Skip to main content

DoubleAgent, Bukan Cuma Anti Anti Virus

Broken Windows Foto: Sketchup
Para peneliti pengamanan jaringan dan computer dari Cybellum telah berhasil menemukan teknik zero-day code injection and persistence baru yang memungkinkan seorang attacker untuk mengambil alih aplikasi dan seluruh mesin yang menggunakan Windows. Mereka mendemonstrasikan serangan kepada solusi antivirus yang mereka sebut sebagai DoubleAgent karena mampu merubah antivirus menjadi agent malware.

Serangan Double Agent
"DoubleAgent mengeksploitasi perangkat yang sah pada Windows yang disebut sebagai 'Microsoft Application Verifier' yang merupakan bagian dari instalsi Microsoft Windows dan selalu disertakan pada seluruh versi dari MS Windows yang dipergunakan untuk menemukan dan memperbaikai bug pada suatu aplikasi," kata Cybellum.

"Peneliti kami telah menemukan kemampuan tak didokumentasikan dari 'Microsoft Application Verifier' yang memberikan kemampuan pada penyerang untuk mengganti standar verifikasi pada verifier dengan standar verifikasi mereka.  Penyerang dapat memanfaatkan kemampuan ini untuk menyuntikkan standar verifikasi yang telah dikastomisasi kepada suatu aplikasi. Sekali seorang mampu menyuntikkan verifikasi yang telah dikastomisasi, dia kemudian akan mendapatkan kontrol penuh terhadap aplikasi.
Meskipun, suatu serangan dapat dipergunakan untuk meng-kompromikan semua aplikasi, peneliti memilih untuk berfokus pada solusi antivirus, karena umumnya aplikasi ini umumnya dianggap sebagai terpercaya.
"Dengan menggunakan DoubleAgent, seorang penyerang dapat mengambil kontrol penuh dari antivirus dan mempergunakannya tanpa harus takut akan diblok," kata mereka memberikan catatan. Kontrol ini meliputi:
Merubah aplikasi menjadi malware (selama tidak bisa teridenfikai oleh solusi pengamanan lainnya)
Memodifikasi kebiasaannya (membuatnya stop bekerja)
Mempergunakannya untuk menjalankan aksi yang seharusnya segera bisa teridentifikasi sebagai suspicious (misal oleh exfiltrate data, C&C communication, dst)
Menghancurkan komputer (mengenkrip seluruh file, memformat hard disk drice, dan seterusnya)

Peneliti Cybellum telah mendemontrasikan DoubleAgent code injection untuk menyerang Symantec Norton Antivirus, dan menawarkan POC untuk exploit code di GitHub. Teknikal detail dari double agent bisa diambil di sini.

Para peneliti telah menyampaikan kepada vendor antivirus besar dan beberapa dari mereka telah menerapkan patch (Malwarebytes, dan AVG). Trend Micro sedang menerapkan patch nya. Sementara yang masih vulnerable adalah Avast, BitDevender, ESET, Kaspersky, dan F-Secure.

"Microsoft saat ini tengah menyediakan suatu desaign dan konsep baru untuk vendor antivirus yang mereka sebut sebagai protected proses.  Konsep baru ini khusus dibuat hanya untuk servis antivirus. Proses antivirus dapat dijalankan sebagai  'Protected Process' dan infrastruktur protected process hanya akan mengijinkan, kode yang telah dipercaya maupun yang telah ditandai untuk dimuat.  Protected Process juga pertahanan bawaan untuk melawan serangan code injection," jelas para peneliti.

