Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Windows

Windows

Bug Windows Defender mengisi drive boot Windows 10 dengan ribuan file

by

Bug Windows Defender membuat ribuan file kecil yang menghabiskan gigabyte ruang penyimpanan pada hard drive Windows 10.

Bug dimulai dengan mesin antivirus Windows Defender 1.1.18100.5 dan akan menyebabkan folder C: \ ProgramData \ Microsoft \ Windows Defender \ Scans \ History \ Store diisi dengan ribuan file dengan nama yang tampaknya merupakan hash MD5.
Dari sistem yang dilihat oleh BleepingComputer, ukuran file yang dibuat berkisar dari 600 byte hingga sedikit di atas 1KB.

Sementara sistem yang kami lihat hanya memiliki file sekitar 1MB, pengguna Windows 10 lainnya melaporkan bahwa sistem mereka telah diisi dengan ratusan ribu file, yang dalam satu kasus, menghabiskan ruang penyimpanan sebesar 30GB.

Pada drive sistem SSD yang lebih kecil (C :), ini bisa menjadi ruang penyimpanan yang cukup besar untuk dibuang pada file yang tidak perlu.

Menurut Deskmodder, yang pertama kali melaporkan masalah ini, bug tersebut sekarang telah diperbaiki di mesin Windows Defender terbaru, versi 1.1.18100.6.

Pengguna Windows 10 dapat memeriksa versi Windows Defender mereka dengan membuka Keamanan Windows, mengklik ikon roda gigi Pengaturan di kiri bawah layar, lalu memilih Tentang.

selengkapnya : www.bleepingcomputer.com

Malware Windows ‘Pingback’ baru menggunakan ICMP untuk komunikasi rahasia

by

Hari ini, para peneliti telah mengungkapkan temuan mereka pada sampel malware Windows baru yang menggunakan Internet Control Message Protocol (ICMP) untuk aktivitas command-and-control (C2).

Dijuluki “Pingback”, malware ini menargetkan sistem Microsoft Windows 64-bit, dan menggunakan DLL Hijacking untuk terus bertahan.

Hari ini, arsitek senior Trustwave Lloyd Macrohon dan peneliti keamanan utama Rodel Mendrez, telah merilis temuan mereka tentang malware Windows baru yang berbentuk DLL 64-bit.

Yang perlu diperhatikan adalah sampel malware menggunakan protokol komunikasi ICMP, yang juga digunakan oleh perintah ping populer dan utilitas Windows traceroute.

File berbahaya yang dimaksud hanyalah DLL 66-KB yang disebut oci.dll, dan biasanya dijatuhkan di dalam folder “Sistem” Windows oleh proses berbahaya atau vektor serangan lainnya.

Para peneliti lalu menyadari bahwa DLL ini tidak dimuat oleh aplikasi Windows rundll32.exe yang sudah dikenal, tetapi mengandalkan DLL Hijacking.

Peneliti Trustwave mengidentifikasi bahwa itu adalah layanan Microsoft Distributed Transaction Control (msdtc) yang disalahgunakan untuk memuat oci.dll yang berbahaya.

Malware oci.dll yang diluncurkan oleh msdtc, menggunakan ICMP untuk secara diam-diam menerima perintah dari server C2-nya.

Peneliti Trustwave yang menamai malware ini “Pingback”, menyatakan bahwa keuntungan menggunakan ICMP untuk komunikasi adalah Pingback tetap tersembunyi secara efektif dari pengguna.

Selengkapnya: Bleeping Computer

Package Manager Windows 10 Sekarang Dapat Menghapus Aplikasi Apa Pun Dari Command Line

by

Package manager Windows 10 mendapatkan beberapa fitur baru dan menarik yang memungkinkan Anda mengelola aplikasi apa pun yang diinstal langsung dari baris perintah (command line).

Biasanya digunakan di Linux, Package manager memungkinkan Anda untuk mengotomatiskan penginstalan, peningkatan, dan penghapusan aplikasi dari baris perintah. Yang lebih membantu lagi, package manager akan secara otomatis menentukan dependensi program yang Anda coba instal dan juga dependensi tersebut.

Tahun lalu, Microsoft merilis package manger Windows 10 bernama Winget yang memungkinkan pengguna menginstal aplikasi populer dari repositori yang dikelola oleh Microsoft. Karena program ini digunakan dari baris perintah, program ini dapat digunakan dalam skrip, file batch, dan rutinitas penginstalan untuk menginstal program secara otomatis.

Microsoft merilis Winget versi 0.3 minggu ini dan memperkenalkan dukungan untuk fitur eksperimental baru yang secara signifikan meningkatkan fungsionalitas program.

