Microsoft telah memperbaiki kelemahan Windows Smart App Control dan SmartScreen yang telah dieksploitasi dalam serangan sebagai zero-day setidaknya sejak tahun 2018.
Pada sistem yang rentan, pelaku ancaman telah menyalahgunakan kerentanan (sekarang dilacak sebagai CVE-2024-38217) untuk menghindari Kontrol Aplikasi Cerdas dan fitur keamanan Mark of the Web (MotW) untuk meluncurkan biner dan aplikasi yang tidak tepercaya atau berpotensi berbahaya tanpa peringatan.
“Untuk mengeksploitasi kerentanan ini, penyerang dapat menyimpan file di server yang dikendalikan penyerang, lalu meyakinkan pengguna yang menjadi target untuk mengunduh dan membuka file tersebut. Hal ini dapat memungkinkan penyerang untuk mengganggu fungsionalitas Mark of the Web,” jelas Microsoft dalam sebuah pernyataan. penasihat keamanan diterbitkan hari ini.
“Seorang penyerang dapat membuat file berbahaya yang dapat menghindari pertahanan Mark of the Web (MOTW), sehingga mengakibatkan hilangnya integritas dan ketersediaan fitur keamanan seperti pemeriksaan keamanan SmartScreen Application Reputation dan/atau perintah keamanan Windows Attachment Services yang lama.”
Kontrol Aplikasi Cerdas di Windows 11 menggunakan layanan kecerdasan aplikasi Microsoft dan fitur integritas kode untuk mendeteksi dan memblokir aplikasi atau biner yang berpotensi berbahaya.
Fitur ini menggantikan SmartScreen di Windows 11, tetapi SmartScreen akan tetap mengambil alih secara otomatis jika Smart App Control tidak diaktifkan untuk melindungi dari konten berbahaya. Kedua fitur keamanan tersebut diaktifkan saat pengguna mencoba membuka file yang ditandai dengan label “Mark of the Web”.
Bulan lalu, Elastic Security Labs diungkapkan CVE-2024-38217 sebagai kelemahan dalam penanganan berkas LNK, yang dikenal sebagai LNK stomping. Kelemahan ini memungkinkan penyerang untuk melewati fitur keamanan Smart App Control yang biasanya memblokir peluncuran aplikasi yang tidak tepercaya.
Penghancuran LNK melibatkan pembuatan file LNK dengan jalur target atau struktur internal yang tidak konvensional. Saat pengguna mengklik salah satu file ini, Windows Explorer (explorer.exe) secara otomatis menyesuaikan file LNK untuk menggunakan format kanoniknya. Namun, proses ini juga menghapus label “Mark of the Web” (MotW) dari file yang diunduh, penanda yang digunakan fitur keamanan Windows untuk memicu pemeriksaan keamanan otomatis.
Untuk mengeksploitasi kelemahan ini, penyerang dapat menambahkan titik atau spasi ke jalur eksekusi target (misalnya, menambahkannya ke nama biner seperti “powershell.exe.”) atau membuat file LNK dengan jalur relatif seperti “.target.exe.” Saat target mengklik tautan, Windows Explorer mengidentifikasi eksekusi yang benar, memperbarui jalur, menghapus label MotW, dan meluncurkan file, melewati pemeriksaan keamanan.
Elastic Security Labs mengatakan pada bulan Agustus bahwa ada alasan untuk percaya bahwa kerentanan tersebut telah dieksploitasi selama bertahun-tahun, karena beberapa sampel telah ditemukan di VirusTotal, yang tertua berasal dari lebih dari enam tahun.
Perusahaan tersebut membagikan temuannya dengan Pusat Respons Keamanan Microsoft, yang mengakui masalah tersebut dan mengatakan bahwa “masalah tersebut dapat diperbaiki dalam pembaruan Windows mendatang.”
Peneliti Elastic Security Labs Joe Desimone juga telah mengembangkan dan berbagi alat sumber terbuka untuk mengevaluasi tingkat kepercayaan Kontrol Aplikasi Cerdas suatu file.
