CrowdStrike undersøger rapporter om en proof-of-concept-udnyttelse offentliggjort online, som angiveligt forvandler en af virksomhedens egne Falcon-sensorfunktioner, en oprydningsfunktion til Office-makroer, til en vej mod fuld rettighedsudvidelse på Windows-systemer. Offentliggørelsen lægger yderligere pres på endpoint detection and response-værktøjer (EDR), som organisationer er afhængige af som en central forsvarslinje, og det er en aktuel påmindelse om, at selv software bygget til at stoppe angribere selv kan blive et mål.
Hvad Falcon zero-day-udnyttelsen rent faktisk gør
Ifølge rapporteringen retter proof-of-concept-koden sig mod en legitim funktion i CrowdStrikes Falcon-sensor til Windows: en funktion designet til at rydde op i ondsindede Office-makroer. Forskere hævder, at denne oprydningsmekanisme kan manipuleres på en måde, der tillader en angriber at udvide rettigheder på en berørt maskine og potentielt opnå meget dybere adgang, end funktionen nogensinde var beregnet til at tillade.
CrowdStrike har bekræftet, at virksomheden ser på påstandene, selvom virksomheden endnu ikke har detaljeret de tekniske specifikationer for, hvordan udnyttelsen fungerer, eller om den er blevet brugt i angreb i den virkelige verden. Undersøgelsen er stadig i gang, og flere detaljer vil sandsynligvis komme, efterhånden som CrowdStrikes sikkerhedsteam arbejder sig igennem den rapporterede kode.
Dette er ikke første gang, Falcon har stået over for denne form for granskning. Virksomheden har tidligere måttet reagere på et separat problem med rettighedsudvidelse med tilnavnet FalconFlank, som påvirkede Falcon sammen med andre kendte sikkerhedsprodukter fra Kaspersky og Avast. Samlet set peger disse offentliggørelser på et mønster: Sikkerhedssoftware, netop fordi den kører med forhøjede systemrettigheder for at udføre sit arbejde, er et stadig mere attraktivt mål for både forskere og angribere.
Hvorfor betroede sikkerhedsleverandører bliver angrebsvektorer
EDR-platforme som Falcon er bevidst bygget med dyb adgang til et systems kerne, processer og filer. Den adgang er det, der gør det muligt for dem at registrere og sætte trusler i karantæne, før de forårsager skade. Men det betyder også, at hvis der findes en fejl i selve værktøjet, behøver en angriber ikke at bryde ind i netværket udefra. De kan potentielt kapre en funktion, der allerede har nøglerne til systemet.
Denne dynamik er ikke unik for CrowdStrike. Ethvert sikkerhedsprodukt med privilegeret adgang, uanset om det er antivirussoftware, en EDR-agent eller endda en VPN-klient, der kører med forhøjede tilladelser, bærer den samme strukturelle risiko. Jo mere kraftfuldt værktøjet er, jo mere betydningsfuld bliver en fejl i det værktøj. Leverandører på tværs af branchen kæmper med denne virkelighed, og CrowdStrikes egen seneste trusselsjagt-forskning har bemærket en markant stigning i AI-drevne angreb, en tendens, der kun øger indsatsen for, hvor hurtigt sårbarheder som denne bliver opdaget og udnyttet.
Læren for sikkerhedsteams er ikke, at EDR-værktøjer er upålidelige. Det er, at ingen enkelt leverandør, uanset hvor anerkendt, bør behandles som en ufejlbarlig sidste forsvarslinje.
Hvordan defense-in-depth ser ud for organisationer og enkeltpersoner
Konceptet defense-in-depth betyder at lægge flere, uafhængige sikkerhedskontroller i lag, så en fejl i én ikke kompromitterer hele systemet. For organisationer inkluderer det netværkssegmentering, streng rettighedsstyring, regelmæssig patchning og overvågning, der ikke udelukkende er afhængig af en enkelt EDR-leverandørs telemetri. Det betyder også at have en incident response-plan, der antager, at ethvert værktøj, inklusive sikkerhedssoftware, på et tidspunkt kan være kompromitteringspunktet.
For enkeltpersoner gælder det samme princip i mindre skala. At stole på ét antivirusprogram, én VPN eller én adgangskodeadministrator som et komplet sikkerhedsnet efterlader et enkelt fejlpunkt. At kombinere stærk godkendelsespraksis, regelmæssige softwareopdateringer og forsigtig håndtering af e-mailvedhæftninger og makroer betyder stadig noget, selv når avancerede værktøjer kører i baggrunden.
Hvad dette betyder for dig
Hvis din organisation bruger CrowdStrike Falcon, er denne offentliggørelse ikke en grund til panik, men den er en grund til at være opmærksom. CrowdStrike undersøger aktivt, og opdateringer eller patches kan følge. I mellemtiden bør sikkerhedsteams gennemgå deres Falcon-konfigurationer, holde sensorer opdateret til den nyeste version, så snart rettelser er tilgængelige, og sikre, at logning og overvågning ikke udelukkende afhænger af Falcon-platformen selv.
For almindelige brugere er pointen bredere: CrowdStrike Falcon zero-day-udnyttelsen understreger, hvorfor lagsikkerhed snarere end tillid til en enkelt leverandør fortsat er den mest modstandsdygtige tilgang til at beskytte data og systemer.
Øjeblikkelige skridt for CrowdStrike Falcon-brugere lige nu
Sikkerhedsteams, der kører Falcon, bør holde øje med officiel vejledning og patches fra CrowdStrike, efterhånden som undersøgelsen skrider frem. Det er også værd at revidere, hvilke systemer der har makro-oprydningsfunktionen aktiveret, gennemgå privilegieniveauer tildelt sikkerhedsagenter på tværs af miljøet og krydsreferere detektionslogfiler med en sekundær overvågningskilde, hvor det er muligt. At holde sig informeret gennem CrowdStrikes egne advisories såvel som uafhængig forskning som de tidligere FalconFlank-fund vil hjælpe teams med at reagere hurtigt, hvis nye tekniske detaljer dukker op.
I sidste ende er denne hændelse et nyttigt kontrolpunkt for enhver organisation eller enkeltperson til at genbesøge deres lagsikkerhedsopsætning. Intet enkelt produkt, uanset om det er en EDR-platform, antivirussoftware eller en VPN, bør være det eneste, der står mellem dine data og en angriber. At diversificere forsvar, holde sig opdateret med patches og følge troværdig rapportering om nye sårbarheder forbliver de bedste måder at holde sig foran trusler som denne.
