Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Windows Defender

Windows Defender

Terminator Antivirus Killer: Driver Windows Rentan yang Mengancam

by

Terminator antivirus killer adalah sebuah driver Windows yang rentan yang menyamar sebagai alat yang dapat menghentikan antivirus dan platform keamanan lainnya. Dikenal sebagai Spyboy, aktor ancaman ini mempromosikan alat Terminator di forum peretas berbahasa Rusia. Namun, menurut CrowdStrike, ini hanyalah serangan Bring Your Own Vulnerable Driver (BYOVD) yang terlihat mewah.

Terminator diklaim dapat melewati 24 solusi keamanan seperti antivirus, Endpoint Detection and Response (EDR), dan Extended Detection and Response (XDR). Ini termasuk Windows Defender pada perangkat dengan sistem operasi Windows 7 ke atas.

Spyboy menjual alat ini dengan harga mulai dari $300 hingga $3,000. Namun, beberapa solusi EDR seperti SentinelOne, Sophos, CrowdStrike, Carbon Black, Cortex, dan Cylance tidak bisa dibeli secara terpisah.

Untuk menggunakan Terminator, pengguna harus memiliki hak administratif pada sistem Windows dan memperdaya pengguna agar menerima pop-up User Account Controls (UAC) saat menjalankan alat ini.

Terminator sebenarnya hanya menjatuhkan driver kernel anti-malware bernama zamguard64.sys atau zam64.sys ke folder C:\Windows\System32\ dengan nama acak. Driver ini digunakan untuk menghentikan proses perangkat lunak keamanan yang berjalan pada perangkat dengan hak istimewa tingkat kernel.

Aktivitas Terminator ini baru terdeteksi oleh satu mesin pemindai anti-malware. Namun, peneliti keamanan telah membagikan aturan yang dapat membantu deteksi driver yang rentan yang digunakan oleh alat Terminator.

Teknik ini sering digunakan oleh aktor ancaman untuk melewati perangkat lunak keamanan dengan menjalankan driver Windows yang rentan. Kelompok ancaman yang berbeda, mulai dari kelompok ransomware hingga kelompok peretas yang didukung oleh negara, menggunakan teknik ini.

Baru-baru ini, peneliti keamanan Sophos X-Ops menemukan sebuah alat peretasan baru bernama AuKill yang menggunakan driver Process Explorer yang rentan untuk menonaktifkan perangkat lunak EDR sebelum menyerang dengan ransomware dalam serangan BYOVD.

Sumber: Bleeping Computer

Ransomware LockBit Menyalahgunakan Windows Defender untuk Memuat Cobalt Strike

by Leave a Comment

Pelaku ancaman yang terkait dengan operasi ransomware LockBit 3.0 menyalahgunakan alat baris perintah Windows Defender untuk memuat suar Cobalt Strike pada sistem yang disusupi dan menghindari deteksi oleh perangkat lunak keamanan.

Cobalt Strike adalah rangkaian pengujian penetrasi yang sah dengan fitur ekstensif yang populer di kalangan pelaku ancaman untuk melakukan pengintaian jaringan tersembunyi dan gerakan lateral sebelum mencuri data dan mengenkripsinya.

Namun, solusi keamanan menjadi lebih baik dalam mendeteksi suar Cobalt Strike, menyebabkan pelaku ancaman mencari cara inovatif untuk menerapkan toolkit.

Dalam kasus respons insiden baru-baru ini untuk serangan ransomware LockBit, para peneliti di Sentinel Labs memperhatikan penyalahgunaan alat baris perintah Microsoft Defender “MpCmdRun.exe” untuk memuat DLL berbahaya yang mendekripsi dan menginstal beacon Cobalt Strike.

Kompromi jaringan awal dalam kedua kasus dilakukan dengan mengeksploitasi kelemahan Log4j pada Server VMWare Horizon yang rentan untuk menjalankan kode PowerShell.

Beacon Cobalt Strike yang dimuat di samping pada sistem yang disusupi bukanlah hal baru bagi LockBit, karena ada laporan tentang rantai infeksi serupa yang mengandalkan penyalahgunaan utilitas baris perintah VMware.
Menyalahgunakan Microsoft Defender

Setelah membuat akses ke sistem target dan mendapatkan hak pengguna yang diperlukan, pelaku ancaman menggunakan PowerShell untuk mengunduh tiga file: salinan bersih utilitas Windows CL, file DLL, dan file LOG.

MpCmdRun.exe adalah utilitas baris perintah untuk melakukan tugas Microsoft Defender, dan mendukung perintah untuk memindai malware, mengumpulkan informasi, memulihkan item, melakukan pelacakan diagnostik, dan banyak lagi.

Saat dijalankan, MpCmdRun.exe akan memuat DLL sah bernama “mpclient.dll” yang diperlukan agar program dapat beroperasi dengan benar.

