Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Windows 10

Windows 10

Patch CVE-2020-1472 Netlogon Secure Channel sekarang!

by

Netlogon Remote Protocol atau disebut MS-NRPC adalah antarmuka RPC yang digunakan secara eksklusif oleh perangkat yang bergabung dengan domain tertentu. MS-NRPC menyertakan metode otentikasi dan metode untuk membuat Netlogon secure channel. Pembaruan ini memberlakukan perilaku klien Netlogon tertentu untuk menggunakan Secure RPC dengan Netlogon Secure Channel antara komputer client dan Domain Controllers (DC) direktori aktif (AD).

Pembaruan keamanan ini mengatasi kerentanan dengan memberlakukan Secure RPC saat menggunakan Netlogon Secure Channel di rilis secara bertahap yang dijelaskan di bagian Pembaruan. Untuk memberikan perlindungan AD, semua DC harus diperbarui karena mereka akan memberlakukan Secure RPC dengan Netlogon Secure Channel. Ini termasuk read only domain controller (RODC).

Pada halaman advisori, Microsoft merilis langkah-langkah untuk menutup celah CVE-2020-1472 :

1.UPDATE Domain Controller anda dengan update yang dirilis pada 11 Agustus 2020 atau setelahnya.
2.CARI perangkat yang mempunyai celah melalui monitoring event log.
3.CATAT perangkat yang sudah tidak mendapatkan update karena riskan terhadap koneksi yang rentan.
4.AKTIFKAN enforcement mode untuk mengatasi CVE-2020-1472 dalam organisasi anda.

Harap segera patch perangkat anda pada situs resmi Microsoft disini.

Eksploitasi Microsoft Netlogon terus meningkat

by Leave a Comment

Cisco Talos melacak lonjakan upaya eksploitasi terhadap kerentanan Microsoft CVE-2020-1472, peningkatan bug hak istimewa di Netlogon, yang diuraikan dalam laporan Microsoft Patch Tuesday Agustus. Kerentanan berasal dari cacat dalam skema otentikasi kriptografi yang digunakan oleh Netlogon Remote Protocol yang – antara lain – dapat digunakan untuk memperbarui sandi komputer dengan memalsukan token otentikasi untuk fungsionalitas Netlogon tertentu. Cacat ini memungkinkan penyerang meniru identitas komputer mana pun, termasuk pengontrol domain itu sendiri dan mendapatkan akses ke kredensial admin domain.

Ciri-ciri Netlogon:

    • Klien mengirimkan tantangan klien yang mencakup tantangan delapan byte.
      Server merespons dengan tantangan server termasuk tantangan delapan byte-nya.
      Klien dan server menghitung kunci sesi bersama
      Klien mengenkripsi kunci sesi bersama yang menghasilkan kredensial klien
      Server mengenkripsi kunci sesi bersama yang menghasilkan kredensial server

    • Microsoft saat ini menangani kerentanan ini dalam perilisan dua bagian mitigasi secara bertahap. Microsoft menguraikan rencananya dalam sebuah halaman advisori yang mengatakan, “Untuk pedoman tentang cara mengelola perubahan yang diperlukan untuk kerentanan ini dan informasi lebih lanjut tentang peluncuran bertahap, lihat Bagaimana mengelola perubahan dalam koneksi aman Netlogon yang terkait dengan CVE-2020-1472. Ketika fase kedua pembaruan Windows tersedia pada K1 2021, pelanggan akan diberi tahu melalui revisi kerentanan keamanan ini. Jika Anda ingin diberi tahu ketika pembaruan ini dirilis, kami menyarankan Anda mendaftar ke pengirim pemberitahuan keamanan agar diberi tahu tentang perubahan konten pada dokumen advisori ini. ”

    Source : Cisco Talos

    Source Kode Windows 10 Diduga Bocor ke Dunia Maya

    by

    Source Code pada Windows XP SP1 dan versi lainnya diduga telah bocor ke dunia maya pada hari ini.
    Pelaku mengklaim telah menghabiskan dua bulan terakhir untuk mengumpulkan koleksi Source Code Microsoft yang bocor di dunia maya. Koleksi file sebesar 43 GB ini dirilis hari ini secara Torrent melalui forum 4chan.

    Isi “bocoran” Source Code Windows

    Yang termasuk dalam torrent ini diduga source code Windows XP dan Windows Server 2003, juga bermacam-macam versi sistem operasi yang bahkan lebih lama.

