ACEH — Dua celah keamanan berbeda di Windows terungkap pekan ini, menyerang PC Anda dari dua arah yang tidak sama. Namun ada satu benang merah yang menghubungkan keduanya: sama-sama memungkinkan aktor jahat mendapatkan hak akses sistem (system privileges) pada perangkat Windows Anda, dan belum ada satupun yang ditambal. Celah pertama adalah kerentanan zero-day yang bisa memutarbalikkan tambalan RoguePlanet sebelumnya, sementara yang kedua adalah serangan "Plug and Pwn" yang meniru perangkat USB.
Kerentanan zero-day ini ditemukan oleh bug hunter bernama Nightmare Eclipse, yang dikenal memiliki konflik dengan Microsoft dan tidak ragu membagikan celah yang ditemukannya sebelum tambalan dirilis. Celah terbaru yang dijuluki ShieldBreak ini dilaporkan mampu menembus tambalan RoguePlanet dan memungkinkan penyerang mendapatkan hak akses sistem pada sistem Windows 10, Windows 11, dan Windows Server yang sudah ditambal.
Menurut laporan The Register, eksploitasi ini telah diuji oleh peneliti keamanan lain dan terkonfirmasi. ShieldBreak menggunakan "user-mode callback hook" untuk mengubah isi file selama pemindaian cloud-hydration Defender melalui cfapi (Cloud Filter API), seperti dijelaskan oleh peneliti keamanan Kevin Beaumont. Sederhananya, celah ini memanfaatkan Microsoft Defender saat menjalankan pemindaian, kemudian dieksploitasi untuk memberikan hak akses System. Peneliti lain, Will Dormann, menambahkan bahwa Defender harus aktif agar eksploitasi ini berhasil.
Sampai Microsoft merilis tambalan resmi, salah satu cara untuk mengurangi risiko adalah dengan menonaktifkan Microsoft Defender. Jika Anda merasa sistem Anda rentan, Kevin Beaumont telah menerbitkan tiga deteksi yang diklaim bisa menangkap aktivitas ShieldBreak. Bagi yang memiliki pengetahuan teknis, Anda bisa mencoba menjalankan deteksi tersebut.
Celah kedua adalah serangan "plug and pwn" yang diungkap oleh peneliti keamanan Alejandro Hernando dan Borja Martinez dalam konferensi DEF CON 34. Kerentanan ini mengeksploitasi cara Windows mengidentifikasi dan menghubungkan perangkat USB secara otomatis, mencari paket driver yang cocok, lalu menginstal perangkat lunak sebagai akun Authority/System.
Intinya, celah ini meniru perangkat USB dan bisa memaksa Windows untuk menginstal paket vendor dengan komponen yang bisa dieksploitasi untuk mendapatkan hak akses sistem. Yang lebih meresahkan, dalam beberapa serangan, akses didapat tanpa interaksi pengguna atau bahkan tanpa perangkat USB fisik. Ini dimungkinkan karena Windows menggunakan co-installer, yang secara otomatis mengunduh dan menginstal perangkat lunak serta driver saat perangkat USB baru dicolokkan ke komputer. Versi ini berbeda dari serangan sebelumnya karena mengikuti jalur instalasi Windows, bukan dari vendor tertentu.
Perlu dicatat, serangan jarak jauh hanya tampak berhasil pada sistem dengan USB redirection yang diaktifkan, yang menurut Hernando umum ditemui di lingkungan virtual desktop.
Jika Anda khawatir dengan serangan jenis ini, Anda bisa mengaktifkan nilai registri DisableCoInstallers. Ini mencegah paket driver menggunakan co-installer selama proses instalasi perangkat. Caranya, cari "Registry Editor" di menu Start atau tekan tombol Windows + R, lalu navigasi ke lokasi yang sesuai. Tambahkan nilai DWORD-32 bernama DisableCoInstallers dan atur nilainya menjadi 1.
Langkah ini tidak sepenuhnya menghilangkan risiko serangan plug and pwn, tetapi bisa memblokir sebagian besar serangan. "Untuk sistem yang sensitif, saya sarankan menggabungkannya dengan pembatasan instalasi perangkat atau daftar izin hardware-ID, dan matikan redirection perangkat PnP pada host RDP dan VDI yang tidak membutuhkannya (`fDisablePNPRedir`)," kata Hernando kepada BleepingComputer.
Terlepas dari dua celah ini, ini adalah pengingat yang baik untuk memastikan Anda hanya mencolokkan perangkat tepercaya ke sistem Anda dan mengunduh perangkat lunak dari sumber resmi demi keamanan komputer Anda.