Ein Sicherheitstool wird zum Angriffsvektor

Eine neu offengelegte CrowdStrike-Falcon-Zero-Day-Schwachstelle, mit dem Spitznamen FalconFlank, wirft unbequeme Fragen über die Tools auf, denen Organisationen bei ihrem Schutz vertrauen. Laut Berichten hat ein Sicherheitsforscher Proof-of-Concept-Exploit-Code veröffentlicht, der zeigt, dass ein Angreifer mit niedrigen Rechten auf einem kompromittierten Endpunkt zu vollständiger SYSTEM-Kontrolle – der höchsten Zugriffsebene auf einem Windows-Rechner – aufsteigen kann, indem er eine legitime Funktion von Falcon selbst missbraucht.

Die Ironie ist kaum zu übersehen. Falcon ist ein Endpoint Detection and Response (EDR)-Agent, der in Tausenden von Unternehmen genau deshalb eingesetzt wird, um Angreifer an genau dieser Art von Privilegieneskalation zu hindern. Stattdessen verwandelt der Fehler Berichten zufolge eine von Falcons eigenen Reparaturroutinen in ein Sprungbrett für eine tiefere Kompromittierung.

Wie die Makro-Bereinigungsfunktion als Waffe genutzt wurde

Im Zentrum des Problems steht eine Falcon-Fähigkeit, die dazu entwickelt wurde, bösartige Microsoft-Office-Makros im Rahmen des Reparaturprozesses automatisch zu entfernen. Makros, die in Word- oder Excel-Dokumenten eingebettet sind, sind eine gängige Verbreitungsmethode für Malware. Sicherheitssoftware, die diese automatisch entfernt, ist auf dem Papier also eine sinnvolle Verteidigungsfunktion.

Das Problem, wie in der Offenlegung beschrieben, besteht darin, dass diese Bereinigungsroutine Berichten zufolge von einem Angreifer manipuliert werden kann, der bereits über begrenzten Zugriff auf ein System verfügt. Anstatt lediglich ein bösartiges Makro zu entfernen, kann der Prozess offenbar dazu gebracht werden, Aktionen mit SYSTEM-Rechten auszuführen – derselben Zugriffsebene, mit der der Sicherheitsagent selbst läuft. Für einen Angreifer ist das der Unterschied zwischen einem kleinen Fußabdruck auf einer Maschine und vollständiger Kontrolle darüber.

CrowdStrike hat bestätigt, dass der gemeldete Fehler untersucht wird. In der Zwischenzeit hat das Unternehmen Kunden empfohlen, in Erwägung zu ziehen, die Makro-Entfernungsrichtlinie als vorübergehende Abschwächung zu deaktivieren, während das Problem bewertet und vermutlich gepatcht wird.

Kein isolierter Vorfall

Was diese Offenlegung über die spezifische CrowdStrike-Falcon-Zero-Day-Schwachstelle hinaus bemerkenswert macht, ist das dahinterstehende Muster. Derselbe Forscher, der FalconFlank identifiziert hat, soll Berichten zufolge auch Sicherheitsprodukte von Kaspersky und Avast ins Visier genommen haben. Das deutet darauf hin, dass es sich nicht um einen einmaligen Fehler im Code eines einzelnen Anbieters handelt, sondern um einen Teil eines breiteren dokumentierten Trends, bei dem Forscher Sicherheitssoftware genau auf die Arten von Privilegieneskalations-Schwachstellen untersuchen, die diese Produkte verhindern sollen.

EDR- und Antiviren-Agenten sind gerade deshalb attraktive Ziele, weil sie mit erhöhten Berechtigungen und tiefen Hooks in das Betriebssystem laufen. Wird ein Fehler in dieser Ebene gefunden, können die Folgen schwerwiegender sein als bei einem typischen Anwendungsfehler, weil die Software nie als das schwache Glied gedacht war. Dies steht im Einklang mit breiteren Branchenergebnissen; CrowdStrikes eigene Bedrohungsberichte haben festgestellt, dass Angreifer zunehmend KI nutzen, um ihre Bemühungen zu beschleunigen, und Sicherheitstools selbst werden zunehmend Teil der Zielliste, anstatt nur Teil der Verteidigung zu sein.

Was das für Sie bedeutet

Wenn Ihre Organisation auf CrowdStrike Falcon angewiesen ist, bedeutet diese Offenlegung nicht, dass das Produkt grundsätzlich unsicher ist, aber sie bedeutet, dass sofortige Aufmerksamkeit gerechtfertigt ist. Eine Zero-Day-Schwachstelle bedeutet, dass es derzeit keinen offiziellen Patch gibt. Die von CrowdStrike vorgeschlagene vorübergehende Abschwächung – die Deaktivierung der Makro-Entfernungsrichtlinie – sollte daher mit Ihrem Sicherheitsteam gegen die betrieblichen Kompromisse abgewogen werden, die mit dem Verlust dieses spezifischen Schutzes verbunden sind.

Für einzelne Mitarbeiter und normale Benutzer ist die direkte Gefährdung begrenzt, da die Ausnutzung erfordert, dass ein Angreifer bereits über eine gewisse Zugriffsebene auf eine Maschine mit Falcon verfügt. Dieser Vorfall ist jedoch eine nützliche Erinnerung daran, dass kein einzelnes Sicherheitsprodukt unfehlbar ist, einschließlich desjenigen, das speziell installiert wurde, um Angreifer zu fangen. Abgestufte Verteidigung, sorgfältiger Umgang mit Office-Dokumenten aus unbekannten Quellen und zeitnahes Patchen, sobald Fixes veröffentlicht werden, bleiben unerlässlich, unabhängig davon, welcher Sicherheitsanbieter im Einsatz ist.

Unternehmen, die Kaspersky oder Avast neben oder anstelle von CrowdStrike verwenden, sollten ebenfalls auf zugehörige Warnhinweise achten, da derselbe Forscher Berichten zufolge mit diesen Produkten in Verbindung gebracht wird.

Umsetzbare Erkenntnisse

  • IT- und Sicherheitsteams sollten CrowdStrikes Anweisungen prüfen und bewerten, ob die vorübergehende Deaktivierung der Falcon-Makro-Entfernungsrichtlinie für ihre Umgebung angemessen ist.
  • Überwachen Sie offizielle CrowdStrike-Kanäle auf einen Patch, der die FalconFlank-CrowdStrike-Falcon-Zero-Day-Schwachstelle behebt, und wenden Sie ihn an, sobald er verfügbar ist.
  • Verstärken Sie grundlegende Makro-Hygiene: Blockieren Sie Makros aus dem Internet standardmäßig und beschränken Sie, welche Benutzer und Dokumente sie ausführen dürfen, um die Abhängigkeit von einer einzelnen automatisierten Bereinigungsfunktion zu verringern.
  • Organisationen, die Kaspersky oder Avast betreiben, sollten die Anbieter-Warnhinweise zu den Erkenntnissen desselben Forschers prüfen, da dies offenbar Teil eines breiteren Musters ist, das mehrere EDR- und Antivirenprodukte betrifft.
  • Behandeln Sie dies als Erinnerung daran, abgestufte Sicherheit aufrechtzuerhalten, anstatt sich auf ein einzelnes Tool zu verlassen, da selbst vertrauenswürdige Verteidigungssoftware selbst zur Angriffsfläche werden kann.