    Isi torrent tersebut meliputi:

        MS DOS 3.30
        MS DOS 6.0
        Windows 2000
        Windows CE 3
        Windows CE 4
        Windows CE 5
        Windows Tertanam 7
        CE Tertanam Windows
        Windows NT 3.5
        Windows NT 4

    Torrent tersebut juga menyertakan folder media yang berisi kumpulan video teori konspirasi aneh tentang Bill Gates.
    Selain torrent, file 2,9GB 7zip yang lebih kecil yang hanya berisi kode sumber untuk Windows XP dan Windows Server 2003 juga didistribusikan secara online.

    Pelaku menyatakan bahwa source code Windows XP telah diedarkan secara pribadi di antara para peretas selama bertahun-tahun, tetapi dirilis untuk umum untuk pertama kalinya hari ini.
    BleepingComputer berkata telah melihat sumbernya, tetapi tidak memiliki cara untuk memastikan apakah itu kode sumber sebenarnya untuk Windows XP atau Windows Server 2003.
    Microsoft pun belum mengonfirmasi apakah sumber yang bocor itu valid atau tidak.

    Apakah source code ini mengancam kemanana Windows?

    Walaupun Windows XP sudah dirilis lebih dari 20 tahun yang lalu, jika ada kode yang masih digunakan dalam Windows 10, kebocoran ini berpotensi mengancam keamanan Windows 10.
    Source Code adalah instruksi yang didesain agar mudah dipahami oleh manusia, dengan melihat source code ini seseorang bisa tahu bagaimana seharusnya program berjalan. Source code ini kemudian dicompile menjadi file yang dapat dieksekusi oleh komputer.

    Memang kita bisa mereverse-engineering Windows untuk mencari celah ataupun bug, tetpai dengan adanya source code, menjadi lebih mudah untuk melihat detail sebuah sistem operasi bekerja.

    Source : BleepingComputer

    Security Minggu ini: Active Directory telah berakhir, Authentikasi Dua Factor Tidak Sempurna, dan Politisi sebagai Peretas

    by

    Berita paling besar minggu ini adalah kelemahan besar pada Active Directory Microsoft, CVE-2020-1472 (whitepaper). Netlogon adalah bagian dari skema domain Windows, dan digunakan untuk mengotentikasi pengguna tanpa benar-benar mengirim sandi melalui jaringan. Versi Windows modern menggunakan AES-CFB8 sebagai mesin kriptografi yang mendukung otentikasi Netlogon. Mode khusus AES ini mengambil vektor inisialisasi (IV) bersama dengan kunci dan teks biasa. Kelemahannya di sini adalah bahwa implementasi Microsoft menetapkan IV ke semua nol.

    Proses enkripsi AES dasar memiliki dua input: teks biasa 128 bit (16 byte), dan kunci 128, 192, atau 256 bit. Plaintext dan key yang sama akan menghasilkan output ciphertext yang sama setiap saat. Mengenkripsi lebih dari 128 bit data dengan pendekatan naif ini akan segera mengungkap masalah – Sangat mungkin untuk menemukan pola dalam keluaran. Lebih buruk lagi, pemeriksaan pola yang cerdas dapat membangun buku decoding. Pola 16 byte yang paling sering muncul akan ditebak terlebih dahulu. Ini akan menjadi seperti teka-teki silang raksasa, mencoba mengisi kekosongan.

    Netlogon, di sisi lain, menggunakan mode Cipher FeedBack (CFB8) dari AES. Mode ini membutuhkan 16 byte IV, dan menambahkan nilai itu ke data yang akan dienkripsi. Operasi AES dasar dilakukan pada 16 byte pertama dari pesan ini (hanya IV). Byte pertama dari output adalah XOR dengan byte ke-17 dari string gabungan, dan kemudian jendela 16 byte bergeser satu byte ke kanan. Ketika byte terakhir dari pesan teks biasa telah di-XOR, IV dijatuhkan dan proses selesai. Konstruksi khusus AES-CFB8 berarti IV acak jauh lebih penting untuk enkripsi yang kuat.

    Ingat kelemahannya? Implementasi Microsoft menetapkan nilai IV itu sebagai nol semua. Kunci enkripsi dihasilkan dari kata sandi, tetapi teks biasa yang akan dienkripsi dapat ditentukan oleh penyerang. Cukup mudah untuk memanipulasi situasi sedemikian rupa sehingga seluruh string IV + Plaintext terdiri dari nol. Dalam keadaan ini, 1-dalam-256 kunci akan menghasilkan ciphertext nol. Dengan kata lain, keamanan 128-bit AES dikurangi menjadi 8-bit. Hanya dalam beberapa tebakan, penyerang dapat menggunakan Netlogon untuk mengotentikasi sebagai pengguna mana pun.

