Double AGent, Ketika Malware Mampu Menguasai Anti Virus

Sebagian besar program anti virus ternyata masih benar-benar rentan terhadap malware. Mengapa begitu, karena kini ditemukan bukti dan konsep baru dalam pengeksploitasian yang dikenal sebagai DoubleAgent, dimana sebuah malware ternyata tidak hanya membajak software biasa, tapi juga ia bisa membajak antivirus itu sendiri. Meskipun tidak ada bukti secara spesifik dari ini, tapi fitur double agent ini jutsru akan lebih membahayakan sistem Anda.

Penelitian DoubleAgent ini berasal dari Cybellum, sebuah perusahaan cybersecurity asal Israel yang mengkhususkan diri dalam eksploitasi zero-day. Meskipun istilah DoubleAgent lebih sedikit artifisial dari apa yang dibangun malware, namun pada dasarnya mirip dari apa yang menjadi ciri dari zero-day vulnerability.

Salah satu yang menjadi penyebabnya adalah Microsoft Application Verifier . Windows menggunakan alat yang disebut Microsoft Application Verifier yang membantu pengembang perangkat lunak untuk memeriksa bug di program Windows. Setiap program Windows akan tunduk dibawah pengawasan Verifier, termasuk perangkat lunak antivirus.

Dengan menyusun kunci registri palsu dan file DLL predator saat Verifier akan membaca, Cybellum mampu mengambil kontrol penuh atas program antivirus Norton Security. Serangan dengan metode cukup tua “DLL ” ternyata masih efektif dalam teknik untuk mendapatkan dan menguasai aplikasi. Cybellum bahkan menambahkan sedikit tengkorak grafis dan pesan ” You Have Been Hacked!” pada layar startup Norton Security. Hacker yang lebih ganas mungkin tidak akan begitu sopan.

Cybellum mengatakan bahwa akan ada lima skenario vektor serangan yang mungkin untuk penjahat cyber dalam menggunakan DoubleAgent. Yang pertama, dan paling jelas adalah skenario yang akan mengubah program Anti Virus menjadi malware. Kedua, metode ini akan meninggalkan apa yang tidak dilihat oleh anti virus. Demikian pula, metode ketiga akan memberitahu antivirus untuk mengabaikan aktivitas terpencil yang sebenarnya berbahaya, seperti data-mining dan dekripsi.

Dua metode lain yang jauh lebih sedikit halus, tetapi juga akan menghancurkan pengguna akhir. program antivirus sering kali memiliki hak tingkat atas, yang akan memungkinkan mereka untuk mengenkripsi file atau memformat hard drive tanpa izin pengguna. Dengan demikian, perangkat lunak antivirus dapat digunakan sebagai ransomware.

Akhirnya, setelah penyerang bisa membuat menguasai software antivirus dan memblokir aplikasi lainnya, akan menyebabkan kondisi denial-of-service untuk hampir setiap program pada Windows, dari browser internet hingga alat produktivitas. Ini tidak sulit untuk melihat bagaimana serangan seperti ini bisa melumpuhkan komputer dalam sebuah perusahaan.

Dan perlu diingat, DoubleAgent juga bisa berkompromi pada hampir setiap program di Windows, tidak hanya perangkat lunak antivirus. Apalagi ketika ia menguasai antivirus, dengan hak istimewa sistem yang tinggi. Cybellum mengatakan “Sejak teknik DoubleAgent menggunakan mekanisme sistem operasi yang sah untuk menyuntikkan kode, ia tidak bisa ditambal dan teknik injeksi ini akan hidup selamanya.

Menguasai program antivirus pengguna secara teoritis akan menjadi langkah pertama dalam serangan yang jauh lebih rumit. Untuk saat ini, hanya AVG, Malwarebytes dan Trend Micro yang memiliki patch yang untuk mencegah hal tersebut terjadi. Atau anda bisa menonaktifkan perangkat lunak antivirus pihak ketiga yang dan hanya mengandalkan Windows Defender untuk sementara waktu, meskipun tidak tahan dengan baik terhadap zero-day malware. Untuk itu, alangkah baiknya untuk menjaga perangkat lunak antivirus anda terus diup-to-date sehingga ini bisa menjadi pertahanan terbaik dari DoubleAgent.

Baca juga :