Penelitian baru yang dipresentasikan di Topi hitam Konferensi keamanan di Las Vegas hari ini menunjukkan bahwa kerentanan dalam Windows Update dapat dimanfaatkan untuk menurunkan versi Windows ke versi lama, mengungkap serangkaian kerentanan historis yang kemudian dapat dimanfaatkan untuk memperoleh kendali penuh atas suatu sistem. Microsoft mengatakan bahwa mereka sedang mengerjakan proses yang rumit untuk menambal masalah tersebut dengan hati-hati, yang dijuluki “Downdate.”
Alon Leviev, peneliti SafeBreach Labs yang menemukan cacatnyamengatakan dia mulai mencari kemungkinan metode serangan downgrade setelah melihat kampanye peretasan yang mengejutkan dari tahun lalu menggunakan jenis malware (dikenal sebagai “BlackLotus UEFI bootkit”) yang mengandalkan penurunan versi boot manager Windows ke versi lama yang rentan. Setelah menyelidiki alur Windows Update, Leviev menemukan jalur untuk menurunkan versi Windows secara strategis—baik seluruh sistem operasi atau hanya komponen tertentu yang dipilih. Dari sana, ia mengembangkan serangan bukti konsep yang memanfaatkan akses ini untuk menonaktifkan perlindungan Windows yang dikenal sebagai Virtualization-Based Security (VBS) dan akhirnya menargetkan kode dengan hak istimewa tinggi yang berjalan di “kernel” inti komputer.
“Saya menemukan eksploitasi penurunan versi yang sama sekali tidak terdeteksi karena dilakukan dengan menggunakan Windows Update itu sendiri,” yang dipercayai oleh sistem, kata Leviev kepada WIRED sebelum ceramahnya di konferensi. “Dalam hal ketidaktampakan, saya tidak menghapus pembaruan apa pun—pada dasarnya saya memperbarui sistem meskipun secara tidak langsung sistem tersebut telah diturunkan versinya. Jadi sistem tidak menyadari adanya penurunan versi dan tetap tampak mutakhir.”
Kemampuan Leviev untuk menurunkan versi berasal dari cacat pada komponen proses Pembaruan Windows. Untuk melakukan peningkatan, PC Anda menempatkan permintaan untuk memperbarui dalam folder pembaruan khusus. Kemudian, PC menyajikan folder ini ke server pembaruan Microsoft, yang memeriksa dan mengonfirmasi integritasnya. Selanjutnya, server membuat folder pembaruan tambahan untuk Anda yang hanya dapat dikontrol oleh server, tempat server menempatkan dan menyelesaikan pembaruan, serta menyimpan daftar tindakan—disebut “pending.xml”—yang mencakup langkah-langkah rencana pembaruan, seperti file mana yang akan diperbarui dan di mana kode baru akan disimpan di komputer Anda. Saat Anda menyalakan ulang PC, PC mengambil tindakan dari daftar tersebut dan memperbarui perangkat lunak.
Idenya adalah bahwa meskipun komputer Anda, termasuk folder pembaruan Anda, disusupi, pelaku kejahatan tidak dapat membajak proses pembaruan karena bagian-bagian krusialnya terjadi di folder pembaruan yang dikendalikan server. Leviev mengamati dengan saksama berbagai file di folder pembaruan pengguna dan folder pembaruan server, dan ia akhirnya menemukan bahwa meskipun ia tidak dapat mengubah daftar tindakan di folder pembaruan server secara langsung, salah satu kunci yang mengendalikannya—disebut “PoqexecCmdline”—tidak terkunci. Ini memberi Leviev cara untuk memanipulasi daftar tindakan, dan dengan itu seluruh proses pembaruan, tanpa sistem menyadari bahwa ada sesuatu yang salah.
Dengan kendali ini, Leviev kemudian menemukan strategi untuk menurunkan beberapa komponen utama Windows, termasuk driver, yang berkoordinasi dengan periferal perangkat keras; pustaka tautan dinamis, yang berisi program dan data sistem; dan, yang terpenting, kernel NT, yang berisi instruksi inti paling banyak untuk dijalankan komputer. Semua ini dapat diturunkan ke versi lama yang berisi kerentanan yang diketahui dan telah ditambal. Dan Leviev bahkan memperluas jangkauannya dari sana, untuk menemukan strategi untuk menurunkan komponen keamanan Windows termasuk Windows Secure Kernel; komponen kata sandi dan penyimpanan Windows Credential Guard; hypervisor, yang membuat dan mengawasi mesin virtual pada suatu sistem; dan VBS, mekanisme keamanan virtualisasi Windows.
Teknik ini tidak menyertakan cara untuk memperoleh akses jarak jauh ke perangkat korban terlebih dahulu, tetapi bagi penyerang yang sudah memiliki akses awal, teknik ini dapat memungkinkan penyerangan yang sebenarnya, karena Windows Update merupakan mekanisme yang sangat tepercaya dan dapat memunculkan kembali berbagai kerentanan berbahaya yang telah diperbaiki oleh Microsoft selama bertahun-tahun. Microsoft mengatakan bahwa mereka belum melihat adanya upaya untuk mengeksploitasi teknik ini.
“Kami secara aktif mengembangkan mitigasi untuk melindungi dari risiko ini sambil mengikuti proses ekstensif yang melibatkan investigasi menyeluruh, pengembangan pembaruan di seluruh versi yang terpengaruh, dan pengujian kompatibilitas, untuk memastikan perlindungan pelanggan yang maksimal dengan gangguan operasional yang diminimalkan,” kata juru bicara Microsoft kepada WIRED dalam sebuah pernyataan.
Bagian dari perbaikan perusahaan melibatkan pencabutan file sistem VBS yang rentan, yang harus dilakukan secara hati-hati dan bertahap, karena dapat menyebabkan masalah integrasi atau menimbulkan kembali masalah lain yang tidak terkait yang sebelumnya telah diatasi oleh file sistem yang sama.
Leviev menekankan bahwa serangan penurunan versi merupakan ancaman penting yang perlu dipertimbangkan oleh komunitas pengembang karena para peretas tanpa henti mencari jalur ke sistem target yang tersembunyi dan sulit dideteksi.