Dengan rilis ini, Microsoft memperkenalkan dua perintah baru -‘list’ dan ‘uninstall’ yang memungkinkan Anda mengelola setiap program yang diinstal di windows 10.

Anda dapat menemukan informasi lebih lanjut tentang cara menginstal pengelola paket Windows 10 di sini.

Selengkapnya: Bleeping Computer

Microsoft mengaktifkan aplikasi Linux GUI di Windows 10 untuk pengembang

by

Microsoft mulai mengizinkan penguji Windows 10 untuk mengakses aplikasi Linux GUI.

Pratinjau pertama dukungan untuk aplikasi GUI tersedia hari ini untuk Windows Insiders, memungkinkan pengembang untuk menjalankan editor GUI, alat, dan aplikasi untuk membangun dan menguji aplikasi Linux. Ini adalah ekstensi yang signifikan untuk Subsistem Windows Microsoft untuk Linux (WSL), setelah perusahaan menambahkan kernel Linux lengkap ke Windows 10 tahun lalu.

Meskipun dimungkinkan untuk menjalankan aplikasi GUI Linux dalam Windows yang sebelumnya menggunakan server X pihak ketiga, dukungan resmi dari Microsoft berarti ada juga akselerasi perangkat keras GPU sehingga aplikasi dan alat berjalan dengan lancar. Dukungan audio dan mikrofon juga disertakan, sehingga pengembang Linux dapat dengan mudah menguji atau menjalankan pemutar video dan aplikasi komunikasi.

Microsoft juga menguji mode eco baru untuk Windows Task Manager dalam versi uji terbaru ini. Ini adalah fitur eksperimental yang memungkinkan Anda membatasi sumber daya proses di dalam Task Manager.

Jika Anda tertarik untuk mencoba aplikasi Linux GUI di Windows 10 atau fitur Task Manager baru ini, Anda perlu memasang Windows Insider build 21364 terbaru dari Saluran Dev. Berhati-hatilah: ini dirancang sebagai build pengembang dan bukan untuk mesin yang Anda andalkan setiap hari.

Selengkapnya: The Verge

REvil ransomware sekarang mengubah kata sandi menjadi auto-login dalam Mode Aman

by

Perubahan terbaru pada REvil ransomware memungkinkan pelaku ancaman untuk mengotomatiskan enkripsi file melalui Safe Mode setelah mengubah sandi Windows.

Pada akhir Maret, sampel baru REvil ransomware ditemukan oleh peneliti keamanan R3MRUM yang menyempurnakan metode enkripsi Safe Mode baru dengan mengubah kata sandi pengguna yang masuk dan mengkonfigurasi Windows untuk masuk secara otomatis (auto-login) saat reboot.

Dengan contoh baru ini, ketika argumen -smode digunakan, ransomware akan mengubah kata sandi pengguna menjadi ‘DTrump4ever.’

Ransomware kemudian mengkonfigurasi nilai Registry berikut sehingga Windows secara otomatis akan login dengan informasi akun baru.

Meskipun tidak diketahui apakah sampel baru pengenkripsi ransomware REvil terus menggunakan kata sandi ‘DTrump4ever’, setidaknya dua sampel yang diunggah ke VirusTotal dalam dua hari terakhir terus melakukannya.

Perubahan ini menggambarkan bagaimana geng ransomware terus mengembangkan taktik mereka untuk berhasil mengenkripsi perangkat korban dan memaksa pembayaran tebusan.

REvil juga baru-baru ini memperingatkan bahwa mereka akan melakukan serangan DDoS pada korban dan mengirim email ke mitra bisnis korban tentang data yang dicuri jika uang tebusan tidak dibayarkan.

Sumber: Bleeping Computer

Peretas Menggunakan Fitur OS Windows untuk Menghindari Firewall dan Mendapatkan Persisten Akses

by

Sebuah teknik baru yang diadopsi oleh penyerang menemukan cara untuk menggunakan Background Intelligent Transfer Service (BITS) Microsoft untuk menyebarkan muatan berbahaya pada mesin Windows secara diam-diam.

Pada tahun 2020, rumah sakit, komunitas pensiunan, dan pusat kesehatan menanggung beban kampanye phishing yang terus berubah yang mendistribusikan pintu belakang khusus seperti KEGTAP, yang pada akhirnya membuka jalan bagi serangan ransomware RYUK.

Tetapi penelitian baru oleh lengan forensik cyber Mandiant FireEye sekarang telah mengungkapkan mekanisme persistensi yang sebelumnya tidak diketahui yang menunjukkan musuh memanfaatkan BITS untuk meluncurkan pintu belakang.

