Skip to main content

DoubleAgent, Bukan Cuma Anti Anti Virus

Broken Windows Foto: Sketchup
Para peneliti pengamanan jaringan dan computer dari Cybellum telah berhasil menemukan teknik zero-day code injection and persistence baru yang memungkinkan seorang attacker untuk mengambil alih aplikasi dan seluruh mesin yang menggunakan Windows. Mereka mendemonstrasikan serangan kepada solusi antivirus yang mereka sebut sebagai DoubleAgent karena mampu merubah antivirus menjadi agent malware.

Serangan Double Agent
"DoubleAgent mengeksploitasi perangkat yang sah pada Windows yang disebut sebagai 'Microsoft Application Verifier' yang merupakan bagian dari instalsi Microsoft Windows dan selalu disertakan pada seluruh versi dari MS Windows yang dipergunakan untuk menemukan dan memperbaikai bug pada suatu aplikasi," kata Cybellum.

"Peneliti kami telah menemukan kemampuan tak didokumentasikan dari 'Microsoft Application Verifier' yang memberikan kemampuan pada penyerang untuk mengganti standar verifikasi pada verifier dengan standar verifikasi mereka.  Penyerang dapat memanfaatkan kemampuan ini untuk menyuntikkan standar verifikasi yang telah dikastomisasi kepada suatu aplikasi. Sekali seorang mampu menyuntikkan verifikasi yang telah dikastomisasi, dia kemudian akan mendapatkan kontrol penuh terhadap aplikasi.
Meskipun, suatu serangan dapat dipergunakan untuk meng-kompromikan semua aplikasi, peneliti memilih untuk berfokus pada solusi antivirus, karena umumnya aplikasi ini umumnya dianggap sebagai terpercaya.
"Dengan menggunakan DoubleAgent, seorang penyerang dapat mengambil kontrol penuh dari antivirus dan mempergunakannya tanpa harus takut akan diblok," kata mereka memberikan catatan. Kontrol ini meliputi:
Merubah aplikasi menjadi malware (selama tidak bisa teridenfikai oleh solusi pengamanan lainnya)
Memodifikasi kebiasaannya (membuatnya stop bekerja)
Mempergunakannya untuk menjalankan aksi yang seharusnya segera bisa teridentifikasi sebagai suspicious (misal oleh exfiltrate data, C&C communication, dst)
Menghancurkan komputer (mengenkrip seluruh file, memformat hard disk drice, dan seterusnya)

Peneliti Cybellum telah mendemontrasikan DoubleAgent code injection untuk menyerang Symantec Norton Antivirus, dan menawarkan POC untuk exploit code di GitHub. Teknikal detail dari double agent bisa diambil di sini.

Para peneliti telah menyampaikan kepada vendor antivirus besar dan beberapa dari mereka telah menerapkan patch (Malwarebytes, dan AVG). Trend Micro sedang menerapkan patch nya. Sementara yang masih vulnerable adalah Avast, BitDevender, ESET, Kaspersky, dan F-Secure.

"Microsoft saat ini tengah menyediakan suatu desaign dan konsep baru untuk vendor antivirus yang mereka sebut sebagai protected proses.  Konsep baru ini khusus dibuat hanya untuk servis antivirus. Proses antivirus dapat dijalankan sebagai  'Protected Process' dan infrastruktur protected process hanya akan mengijinkan, kode yang telah dipercaya maupun yang telah ditandai untuk dimuat.  Protected Process juga pertahanan bawaan untuk melawan serangan code injection," jelas para peneliti.