"Ini berarti, bahkan bila seorang penyerang menemukan teknik baru zero day injection sekalipun, mereka tidak akan dapat melakukan untuk menyerang antivirus oleh karena kode nya tidak ditandai. Cuma, saat ini belum ada antivirus selain Windows Defender yang telah mengimplementasikan itu, meskipun Microsoft telah membuat disain ini 3 tahun yang lalu.
Kerentanan yang memungkinkan serangan DoubleAgent bekerja pada semua versi dan arsitektur Microsoft Windows.
"Kami memerlukan usaha lebih untuk mendeteksi dan menahan serangan ini serta menghentikan dengan menutup mata seluruh solusi pengamanan tradisional," lanjut para peneliti. "Sebagaimana terlihat di sini, mereka bukan cuma tidak efektif dalam menyerang zero day tapi juga membuka kesempatan bagi penyerang untuk membuat serangan yang lebih kompleks dan mematikan"


Labels:

Popular posts from this blog

Snort dan Suricata IDPS

Sugeng pagi, Mas! Pagi, gimana kabarnya? Baik, Mas. Gini, Mas! Saya lagi pusing ngurusin jaringan di kantor. Pusing kenapa? Itu lo, Mas, virus tau-tau nongol tanpa permisi.  Bikin jaringan jadi lemot. Yang lebih repotnnya lagi, kita gak tau dari sebelah mana penyebarannya. Lah, gitu aja kok pusing.  Kamu punya alat monitoring macem IDS gak? Apa itu IDS, Mas? IDS itu, singkatan coro londo Intrussion Detection System.  Maksudnya sistem buat mendeteksi aktifitas penyusupan. La, itu kan bukan antivirus, Mas! Lagian mana ada sih yang nyusup di kantor saya.  Apalagi kantor banyakan mainnya di jaringan private. La ini, yang salah! Jangan beranggapan bahwa setiap penyusupan itu datangnya dari luar. Ancaman kebocoran itu paling besar justeru datangnya dari dalam. Dan satu hal lagi penyusupan tidak harus terjadi dalam satu saat.  Seperti proses penyusupan yang dilakukan dengan menggunakan kuda trojan.  Para penyusup justeru anteng dulu di dalam kuda trojan....
Read more

Awal Perjalanan

Jalan di dusun Pedhudutan pagi ini masih sangat sepi. Meskipun adzan Shubuh telah berkumandang, dan jama’ah Shubuh telah kembali dari langgar, namun aktifitas penduduk masih belum terlihat bergeliat. Hanya beberapa penduduk yang terlihat telah mendahului pergi ke pasar menjemput pagi. Menjemput rezeki pagi ini. Wadasputih, lintasan pegunungan yang melingkupi dusun Pohkumbang, masih nampak hitam di ujung timur seakan mencanda mentari agar tetap dalam peraduannya meski semburat tangan sinarnya telah menggapai awan yang masih malas-malasan di atas sana. Padepokan Gagak Wulung, pagi ini, terasa sangat sepi. Tidak seperti hari-hari sebelumnya. Tidak ada suara cantrik mengalunkan pesan-pesan ilahi, maupun yang gladen, olah kanuragan. Bahkan dapur-dapur padepokan yang biasanya diisi oleh para simbok, istri-istri cantrik senior maupun para cantrik perempuan, pagi ini sepi. Hanya ada sedikit sisa asap pedhangan bekas menanak nasi tadi, sebelum subuhan. Semua cantrik berkumpul di depan pendo...
Read more

Null Allowed dan PK di Sybase ASE

Ha ha ha ha... Setelah nginep (eh nginep nggak dong la wong gak tidur) semaleman buat migrasi data, aku dapet PR baru. Menyempurnakan tool yang aku bikin. Ya harus disempurnakan la wong jalannya masih geyal-geyol. Hi hi hi hi. Hari ini, aku mencoba untuk membuat satu routine buat mengekstrak DDL bukan lewat tool yang dah ada dari Sybase, tapi murni bikinanku sendiri. Setelah tengok sana tengok sini make matanya Oom Google, akhirnya bisa terbentuk juga query dasar buat ekstrak DDL. Tapi masalah kemudian adalah menentukan suatu kolom masuk ke PK dan kemudian apakah suatu kolom itu nullallowed. Ternyata kunci untuk masuk ke PK ada di system table yang namanya 'sysindexes' dan untuk null allowed karena mengacu ke kolom ada di syscolumns. Check ini ada di kolom status dari syscolumns. Kondisi untuk check adalah 'status & 8' jika menhasilkan lebih besar dari 0 maka dia null allowed jika sama dengan 0 maka dia not null. Kemudian untuk masuk ke pk atau tidak checknya ...
Read more