yang diumumkan sebelumnya sampai kami dapat mendukungnya.”

​Sampai tenggat waktu penghentian akhir tercapai tahun depan, Microsoft sedang menunggu pelanggan untuk meminta bantuan memigrasikan CAR mereka ke opsi kontrol akses baru melalui tiket dukungan.

Seperti yang dijelaskan Redmond pada September 2022, beralih dari aturan akses Exchange Online lama ke akses bersyarat akan menambah ketahanan ekstra dengan memastikan penerapan perubahan kebijakan penyewa hampir secara waktu nyata dan secara proaktif menghentikan sesi pengguna aktif.

Microsoft juga baru-baru ini memperingatkan pelanggan bahwa autentikasi dasar akan dinonaktifkan di penyewa acak untuk meningkatkan keamanan Exchange Online mulai 1 Oktober 2022.

Peringatan tersebut mengikuti beberapa pengingat yang dikeluarkan Redmond selama tiga tahun terakhir, yang pertama diterbitkan pada September 2019.

selengkapnya : bleepingcomputer.com

Microsoft akhirnya menindak salah satu risiko keamanan Windows terbesarnya

by

Microsoft telah membagikan lebih banyak detail tentang pembaruan keamanan penting untuk OneNote, yang diharapkan dapat mengatasi masalah yang berkembang dari programnya yang semakin sering digunakan untuk mendorong ransomware dan jenis malware lainnya.

Dalam dokumen dukungan Microsoft 365 baru (terbuka di tab baru), perusahaan mencantumkan total 120 ekstensi file yang akan segera diblokir di OneNote. Di antara jenis file yang menonjol adalah .XLL, .ISO, .BAT, dan .JS.

Ekstensi ini juga akan diblokir di program Office 365 (terbuka di tab baru) lainnya seperti Outlook, Word, Excel, atau PowerPoint.

Sebelumnya, mencoba membuka file OneNote dengan lampiran yang mencurigakan akan memunculkan pemberitahuan peringatan, pembaruan baru akan mencegah file dibuka – sama sekali.

Sebagai gantinya, pengguna akan bertemu dengan dialog peringatan yang mengatakan “Administrator Anda telah memblokir kemampuan Anda untuk membuka jenis file ini di OneNote”.

Perubahan akan diluncurkan dalam Versi 2304 di Saluran Saat Ini (Pratinjau) ke OneNote untuk Microsoft 365, pada perangkat yang diberdayakan Windows, baik pada bulan April, atau Mei, tahun ini, katanya.

Versi retail Office 2021, Office 2019, dan Office 2016 (Current Channel) juga akan diperbarui untuk mencerminkan perubahan ini, namun, versi Office dengan lisensi volume (Office Standard 2019, atau OFfice LTSC Professional Plus 2021) tidak akan mendapatkan pembaruan.

Sejak Microsoft memblokir aplikasi produktivitasnya dari menjalankan makro, peretas telah mencari alternatif yang layak untuk mengirimkan malware. Di antara metode yang berbeda, ada yang menonjol – file OneNote dengan lampiran berbahaya. Praktik ini menjadi sangat populer, begitu cepat, sehingga memaksa Microsoft dan memicu pembaruan yang akan datang.

Selengkapnya: Tech Radar

Bug Windows berusia 10 tahun dengan perbaikan ‘keikutsertaan’ dieksploitasi dalam serangan 3CX

by

Kerentanan Windows berusia 10 tahun masih dieksploitasi dalam serangan untuk membuatnya tampak bahwa file yang dapat dieksekusi ditandatangani secara sah, dengan perbaikan dari Microsoft masih “ikut serta” setelah bertahun-tahun. Lebih buruk lagi, perbaikan dihapus setelah memutakhirkan ke Windows 11.

Pada Rabu malam, tersiar kabar bahwa perusahaan komunikasi VoIP 3CX dikompromikan untuk mendistribusikan versi trojan dari aplikasi desktop Windows-nya dalam serangan rantai pasokan skala besar.

Sebagai bagian dari serangan rantai pasokan ini, dua DLL yang digunakan oleh aplikasi desktop Windows diganti dengan versi jahat yang mengunduh malware tambahan ke komputer, seperti trojan pencuri informasi.

Salah satu DLL jahat yang digunakan dalam serangan biasanya adalah DLL resmi yang ditandatangani oleh Microsoft bernama d3dcompiler_47.dll. Namun, pelaku ancaman memodifikasi DLL untuk menyertakan muatan jahat terenkripsi di akhir file.