"Ini berarti, bahkan bila seorang penyerang menemukan teknik baru zero day injection sekalipun, mereka tidak akan dapat melakukan untuk menyerang antivirus oleh karena kode nya tidak ditandai. Cuma, saat ini belum ada antivirus selain Windows Defender yang telah mengimplementasikan itu, meskipun Microsoft telah membuat disain ini 3 tahun yang lalu.
Kerentanan yang memungkinkan serangan DoubleAgent bekerja pada semua versi dan arsitektur Microsoft Windows.
"Kami memerlukan usaha lebih untuk mendeteksi dan menahan serangan ini serta menghentikan dengan menutup mata seluruh solusi pengamanan tradisional," lanjut para peneliti. "Sebagaimana terlihat di sini, mereka bukan cuma tidak efektif dalam menyerang zero day tapi juga membuka kesempatan bagi penyerang untuk membuat serangan yang lebih kompleks dan mematikan"


Labels:

Popular posts from this blog

Superfish Menginjeksi Laman-Laman Google

Beberapa bulan lalu pengguna lenovo sempat dibuat gerah dengan penggunaan software superfish yang sengaja disisipkan oleh Lenovo. Penggunaan adware yang sebenarnya dimaksudkan untuk memudahkan pengguna yang suka berbelanja ternyata justeru menjadi duri dalam daging bagi pengguna. Adware ini, mampu membongkar enkripsi web pengguna komputer dan akhirnya membuat komputer yang bersangkutan menjadi rentan terhadap serangan cyber. Dan yang paling ‘menggemaskan’ adalah adware ini bisa menyuntikkan iklan-iklan yang tidak diinginkan (bahkan sering menampilkan gambar perempuan dengan pakaian minim) ketika pengguna membuka web apapun. Meskipun Lenovo telah berjanji untuk menghentikan penggunaan Superfish, namun ternyata bahaya masih mengintai para pengguna internet. Google sebagai peramban paling populer saat ini berpotensi menyebarkan Ad Injection melalui ekstensyen nya. Berdasar riset dari Google, 4% laman google telah di-inject oleh superfish dengan iklan-iklan yang gak jelas. Dan 5....
Read more

Masih Pagi??

Ingat saat di sekolah S3 (SD,SMP,SMA) segala sesuatu yang menyangkut hasrat dan keinginan ada kalanya mentog kepada satu frasa: masih pagi. Berpikir tentang rezeki katanya masih terlalu pagi untuk memikirkan hal yang gak-gak gitu. Mengangankan tentang hari nanti (mungkin adalah saat ini), juga dibilang masih terlalu pagi apalagi jika sifatnya pesimistis. Terima kasih untuk semua yang mengatakan itu karena setidaknya aku bisa berfikir saat ini, bahwa memang masih terlalu pagi (saat itu), tetapi terlalu pagi itu bukan artinya untuk berhenti memulai. Tetapi terlalu pagi yang berarti bahwa memang sudah seharusnya dimulai saat itu. Kita tidak pernah tahu apa yang akan kita dapatkan nanti, dan karena itu kita harus tahu apa yang harus kita kerjakan saat ini. Merencanakan adalah kata yang sangat indah untuk diucapkan. Perencanaan adalah sesuatu yang sangat mudah untuk dituliskan manakala pelaksanaan tidak pernah terpikirkan. Semua bermuara pada satu kata : tangggung jawab . Tanggung jawab...
Read more

Snort dan Suricata IDPS

Sugeng pagi, Mas! Pagi, gimana kabarnya? Baik, Mas. Gini, Mas! Saya lagi pusing ngurusin jaringan di kantor. Pusing kenapa? Itu lo, Mas, virus tau-tau nongol tanpa permisi.  Bikin jaringan jadi lemot. Yang lebih repotnnya lagi, kita gak tau dari sebelah mana penyebarannya. Lah, gitu aja kok pusing.  Kamu punya alat monitoring macem IDS gak? Apa itu IDS, Mas? IDS itu, singkatan coro londo Intrussion Detection System.  Maksudnya sistem buat mendeteksi aktifitas penyusupan. La, itu kan bukan antivirus, Mas! Lagian mana ada sih yang nyusup di kantor saya.  Apalagi kantor banyakan mainnya di jaringan private. La ini, yang salah! Jangan beranggapan bahwa setiap penyusupan itu datangnya dari luar. Ancaman kebocoran itu paling besar justeru datangnya dari dalam. Dan satu hal lagi penyusupan tidak harus terjadi dalam satu saat.  Seperti proses penyusupan yang dilakukan dengan menggunakan kuda trojan.  Para penyusup justeru anteng dulu di dalam kuda trojan....
Read more