    Microsoft telah memperbaiki masalah ini dalam pembaruan keamanan Agustus mereka. Meskipun benar bahwa mengeksploitasi masalah ini membutuhkan pijakan di jaringan, eksploitasinya sederhana dan bukti kode konsep sudah tersedia. Ini jelas merupakan masalah untuk segera dipatch.

    Lihat Artikel lebih lanjut disini

    Ketika 2FA Membuat Anda Kurang Aman

    Beberapa tindakan keamanan bersifat universal seperti “Aktifkan autentikasi dua faktor”. Ada sedikit celah di sana. sebenarnya, 2FA menambahkan permukaan serangan ekstra. Palo Alto menemukan ini dengan cara yang sulit dengan sistem PAN-OS mereka. Dengan 2FA atau captive portal diaktifkan, dimungkinkan untuk mengeksploitasi buffer overflow dan mengeksekusi kode sebagai root. Karena antarmuka yang akan dieksploitasi sering diekspos ke publik, kerentanan ini mendapat skor kritis 9,8.

    Skimmer Kartu Virtual CardBleed

    Magento adalah platform e-niaga yang dimiliki oleh Adobe sejak 2018. Sederhananya, ini adalah sistem keranjang belanja untuk situs web. Dalam beberapa hari terakhir, tampaknya hampir 2.000 instans Magento v1 telah disusupi, dengan skimmer digital dipasang di situs tersebut. Eksploitasi yang cepat akan menunjukkan bahwa seseorang memiliki database situs bertenaga Magento, dan memperoleh eksploitasi zero-day yang dapat diotomatiskan.

    Hacking Politicians for Fun and Profit

    Trio peretas Belanda berhasil membobol akun twitter Donald Trump pada tahun 2016, tepat sebelum pemilihan. Bagaimana? Kisah yang sama yang kita semua kenal: penggunaan ulang kata sandi dan dump database LinkedIn. Fakta mengejutkan, kata sandi favorit Donald Trump adalah “yourefired” (“anda dipecat”).

    Dalam cerita serupa, mantan perdana menteri Australia memposting gambar online yang berisi boarding pass-nya, dan seorang peneliti yang banyak akal berhasil menggunakan informasi itu untuk mendapatkan kembali paspor dan nomor teleponnya. Tahukah Anda bahwa boarding pass dianggap sebagai informasi sensitif? Untuk mengotentikasi dengan maskapai penerbangan, yang diperlukan hanyalah nama belakang dan nomor referensi pemesanan yang cocok. Ini memberi Anda akses ke laman yang sangat tidak menarik, tetapi ketika Anda memiliki akses ke 1337 alat peretas, langit adalah batasnya. Rupanya backend situs web Qantas mengirimkan semua yang ada di database tentang pelanggan tertentu, dan hanya sedikit dari informasi itu yang ditampilkan kepada pengguna. Jauh lebih banyak informasi yang menunggu untuk diendus.

    Tor 0-Day?

    [Dr. Neal Krawetz] menjalankan layanan tersembunyi TOR, dan mendapati dirinya menjadi korban serangan DDoS melalui jaringan TOR. Dia menelepon seorang teman yang melakukan keamanan jaringan secara profesional, dan meminta bantuan. Setelah membaca setengah dari alamat IP publik tempat tinggal server hosting, temannya memberi tahu alamat lainnya. Mari kita pikirkan proses itu. Layanan TOR tersembunyi sedang diserang, seseorang dengan akses ke Network Operations Center (NOC) yang cukup besar dapat mengetahui apa alamat IP Publik dari layanan itu. Ini adalah jeda mendasar dalam tujuan TOR.

    Source : Hackday

    Pembaruan Windows 10 memperbaiki masalah drive SSD yang mengganggu

    by

    Microsoft mengatakan akhirnya mereka telah memperbaiki masalah pembaruan Windows 10 yang berpotensi pengguna mengalami masalah dengan SSD sistem mereka.

    Microst telah mengungkapkan bahwa pembaruan Windows 10 September 2020 terbaru (Windows 10 KB4571756, atau Build 19041.508), telah menyelesaikan masalah dengan alat Drive Optimize yang melihat Windows secara otomatis mendefrag SSD sistem setiap kali sistem di-boot ulang.

    Pengguna khawatir bahwa masalah tersebut, yang pertama kali diperhatikan pada pembaruan Windows 10 sebelumnya awal tahun ini, masih belum diperbaiki meskipun ada jaminan dari Microsoft.

    Ini berarti Windows 10 melakukan pengoptimalan drive otomatis jauh lebih sering daripada yang seharusnya, yang dapat berimplikasi pada jangka umur SSD.