Seperti yang pertama kali disebutkan kemarin, meskipun file telah dimodifikasi, Windows masih menunjukkannya sebagai ditandatangani dengan benar oleh Microsoft.

Penandatanganan kode untuk file yang dapat dieksekusi, seperti file DLL atau EXE, dimaksudkan untuk meyakinkan pengguna Windows bahwa file tersebut asli dan belum dimodifikasi untuk menyertakan kode berbahaya.

Saat ditandatangani dieksekusi dimodifikasi, Windows akan menampilkan pesan yang menyatakan bahwa “tanda tangan digital dari objek tidak memverifikasi.” Namun, meskipun kita tahu bahwa DLL d3dcompiler_47.dll telah dimodifikasi, itu tetap ditampilkan sebagai masuk Windows.

Setelah menghubungi Will Dormann, analis kerentanan senior di ANALYGENCE, tentang perilaku ini dan berbagi DLL, kami diberi tahu bahwa DLL mengeksploitasi cacat CVE-2013-3900, “Kerentanan Validasi Tanda Tangan WinVerifyTrust.”

Microsoft pertama kali mengungkapkan kerentanan ini pada 10 Desember 2013, dan menjelaskan bahwa menambahkan konten ke bagian tanda tangan kode autentikasi EXE (struktur WIN_CERTIFICATE) dalam tanda tangan yang dapat dieksekusi dapat dilakukan tanpa membatalkan tanda tangan.

Selegkapnya: Bleeping Computer

Perburuan Tingkat Lanjut Tanpa Batas untuk Microsoft 365 Defender dengan Azure Data Explorer

by

Data seperti insiden, peringatan, dan garis waktu peristiwa perangkat tetap tersedia selama 180 hari. Namun dalam kasus khusus ini, mereka mengacu pada data Perburuan Lanjutan yang dihapus setelah 30 hari. Jadi Anda tidak akan bisa menggunakan Kusto Query Language (KQL) untuk mencari event di “raw data”. Dan untuk tujuan berburu proaktif, saya setuju dengan pelanggan saya; ini terlalu singkat.

Artikel ini menunjukkan bagaimana Anda dapat memanfaatkan Azure Data Explorer (ADX) untuk mengarsipkan data dari Pertahanan Microsoft 356 tanpa harus menggunakan Microsoft Sentinel di antaranya. Karena menyampaikan data ini melalui Sentinel tidak disukai oleh kebanyakan orang, karena biaya tambahan yang menyertainya. Yang bisa sangat besar dalam beberapa kasus.

Jadi, Defender dapat mendorong peristiwa mentah ke Hub Peristiwa dan Azure Data Explorer juga dapat menarik pesan dari Hub Peristiwa. Kedengarannya sederhana kan? Saat kami mengonfigurasi Streaming API di Defender, kami akan melihat bahwa kami hanya memiliki lima slot yang tersedia untuk konfigurasi.

Mungkin satu atau dua slot sudah terisi karena Anda telah mengaktifkan konektor data Microsoft 365 Defender di Microsoft Sentinel. Sepertinya tidak ada cara untuk menghapusnya dari sini. Dalam setiap slot, kami dapat memutuskan untuk mendorong log ke Event Hub atau Azure Storage.

Selengkapnya: Medium

Hasil pencarian Bing dibajak melalui aplikasi Microsoft yang salah konfigurasi

by

Aplikasi Microsoft yang salah konfigurasi memungkinkan siapa pun untuk masuk dan mengubah hasil pencarian Bing.com secara real-time, serta menyuntikkan serangan XSS untuk berpotensi merusak akun pengguna Office 365.

Masalah keamanan ditemukan oleh Wiz Research, yang menamakan serangan itu “BingBang.”

Analis Wiz melaporkan masalah tersebut ke Microsoft pada 31 Januari 2023, dan raksasa teknologi tersebut mengonfirmasi bahwa masalah tersebut telah diperbaiki pada 28 Maret 2023.

Peneliti Wiz menemukan bahwa saat membuat aplikasi di Layanan Aplikasi Azure dan Fungsi Azure, aplikasi dapat dikonfigurasi secara keliru untuk mengizinkan pengguna dari penyewa Microsoft mana pun, termasuk pengguna publik, untuk masuk ke aplikasi.

Pengaturan konfigurasi ini disebut ‘Support account types’ dan memungkinkan pengembang menentukan apakah multi-penyewa penyewa tertentu, akun pribadi, atau campuran multi akun dan pribadi harus diizinkan untuk mengakses aplikasi.

Opsi konfigurasi ini ditawarkan untuk kasus yang sah di mana pengembang harus membuat aplikasi mereka tersedia melintasi batas organisasi.

