Společnost CrowdStrike vyšetřuje zprávy o důkazu konceptu exploitu zveřejněného online, který údajně mění jednu z jejích vlastních funkcí senzoru Falcon, funkci čištění maker Office, v cestu k úplnému zvýšení oprávnění v systémech Windows. Toto zveřejnění přidává další vlnu pozornosti, které čelí nástroje pro detekci a reakci na koncových bodech (EDR), na něž organizace spoléhají jako na klíčovou obrannou linii, a je včasnou připomínkou, že i software vytvořený k zastavení útočníků se sám může stát cílem.

Co vlastně zero-day exploit Falconu dělá

Podle zpráv se důkaz konceptu kódu zaměřuje na legitimní funkci uvnitř senzoru Falcon pro Windows od společnosti CrowdStrike: funkci navrženou k čištění škodlivých maker Office. Výzkumníci tvrdí, že tento čisticí mechanismus lze manipulovat způsobem, který útočníkovi umožňuje zvýšit oprávnění na dotčeném stroji, a potenciálně získat mnohem hlubší přístup, než jaký měla funkce kdy umožnit.

CrowdStrike potvrdil, že tvrzení prověřuje, společnost však zatím neuvedla technické podrobnosti o tom, jak exploit funguje, ani zda byl použit při útocích v reálném světě. Vyšetřování stále probíhá a další podrobnosti pravděpodobně přijdou, jakmile bezpečnostní tým CrowdStrike projde nahlášený kód.

Toto není poprvé, co Falcon čelí takové pozornosti. Společnost se již dříve musela vypořádat se samostatným problémem zvýšení oprávnění přezdívaným FalconFlank, který postihl Falcon vedle dalších známých bezpečnostních produktů od Kaspersky a Avastu. Dohromady tato zveřejnění ukazují na vzorec: bezpečnostní software, právě proto, že ke své práci běží se zvýšenými systémovými oprávněními, je stále atraktivnějším cílem pro výzkumníky i útočníky.

Proč se důvěryhodní dodavatelé bezpečnostního softwaru stávají útočnými vektory

Platformy EDR, jako je Falcon, jsou záměrně navrženy s hlubokým přístupem k jádru systému, procesům a souborům. Právě tento přístup jim umožňuje detekovat a izolovat hrozby dříve, než způsobí škody. Zároveň to ale znamená, že pokud je v samotném nástroji nalezena chyba, útočník se nemusí nabourat do sítě zvenčí. Může potenciálně unést funkci, která již má klíče k systému.

Tato dynamika není jedinečná pro CrowdStrike. Jakýkoli bezpečnostní produkt s privilegovaným přístupem, ať už jde o antivirový software, agenta EDR nebo dokonce VPN klienta běžícího se zvýšenými oprávněními, nese stejné strukturální riziko. Čím výkonnější nástroj, tím závažnější je chyba v tomto nástroji. Dodavatelé napříč odvětvím se s touto realitou potýkají a vlastní nedávný výzkum lovu hrozeb CrowdStrike zaznamenal prudký nárůst útoků řízených umělou inteligencí, což je trend, který pouze zvyšuje sázky na to, jak rychle jsou zranitelnosti jako tato objeveny a zneužity.

Ponaučením pro bezpečnostní týmy není to, že nástroje EDR jsou nespolehlivé. Je to to, že žádný jednotlivý dodavatel, bez ohledu na to, jak je renomovaný, by neměl být považován za neomylnou poslední linii obrany.

Jak vypadá obrana do hloubky pro organizace a jednotlivce

Koncept obrany do hloubky znamená vrstvení více nezávislých bezpečnostních kontrol tak, aby selhání jedné neohrozilo celý systém. Pro organizace to zahrnuje segmentaci sítě, přísnou správu oprávnění, pravidelné patchování a monitorování, které se nespoléhá výhradně na telemetrii jediného dodavatele EDR. Znamená to také mít plán reakce na incidenty, který předpokládá, že jakýkoli nástroj, včetně bezpečnostního softwaru, by se mohl nakonec stát bodem kompromitace.

Pro jednotlivce platí stejný princip v menším měřítku. Spoléhat se na jeden antivirový program, jednu VPN nebo jednoho správce hesel jako na úplnou bezpečnostní síť zanechává jediný bod selhání. Kombinace silných autentizačních postupů, pravidelných aktualizací softwaru a opatrného zacházení s e-mailovými přílohami a makry stále záleží, i když na pozadí běží pokročilé nástroje.

Co to znamená pro vás

Pokud vaše organizace používá CrowdStrike Falcon, toto zveřejnění není důvodem k panice, ale je důvodem k pozornosti. CrowdStrike aktivně vyšetřuje a mohou následovat aktualizace nebo záplaty. Mezitím by bezpečnostní týmy měly přezkoumat své konfigurace Falconu, udržovat senzory aktualizované na nejnovější verzi, jakmile budou opravy k dispozici, a zajistit, aby logování a monitorování nebylo závislé výhradně na samotné platformě Falcon.

Pro běžné uživatele je ponaučení širší: zero-day exploit CrowdStrike Falconu podtrhuje, proč vrstvená bezpečnost, spíše než důvěra v jediného dodavatele, zůstává nejodolnějším přístupem k ochraně dat a systémů.

Okamžité kroky pro uživatele CrowdStrike Falcon právě teď

Bezpečnostní týmy provozující Falcon by měly sledovat oficiální pokyny a záplaty od CrowdStrike, jak bude vyšetřování postupovat. Také stojí za to prověřit, které systémy mají povolenou funkci čištění maker, přezkoumat úrovně oprávnění udělené bezpečnostním agentům napříč prostředím a křížově porovnat detekční logy se sekundárním zdrojem monitorování, kde je to možné. Sledování informací prostřednictvím vlastních doporučení CrowdStrike, stejně jako nezávislého výzkumu, jako jsou dřívější zjištění FalconFlank, pomůže týmům rychle reagovat, pokud se objeví nové technické podrobnosti.

V konečném důsledku je tento incident užitečným kontrolním bodem pro jakoukoli organizaci nebo jednotlivce, aby znovu zvážili své vrstvené bezpečnostní nastavení. Žádný jednotlivý produkt, ať už jde o platformu EDR, antivirový software nebo VPN, by neměl být jedinou věcí mezi vašimi daty a útočníkem. Diverzifikace obran, udržování aktuálních záplat a sledování důvěryhodných zpráv o vznikajících zranitelnostech zůstávají nejlepšími způsoby, jak zůstat před hrozbami, jako je tato.