Peneliti keamanan SafeBreach Alon Leviev telah merilis Pembaruan Windows alat, yang dapat digunakan untuk serangan penurunan versi yang memperkenalkan kembali kerentanan lama pada sistem Windows 10, Windows 11, dan Windows Server terkini.
Dalam serangan semacam itu, pelaku ancaman memaksa perangkat target yang terbaru untuk kembali ke versi perangkat lunak lama, sehingga memunculkan kembali kerentanan keamanan yang dapat dimanfaatkan untuk membahayakan sistem.
Windows Downdate tersedia sebagai program berbasis Python sumber terbuka dan executable Windows yang telah dikompilasi sebelumnya yang dapat membantu menurunkan versi komponen sistem Windows 10, Windows 11, dan Windows Server.
Leviev juga telah berbagi beberapa contoh penggunaan yang memungkinkan penurunan versi hypervisor Hyper-V (ke versi berusia dua tahun), Kernel Windows, driver NTFS, dan driver Filter Manager (ke versi dasar), dan komponen Windows lainnya serta patch keamanan yang diterapkan sebelumnya.
“Anda dapat menggunakannya untuk mengambil alih Pembaruan Windows untuk menurunkan versi dan mengekspos kerentanan masa lalu yang bersumber dari DLL, driver, kernel NT, Kernel Aman, Hypervisor, trustlet IUM, dan banyak lagi,” kata peneliti keamanan SafeBreach Alon Leviev dijelaskan.
“Selain penurunan versi khusus, Windows Downdate menyediakan contoh penggunaan yang mudah digunakan untuk mengembalikan patch untuk CVE-2021-27090, CVE-2022-34709, CVE-2023-21768, dan PPLFault, serta contoh untuk menurunkan versi hypervisor, kernel, dan melewati kunci UEFI VBS.”
Seperti yang dikatakan Leviev di Black Hat 2024 ketika ia mengungkapkan serangan penurunan versi Windows Downdate—yang mengeksploitasi CVE-2024-21302 Dan CVE-2024-38202 kerentanan—penggunaan alat ini tidak dapat dideteksi karena tidak dapat diblokir oleh solusi deteksi dan respons titik akhir (EDR) dan Pembaruan Windows terus melaporkan bahwa sistem yang ditargetkan adalah yang terkini (meskipun telah diturunkan versinya).
“Saya menemukan beberapa cara untuk menonaktifkan keamanan berbasis virtualisasi Windows (VBS), termasuk fitur-fiturnya seperti Credential Guard dan Hypervisor-Protected Code integrity (HVCI), bahkan ketika diterapkan dengan kunci UEFI. Sepengetahuan saya, ini adalah pertama kalinya kunci UEFI VBS berhasil dilewati tanpa akses fisik,” Leviev mengatakan.
“Hasilnya, saya dapat membuat mesin Windows yang telah ditambal sepenuhnya menjadi rentan terhadap ribuan kerentanan sebelumnya, mengubah kerentanan yang telah diperbaiki menjadi zero-day dan membuat istilah “sepenuhnya ditambal” tidak berarti apa-apa pada mesin Windows mana pun di dunia.”
Ketika Microsoft merilis pembaruan keamanan (KB5041773) untuk memperbaiki kelemahan peningkatan hak istimewa Windows Secure Kernel Mode CVE-2024-21302 pada tanggal 7 Agustus, perusahaan belum menyediakan patch untuk CVE-2024-38202, kerentanan peningkatan hak istimewa Windows Update Stack.
Hingga pembaruan keamanan dirilis, Redmond menyarankan pelanggan untuk menerapkan rekomendasi yang dibagikan di penasihat keamanan diterbitkan awal bulan ini untuk membantu melindungi terhadap serangan penurunan versi Windows Downdate.
Tindakan mitigasi untuk masalah ini meliputi konfigurasi pengaturan “Akses Objek Audit” untuk memantau upaya akses berkas, membatasi operasi pembaruan dan pemulihan, menggunakan Daftar Kontrol Akses untuk membatasi akses berkas, dan mengaudit hak istimewa untuk mengidentifikasi upaya mengeksploitasi kerentanan ini.