Namun, jika pengembang secara keliru memberikan izin yang lebih longgar, hal itu dapat menyebabkan akses yang tidak diinginkan ke aplikasi dan fitur-fiturnya.

“Arsitektur Tanggung Jawab Bersama ini tidak selalu jelas bagi pengembang, dan akibatnya, kesalahan validasi dan konfigurasi cukup lazim,” komentar Wiz dalam laporannya.

Begitulah besarnya masalah kesalahan konfigurasi sehingga sekitar 25% dari aplikasi multi-penyewa yang dipindai oleh Wiz salah konfigurasi, memungkinkan akses tanpa syarat tanpa validasi pengguna yang tepat.

Dalam beberapa kasus, aplikasi yang salah dikonfigurasi adalah milik Microsoft, menyoroti betapa mudahnya bagi admin untuk membuat kesalahan dalam konfigurasi Azure AD.

Selengkapnya: Bleeping Computer

Memperkenalkan Microsoft Security Copilot: Memberdayakan pembela dengan kecepatan AI

by

Microsoft Security Copilot adalah produk keamanan pertama yang memungkinkan pembela bergerak dengan kecepatan dan skala AI. Security Copilot menggabungkan model bahasa besar (LLM) canggih ini dengan model khusus keamanan dari Microsoft. Model khusus keamanan ini pada gilirannya menggabungkan serangkaian keterampilan khusus keamanan yang berkembang dan diinformasikan oleh intelijen ancaman global Microsoft yang unik dan lebih dari 65 triliun sinyal harian. Security Copilot juga menghadirkan keamanan tingkat perusahaan dan pengalaman yang mematuhi privasi saat berjalan di infrastruktur skala besar Azure.

Security Copilot tidak selalu melakukan semuanya dengan benar. Konten yang dihasilkan AI dapat mengandung kesalahan. Tapi Security Copilot adalah sistem pembelajaran loop tertutup, yang artinya terus belajar dari pengguna dan memberi mereka kesempatan untuk memberikan umpan balik eksplisit dengan fitur umpan balik yang dibangun langsung ke dalam alat. Saat kami terus belajar dari interaksi ini, kami menyesuaikan responsnya untuk menciptakan jawaban yang lebih koheren, relevan, dan bermanfaat.

Security Copilot juga terintegrasi dengan produk Microsoft Security end-to-end, dan seiring waktu akan berkembang ke ekosistem produk pihak ketiga yang berkembang. Jadi, singkatnya, Security Copilot bukan hanya model bahasa yang besar, melainkan sistem yang belajar, untuk memungkinkan organisasi benar-benar bertahan dengan kecepatan mesin.

selengkapnya : blog.microsoft.com

Alat CISA baru mendeteksi aktivitas peretasan di layanan cloud Microsoft

by

Cybersecurity & Infrastructure Security Agency (CISA) A.S. telah merilis alat respons insiden sumber terbuka baru yang membantu mendeteksi tanda-tanda aktivitas berbahaya di lingkungan cloud Microsoft.

Dikenal sebagai ‘Untitled Goose Tooll’ dan dikembangkan bekerja sama dengan Sandia, laboratorium nasional Departemen Energi AS, utilitas berbasis Python ini dapat membuang informasi telemetri dari lingkungan Azure Active Directory, Microsoft Azure, dan Microsoft 365.

“Untitled Goose Tool adalah alat berburu dan respons insiden yang kuat dan fleksibel yang menambahkan metode otentikasi dan pengumpulan data baru untuk menjalankan penyelidikan penuh terhadap lingkungan Azure Active Directory (AzureAD), Azure, dan M365 pelanggan,” kata CISA.

Dengan bantuan alat analisis dan interogasi cloud Microsoft lintas platform milik CISA, pakar keamanan dan admin jaringan dapat:

  • Mengekspor dan meninjau log masuk dan audit AAD, log audit terpadu (UAL) M365, log aktivitas Azure, peringatan Pertahanan Microsoft untuk IoT (internet of things), dan data Pertahanan Microsoft untuk Titik Akhir (MDE) untuk aktivitas mencurigakan.
  • Kueri, ekspor, dan selidiki konfigurasi AAD, M365, dan Azure.
  • Ekstrak artefak cloud dari lingkungan AAD, Azure, dan M365 Microsoft tanpa melakukan analitik tambahan.
  • Lakukan pembatas waktu UAL.
  • Ekstrak data dalam batas waktu tersebut.
  • Kumpulkan dan tinjau data menggunakan kemampuan terikat waktu serupa untuk data MDE.

Selengkapnya: Bleeping Computer