FalconFlank Zero-Day Πλήττει τον Αισθητήρα Falcon της CrowdStrike

Ένα Νέο Proof-of-Concept Στοχεύει ένα Αξιόπιστο Εργαλείο Ασφαλείας

Ένα πρόσφατα δημοσιευμένο proof-of-concept εκμετάλλευσης με την ονομασία FalconFlank ισχυρίζεται ότι αποκαλύπτει μια ευπάθεια τοπικής αναβάθμισης προνομίων στον Αισθητήρα Falcon της CrowdStrike, τον πράκτορα ανίχνευσης και απόκρισης τελικών σημείων (EDR) που χρησιμοποιείται από αμέτρητους οργανισμούς για την παρακολούθηση και την προστασία συστημάτων Windows. Σύμφωνα με τον ερευνητή πίσω από τη δημοσίευση, η εκμετάλλευση μπορεί να ωθήσει έναν εισβολέα από περιορισμένη πρόσβαση σε πλήρη δικαιώματα SYSTEM σε μηχανήματα που εκτελούν τον Αισθητήρα Falcon, ακόμη και όταν τα ίδια τα Windows είναι πλήρως ενημερωμένα.

Αυτό που κάνει αυτή την αποκάλυψη αξιοσημείωτη δεν είναι μόνο η τεχνική μηχανική. Είναι το γεγονός ότι το ελάττωμα φέρεται να βρίσκεται μέσα σε ένα εργαλείο στο οποίο βασίζονται εκατομμύρια επιχειρήσεις ακριβώς για να εντοπίζουν αυτού του είδους την επίθεση. Ο Αισθητήρας Falcon έχει σχεδιαστεί για να ανιχνεύει κακόβουλη συμπεριφορά και να αποκλείει απόπειρες αναβάθμισης προνομίων, όχι να τις διευκολύνει. Εάν το proof-of-concept αντέξει στον έλεγχο, αντιπροσωπεύει μια περίπτωση όπου η ίδια η λειτουργικότητα ενός προϊόντος ασφαλείας γίνεται η επιφάνεια επίθεσης.

Πώς Φέρεται να Λειτουργεί το FalconFlank

Η εκμετάλλευση φέρεται να κάνει κατάχρηση ενός συγκεκριμένου τμήματος της λειτουργικότητας του Αισθητήρα Falcon: μιας δυνατότητας που έχει κατασκευαστεί για να καθαρίζει κακόβουλες μακροεντολές του Office. Αντί να στοχεύει ένα παραδοσιακό σφάλμα λογισμικού όπως μια υπερχείλιση buffer, ο ερευνητής φέρεται να βρήκε έναν τρόπο να χειραγωγήσει αυτή τη διαδικασία καθαρισμού έτσι ώστε να μπορεί να χρησιμοποιηθεί για την αναβάθμιση προνομίων στο τοπικό μηχάνημα. Αυτή η διάκριση έχει σημασία. Υποδηλώνει ότι το ζήτημα μπορεί να πηγάζει από τον τρόπο με τον οποίο η δυνατότητα αλληλεπιδρά με το λειτουργικό σύστημα και όχι από ένα μεμονωμένο απομονωμένο σφάλμα κωδικοποίησης, γεγονός που μπορεί να καταστήσει αυτού του είδους τα ελαττώματα πιο δύσκολο να επιδιορθωθούν γρήγορα και πιο δύσκολο να αποκλειστούν πλήρως σε όλες τις εκδόσεις προϊόντων.

Η CrowdStrike έχει ήδη ειδοποιηθεί για αναφορές σχετικά με αυτό το proof-of-concept, και η απάντηση της εταιρείας σε μια σχετική εκμετάλλευση που αφορά τον ίδιο μηχανισμό καθαρισμού μακροεντολών έχει τεκμηριωθεί σε προηγούμενη κάλυψη της έρευνας της CrowdStrike για τον κώδικα εκμετάλλευσης zero-day του Falcon. Αυτό το ρεπορτάζ περιγράφει πώς η εταιρεία εξετάζει εάν ο δημοσιευμένος κώδικας αντιπροσωπεύει μια γνήσια, εκμεταλλεύσιμη οδό για πλήρη παραβίαση του συστήματος, και εάν ισχύει ευρέως σε διάφορες αναπτύξεις ή μόνο υπό συγκεκριμένες διαμορφώσεις.