Dalam kasus yang dianalisis oleh SentinelLabs, pelaku ancaman telah membuat versi mpclient.dll mereka sendiri yang dipersenjatai dan menempatkannya di lokasi yang memprioritaskan pemuatan versi berbahaya dari file DLL.

Kode yang dieksekusi memuat dan mendekripsi muatan Cobalt Strike terenkripsi dari file “c00000015.log”, yang dijatuhkan bersama dengan dua file lainnya dari tahap serangan sebelumnya.

Meskipun tidak jelas mengapa afiliasi LockBit beralih dari VMware ke alat baris perintah Windows Defender untuk pemuatan samping suar Cobalt Strike, mungkin saja untuk melewati perlindungan yang ditargetkan yang diterapkan sebagai tanggapan terhadap metode sebelumnya.

Menggunakan alat “hidup di luar negeri” untuk menghindari deteksi EDR dan AV sangat umum akhir-akhir ini; maka organisasi perlu memeriksa kontrol keamanan mereka dan menunjukkan kewaspadaan dengan melacak penggunaan executable yang sah yang dapat digunakan oleh penyerang.

Sumber: BleepingComputer

Lemahnya Microsoft Defender memungkinkan peretas melewati deteksi malware

by

Pelaku ancaman dapat memanfaatkan kelemahan yang memengaruhi antivirus Microsoft Defender di Windows untuk mempelajari lokasi yang dikecualikan dari pemindaian dan menanam malware di sana.

Masalah ini telah berlangsung setidaknya selama delapan tahun, menurut beberapa pengguna, dan memengaruhi Windows 10 21H1 dan Windows 10 21H2.

Seperti solusi antivirus lainnya, Microsoft Defender memungkinkan pengguna menambahkan lokasi (lokal atau di jaringan) pada sistem mereka yang harus dikecualikan dari pemindaian malware.

Orang biasanya membuat pengecualian untuk mencegah antivirus memengaruhi fungsionalitas aplikasi sah yang terdeteksi secara keliru sebagai malware.

Karena daftar pengecualian pemindaian berbeda dari satu pengguna ke pengguna lainnya, ini adalah informasi yang berguna bagi penyerang pada sistem, karena ini memberi mereka lokasi di mana mereka dapat menyimpan file berbahaya tanpa takut terdeteksi.

Peneliti keamanan menemukan bahwa daftar lokasi yang dikecualikan dari pemindaian Microsoft Defender tidak terlindungi dan setiap pengguna lokal dapat mengaksesnya.

Terlepas dari izin mereka, pengguna lokal dapat menanyakan registri dan mempelajari jalur yang tidak diizinkan oleh Microsoft Defender untuk memeriksa malware atau file berbahaya.

Antonio Cocomazzi, peneliti ancaman SentinelOne yang dikreditkan karena melaporkan kerentanan RemotePotato0, menunjukkan bahwa tidak ada perlindungan untuk informasi ini, yang harus dianggap sensitif, dan menjalankan perintah “permintaan reg” mengungkapkan semua yang tidak diperintahkan Microsoft Defender untuk memindai, baik itu file, folder, ekstensi, atau proses.

Selengkapnya: Bleeping Computer

Bug Windows 11 merusak aplikasi Keamanan Windows, tetapi ada perbaikan

by

Bug yang tampaknya cukup luas menyebabkan Keamanan Windows menampilkan pesan kesalahan “You’ll need a new app to this windowsdefender link” di pratinjau build Windows 11.

Pratinjau awal Windows 11 saat ini tersedia untuk penguji di Program Windows Insider, dan pengguna menghadapi berbagai masalah dan bug dengan OS desktop yang dirancang.

Menurut laporan pengguna, Microsoft baru-baru ini merilis pembaruan yang salah dan tampaknya menyebabkan beberapa masalah serius dengan aplikasi Keamanan Windows yang digunakan untuk mengelola Windows Defender dan fitur keamanan lainnya. Untungnya, ada perbaikan sederhana di sini. Karena “Keamanan Windows” adalah aplikasi sistem, itu dapat diperbaiki menggunakan PowerShell.

Untuk memperbaiki kesalahan “windowsdefender link” di Windows 11, gunakan langkah-langkah ini:

  • Buka Windows PowerShell dari pencarian atau Start Menu dengan hak administrator.
  • Salin dan tempel Get-AppxPackage Microsoft.SecHealthUI -AllUsers | Reset-AppxPackage
  • Tutup jendela PowerShell.

Setelah selesai, Anda akan dapat meluncurkan aplikasi Keamanan Windows lagi.

Selengkapnya: Windows Latest

Microsoft menghapus kemampuan Windows Defender setelah masalah keamanan dilaporkan

by

Microsoft telah menghapus kemampuan untuk mengunduh file menggunakan Windows Defender setelah diperlihatkan bagaimana fitur tersebut dapat digunakan oleh penyerang untuk mengunduh malware ke komputer.