    Baca berita selengkapnya pada tautan di bawah ini;
    Source: Tech Radar

    Tema Windows 10 dapat disalahgunakan untuk mencuri kata sandi Windows

    by

    Peneliti keamanan Jimmy Bayne (@bohops) mengungkapkan bahwa tema Windows yang dibuat secara khusus dapat digunakan untuk melakukan serangan Pass-the-Hash.

    Serangan Pass-the-Hash digunakan untuk mencuri nama login Windows dan hash sandi dengan mengelabui pengguna agar mengakses remote SMB share yang memerlukan otentikasi.

    Ketika mencoba mengakses sumber daya jarak jauh, Windows akan secara otomatis mencoba masuk ke sistem jarak jauh dengan mengirimkan nama login pengguna Windows dan hash NTLM dari kata sandinya.

    Dalam serangan Pass-the-Hash, kredensial yang dikirim diambil oleh penyerang, yang kemudian mencoba me-dehash kata sandi untuk mengakses nama login dan kata sandi pengunjung.

    Karena serangan Pass-the-Hash akan mengirim akun yang digunakan untuk masuk ke Windows, termasuk akun Microsoft, jenis serangan ini menjadi lebih bermasalah.

    Untuk melindungi dari file tema berbahaya, Bayne menyarankan agar Anda memblokir atau mengaitkan ulang ekstensi .theme, .themepack, dan .desktopthemepackfile ke program lain.

    Namun, hal itu akan merusak fitur Tema Windows 10, jadi gunakan hanya jika Anda tidak perlu beralih ke tema lain.

    Pengguna Windows dapat mengkonfigurasi kebijakan grup bernama ‘Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers’ dan setel ke ‘Deny All’ untuk mencegah kredensial NTLM Anda dikirim ke host jarak jauh.

    Restrict NTLM: Outgoing NTLM traffic to remote servers

    Harap dicatat, bahwa mengkonfigurasi opsi ini dapat menyebabkan masalah di lingkungan perusahaan yang menggunakan fitur remote share.

     
    Berita selengkapnya:
    Source: Bleeping Computer

    Antivirus Windows 10, Microsoft Defender, dapat digunakan untuk mengunduh malware

    by

    Pembaruan terbaru untuk antivirus Microsoft Defender Windows 10 secara ironis memungkinkannya mengunduh malware dan file lain ke komputer Windows.

    File sistem operasi yang sah yang dapat disalahgunakan untuk tujuan jahat dikenal sebagai living-off-the-land binaries atau LOLBINs.

    Dalam pembaruan Microsoft Defender baru-baru ini, yang Ditemukan oleh peneliti keamanan Mohammad Askar, command-line MpCmdRun.exe tool telah diperbarui untuk menyertakan kemampuan mengunduh file dari lokasi jauh, yang dapat disalahgunakan oleh penyerang.

    Dengan fitur baru ini, Microsoft Defender sekarang menjadi bagian dari daftar panjang program Windows yang dapat disalahgunakan oleh penyerang lokal.

    Baca berita selengkapnya pada tautan di bawah ini;
    Source: Bleeping Computer

    Peretas Memanfaatkan Celah Autodesk untuk Serangan Cyberespionage

    by

    Aktor jahat mengeksploitasi kerentanan dalam perangkat lunak Autodesk, sebuah software grafis 3D populer, untuk meluncurkan serangan spionase terhadap sebuah perusahaan produksi arsitektur dan video internasional tersebut.

    Para peneliti mengatakan bahwa analisis lebih lanjut dari serangan tersebut mengarah ke kelompok APT yang memiliki pengetahuan sebelumnya tentang sistem keamanan dan software perusahaan, mereka merencanakan serangan untuk menyusup ke perusahaan dan mengekstrak data tanpa terdeteksi. Mereka diketahui telah berkolaborasi dalam proyek real estat bernilai miliaran dolar di New York, London, Australia, dan Oman.

    Ciri khas serangan mereka menggunakan plugin berbahaya untuk Autodesk 3ds Max, program grafis yang digunakan oleh organisasi teknik, arsitektur, ataupun modeling 3D game, yang dikembangkan oleh Autodesk Media and Entertainment.

    File berbahaya menyamar sebagai plugin untuk Autodesk 3ds Max. Pada kenyataannya, plugin tersebut adalah varian dari eksploitasi MAXScript dari Autodesk 3ds Max, yang disebut “PhysXPluginMfx”.

    Eksploitasi ini dapat merusak pengaturan perangkat lunak 3ds Max untuk menjalankan kode berbahaya, dan akhirnya menyebar ke file lain di sistem Windows.

    Source : threatpost.com