Vulnerability zero-day baru di Windows bernama LegacyHive memungkinkan pengguna standar memuat dan memodifikasi registry hive per-user dari akun administrator. Temuan ini mengkhawatirkan karena mempengaruhi semua versi Windows yang didukung saat ini, termasuk sistem yang sudah dipatch dengan update keamanan Juli 2026.
APA YANG TERJADI?
Peneliti NightmareEclipse menerbitkan proof-of-concept (PoC) di repository GitHub MSNightmare/LegacyHive. Tool ini menyalahgunakan Windows User Profile Service (ProfSvc) untuk mem-mount hive UsrClass.dat milik target pengguna ke lokasi registry yang dapat diakses dari akun dengan hak akses lebih rendah. Ketika ProfSvc mencoba membuka file UsrClass.dat milik administrator, layanan ini awalnya melakukan impersonasi pengguna standar dan menerima error access-denied. Namun, ProfSvc kemudian melakukan retry di bawah konteks NT AUTHORITY\SYSTEM, berhasil membuka file yang dilindungi, dan mengekspos hive yang dimuat sedemikian rupa sehingga tetap dapat diakses oleh pemanggil non-admin. PoC ini ditulis dalam C++ dan dirilis di bawah lisensi MIT, namun kode yang tersedia secara publik secara sengaja dibatasi untuk mengurangi penyalahgunaan langsung.
DETAIL TEKNIS
LegacyHive membutuhkan eksekusi lokal dan akses kredensial untuk akun Windows standar kedua, serta nama pengguna target akun (yang mungkin administrator). Ketika berhasil, tool ini memunculkan kelas hive registry target di bawah Classes root pengguna saat ini. Peneliti Will Dormann mengonfirmasi perilaku ini secara independen, mengamati kunci registry baru muncul di bawah HKEY_USERS saat LegacyHive berjalan. Dalam demonstrasi dasar, Dormann menggunakan flaw ini untuk mengubah asosiasi file .txt milik pengguna administrator sehingga file teks dibuka di Calculator alih-alih aplikasi yang diharapkan. Manipulasi yang lebih berbahaya dapat melibatkan modifikasi registrasi COM object yang dipanggil selama login administrator, berpotensi memungkinkan eksekusi kode dalam konteks keamanan pengguna tersebut. PoC ini mempengaruhi semua versi Windows desktop dan Windows Server yang didukung saat ini, termasuk sistem yang sudah di-update dengan patch keamanan Juli 2026.
DAMPAK TERHADAP INDONESIA
Di Indonesia, banyak organisasi pemerintah dan swasta masih menggunakan Windows dengan praktik manajemen hak akses yang belum optimal. Dengan adanya PDP Law (UU Pelindungan Data Pribadi) yang mulai berlaku, setiap kebocoran data akibat privilege escalation semacam ini berpotensi menjadi pelanggaran regulasi serius. BSSN (Badan Siber dan Sandi Negara) telah mengkampanyekan pentingnya patch management, namun realitanya banyak instansi yang masih tertinggal dalam penerapan update keamanan. Ancaman ini sangat relevan bagi lingkungan shared endpoints, jump hosts, dan server di mana administrator menggunakan logon interaktif — skenario yang umum di kantor pemerintah dan BUMN Indonesia.
REKOMENDASI MITIGASI
Pantau aktivitas ProfSvc yang tidak biasa dan mount hive yang tidak terduga di bawah HKEY_USERS. Batasi akses lokal dan cegah pengguna standar mendapatkan kredensial akun lokal lainnya. Investigasi modifikasi pada registrasi COM dan file association pengguna privileged. Terapkan principle of least privilege secara ketat. Pertimbangkan implementasi Privileged Access Workstations (PAW) untuk administrator.
Analisa Retasan
LegacyHive menyoroti masalah fundamental dalam arsitektur keamanan Windows yang sudah berlangsung selama bertahun-tahun — bagaimana User Profile Service menangani impersonation. Fakta bahwa ProfSvc melakukan retry di bawah konteks SYSTEM setelah gagal membuka file dengan impersonasi pengguna standar menunjukkan pola desain yang memprioritaskan fungsionalitas di atas keamanan. Ini bukan pertama kalinya ProfSvc menjadi target eksploitasi. Sebelumnya, vulnerability seperti CVE-2021-34481 (Print Spooler) dan berbagai PrintNightmare variants juga memanfaatkan kelemahan dalam mekanisme impersonasi Windows. Setiap kali Microsoft memperbaiki satu jalur eskalasi, peneliti menemukan jalur baru, menunjukkan bahwa pendekatan defensif reaktif tidak cukup untuk mengatasi masalah struktural ini.
Dari perspektif red team, LegacyHive memberikan primitive keamanan yang sangat berharga. Kemampuan untuk memodifikasi registry hive pengguna privileged — termasuk file association, registrasi COM, dan shell settings — membuka berbagai kemungkinan eskalasi lateral. Bayangkan skenario di mana attacker memodifikasi registrasi COM object yang dipanggil saat administrator membuka file tertentu, atau mengubah shell extension yang akan dieksekusi secara otomatis. Ini bisa menjadi awal dari chain eskalasi yang lebih kompleks, terutama di lingkungan enterprise di mana administrator secara rutin menjalankan aplikasi dengan hak akses elevated.
Yang paling mengkhawatirkan adalah dampak terhadap kesiapan pertahanan siber Indonesia. Dengan banyaknya instansi pemerintah dan organisasi kritis yang masih mengandalkan Windows dengan konfigurasi keamanan dasar, LegacyHive menjadi ancaman langsung bagi infrastruktur nasional. BSSN dan SOCSIRT perlu segera mengeluarkan advisory khusus untuk vulnerability ini, serta memastikan bahwa sistem monitoring di seluruh instansi pemerintah dapat mendeteksi aktivitas mount hive yang mencurigakan. Komunitas keamanan siber Indonesia juga harus proaktif dalam membagikan IOC terkait exploitasi LegacyHive, terutama setelah PoC tersedia secara publik.
Sumber: https://gbhackers.com/legacyhive-windows-zero-day/