Ketika ini ditemukan, ada kekhawatiran dari komunitas keamanan siber bahwa Microsoft akan mengizinkan Microsoft Defender disalahgunakan oleh penyerang sebagai LOLBIN.

LOLBIN, atau living-off-the-land binaries, adalah file sistem operasi yang sah yang dapat disalahgunakan untuk tujuan jahat.

Untuk mengunduh file, pengguna dapat menjalankan Microsoft Antimalware Service Command Line Utility (MpCmdRun.exe) dengan argumen -DownloadFile.

Dengan rilis Windows Defender Antimalware Client versi 4.18.2009.2-0 kemarin, BleepingComptuer menemukan bahwa Microsoft sekali lagi diam-diam mengubah fitur MpCmdRun.exe.

Kali ini, Microsoft menghapus kemampuannya untuk mengunduh file melalui utilitas command line MpCmdRun.exe.

Pengguna yang mencoba mengunduh file menggunakan MpCmdRun.exe akan melihat kesalahan yang menyatakan “CmdTool: Argumen baris perintah tidak valid.” Opsi baris perintah -DownloadFile telah dihapus dari layar bantuan.

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Pembaruan Terbaru Windows 10 Merusak Software Anti Virus nya – Segera Lakukan Perbaikan Ini

by

Microsoft telah meluncurkan pembaruan yang cacat lagi, dan kali ini tampaknya menyebabkan beberapa masalah serius dengan Windows Defender, software antivirus bawaan yang disertakan dengan Windows 10.

Seperti yang dilaporkan Windows, tampaknya pembaruan otomatis, yang dikenal sebagai Security Intelligence 1.313.1638.0, yang baru-baru ini dirilis oleh Microsoft, menyebabkan Windows Defender menampilkan pesan kesalahan yang mengatakan “Threat Service telah berhenti. Restart sekarang”, dan “Kesalahan tidak terduga. Maaf, kami mengalami masalah. Silakan coba lagi.”

Yang paling mengkhawatirkan adalah masalah yang mencegah pengguna untuk dapat menjalankan scan Windows Defender pada Windows 10. Jika tidak melakukan pemindaiian, pengguna tidak akan tahu apakah ada virus dan masalah keamanan lainnya. Masalah ini menempatkan banyak komputer berbasis Windows dalam resiko.

Untuk memperbaiki masalah ini, Windows menyarankan agar pengguna melakukan Pemulihan Sistem (System Restore) ke tanggal sebelum Anda menginstal pembaruan.

Untuk melakukan ini, ketik ‘Pemulihan Sistem’ ke dalam kotak pencarian pada taskbar. Klik ‘Buat titik pemulihan’, lalu di jendela yang muncul, pilih ‘Pemulihan Sistem’.
Klik ‘Selanjutnya’, lalu pilih titik pemulihan dari daftar. Seharusnya ada Restore Point dari tanggal sebelum 16 April, yaitu saat pembaruan dirilis.
Sebelum Anda mengklik ‘Selanjutnya’, sebaiknya klik ‘Pindai program yang terpengaruh’ untuk melihat program apa (jika ada) yang tidak akan diinstal jika Anda menggunakan titik pemulihan ini. Setelah selesai, klik ‘Tutup’, lalu ‘Berikutnya’, lalu klik ‘Selesai’ untuk mengonfirmasi bahwa Anda ingin memulihkan titik tertentu ini.

Lebih lengkapnya dapat di baca pada tautan di bawah ini;
Source: Tech Radar | Tech Radar: How to Use System Restore

Pembaruan Windows 10 merusak perlindungan Windows Defender

by

Pembaruan untuk Windows Defender tampaknya telah merusak pemindaian antivirus pada Windows 10, dengan pesan error “Items Skipped During Scan”. Pada banyak perangkat pengguna ditemukan bahwa pemindaian Windows Defender gagal setelah beberapa menit, mengkonfirmasikan bahwa “scan was skipped” dan tidak ada ancaman yang ditemukan pada perangkat.

Tidak jelas item apa yang dilewati selama pemindaian oleh Windows Defender dan kami juga tidak tahu apakah perangkat lunak antivirus Microsoft dapat mendeteksi ancaman pada Windows 10.

Windows Defender versi 4.18.2003 atau yang lebih baru tampaknya memperkenalkan bug ini ketika Microsoft berusaha untuk memperbaiki masalah lain. Masalahnya khusus pada Windows 10, karena sistem operasi Windows lainnya termasuk Windows 7 dan 8 tidak terpengaruh oleh kesalahan ini.

Microsoft belum mendokumentasikan masalah tersebut, tetapi tampaknya fitur pemindaian offline berfungsi normal saat ini.

Baca berita selengkapnya pada tautan dibawah ini;

Source: Windows Latest