Diperkenalkan di Windows XP, BITS adalah komponen Microsoft Windows, yang memanfaatkan bandwidth jaringan menganggur untuk memfasilitasi transfer file yang tidak sinkron antar mesin. Ini dicapai dengan membuat pekerjaan – wadah yang menyertakan file untuk diunduh atau diunggah.

BITS biasanya digunakan untuk mengirimkan pembaruan sistem operasi ke klien serta oleh pemindai antivirus Windows Defender untuk mengambil pembaruan tanda tangan malware. Selain produk Microsoft sendiri, layanan ini juga digunakan oleh aplikasi lain seperti Mozilla Firefox untuk memungkinkan pengunduhan berlanjut di latar belakang bahkan saat browser ditutup.

selengkapnya : thehackernews.com

Microsoft memperbaiki kerentanan peningkatan hak istimewa Windows PSExec

by

Microsoft telah memperbaiki kerentanan dalam utilitas PsExec yang memungkinkan pengguna lokal mendapatkan hak istimewa yang lebih tinggi pada perangkat Windows.

PsExec adalah utilitas Sysinternals yang dirancang untuk memungkinkan administrator melakukan berbagai aktivitas di komputer jarak jauh, seperti meluncurkan file yang dapat dieksekusi dan menampilkan output di komputer lokal atau membuat reverse shells.

Karena keserbagunaan alat tersebut, pelaku ancaman biasanya menggunakan PsExec dalam toolkit pasca eksploitasi mereka untuk menyebar secara lateral ke mesin lain di jaringan, menjalankan perintah pada sejumlah besar perangkat secara bersamaan, atau menyebarkan malware seperti ransomware.

Pada bulan Desember 2020, peneliti Tenable David Wells menemukan kerentanan dalam named pipe communications PsExec yang memungkinkan pengguna lokal untuk meningkatkan ke hak istimewa SISTEM.

Setelah melaporkan kerentanan, Wells memberi waktu sembilan puluh hari kepada Microsoft untuk memperbaiki kerentanan tersebut, dan ketika Microsoft tidak memperbaikinya, ia akan mengungkapkan kekurangannya dan merilis PoC yang berfungsi penuh.

Setelah kerentanan diungkapkan kepada publik, Microsoft merilis PsExec versi 2.30 untuk mengatasi kerentanan tersebut. Namun, Wells menyatakan bahwa sedikit penyesuaian pada PoC-nya dapat melewati perbaikan tersebut.

Kemarin, Microsoft merilis PsExec v2.33, yang menyertakan perbaikan baru untuk kerentanan peningkatan hak istimewa lokal named pipe.

Selengkapnya: Bleeping Computer

Kelompok peretasan menggunakan 11 zero-day untuk menyerang pengguna Windows, iOS, Android

by

Project Zero, tim zero-day bug-hunting Google, menemukan sekelompok peretas yang menggunakan 11 zero-day dalam serangan yang menargetkan pengguna Windows, iOS, dan Android dalam satu tahun.

Tim Project Zero mengungkapkan bahwa kelompok peretasan di balik serangan ini menjalankan dua kampanye terpisah, pada bulan Februari dan Oktober 2020.

Laporan bulan ini menampilkan penggunaan tujuh zero-day setelah sebelumnya diterbitkan pada Januari menunjukkan bagaimana empat zero-day digunakan bersama dengan eksploitasi n-day untuk meretas target potensial.

Sama seperti sebelumnya, penyerang menggunakan beberapa lusin situs web yang menghosting dua server exploit, masing-masing menargetkan pengguna iOS dan Windows atau Android.

“Dalam pengujian kami, kedua server exploit ada di semua domain yang ditemukan,” kata anggota tim Project Zero, Maddie Stone.

“Setelah sidik jari awal (tampaknya didasarkan pada asal alamat IP dan user-agent), iframe disuntikkan ke situs web yang mengarah ke salah satu dari dua server exploit.”

Sumber: Google Project Zero

Secara keseluruhan, saat menganalisis kampanye Oktober 2020, para peneliti Project Zero menemukan:

  • satu rantai eksploitasi yang menargetkan Windows 10 yang sepenuhnya ditambal menggunakan Google Chrome
  • dua rantai parsial menargetkan 2 perangkat Android berbeda yang sepenuhnya ditambal yang menjalankan Android 10 menggunakan Google Chrome dan Samsung Browser
  • beberapa eksploitasi RCE untuk iOS 11-13 dan eksploitasi eskalasi hak istimewa untuk iOS 13 (dengan bug yang dieksploitasi hadir hingga iOS 14.1)

Selengkapnya: Bleeping Computer