Όπως συμβαίνει με κάθε proof-of-concept εκμετάλλευσης που δημοσιοποιείται πριν επιβεβαιωθεί επίσημη επιδιόρθωση, υπάρχει ένα σημαντικό χάσμα μεταξύ του "ένας ερευνητής απέδειξε ότι αυτό λειτουργεί" και του "αυτό εκμεταλλεύεται ενεργά στην πράξη". Αυτό το χάσμα είναι ακριβώς εκεί όπου οι οργανισμοί πρέπει να δώσουν μεγάλη προσοχή, επειδή το παράθυρο μεταξύ αποκάλυψης και αποκατάστασης είναι συχνά όταν οι ευκαιριακοί εισβολείς κινούνται ταχύτερα.

Γιατί η Αναβάθμιση Προνομίων σε έναν Πράκτορα EDR Εγείρει Ανησυχίες για τα Προσωπικά Δεδομένα

Η πρόσβαση σε επίπεδο SYSTEM σε ένα μηχάνημα Windows είναι τόσο ισχυρή όσο γίνεται η τοπική πρόσβαση. Ένας εισβολέας που την επιτυγχάνει μπορεί να διαβάσει, να τροποποιήσει ή να εξάγει σχεδόν οποιοδήποτε αρχείο στη συσκευή, να απενεργοποιήσει άλλους ελέγχους ασφαλείας και να κινηθεί πλευρικά σε ένα δίκτυο με πολύ λιγότερη τριβή. Όταν το ευάλωτο στοιχείο είναι το ίδιο το λογισμικό ασφαλείας που προορίζεται να αποτρέψει αυτό το αποτέλεσμα, τα διακυβεύματα για τα προσωπικά δεδομένα αυξάνονται απότομα.

Για οργανισμούς που χρησιμοποιούν τον Αισθητήρα Falcon για την προστασία συστημάτων που περιέχουν αρχεία εργαζομένων, δεδομένα πελατών, οικονομικές πληροφορίες ή ιατρικές λεπτομέρειες, μια επιτυχημένη αναβάθμιση προνομίων θα μπορούσε να σημαίνει ότι ένας εισβολέας αποκτά πρόσβαση σε ευαίσθητα προσωπικά δεδομένα χωρίς να ενεργοποιεί τους συναγερμούς που κανονικά θα σηματοδοτούσαν ύποπτη δραστηριότητα. Αυτός είναι ο βασικός κίνδυνος για τα προσωπικά δεδομένα εδώ: το εργαλείο που προορίζεται να είναι η τελευταία γραμμή άμυνας ενάντια σε μη εξουσιοδοτημένη πρόσβαση γίνεται ενδεχομένως η πόρτα μέσω της οποίας πραγματοποιείται αυτή η πρόσβαση. Ακόμη και αν αυτό το συγκεκριμένο proof-of-concept δεν χρησιμοποιηθεί ποτέ μαζικά από εγκληματίες, αποτελεί υπενθύμιση ότι το λογισμικό ασφαλείας τελικών σημείων, όσο αξιόπιστο και αν είναι, δεν είναι άνοσο από την ίδια κατηγορία ευπαθειών που έχει σχεδιαστεί να εντοπίζει.

Τι Σημαίνει Αυτό για Εσάς

Εάν ο οργανισμός σας χρησιμοποιεί τον Αισθητήρα Falcon της CrowdStrike, αυτή η αποκάλυψη αξίζει να παρακολουθείται στενά, αλλά δεν αποτελεί λόγο πανικού ή απενεργοποίησης των εργαλείων EDR σας. Οι εκμεταλλεύσεις τοπικής αναβάθμισης προνομίων συνήθως απαιτούν κάποιο επίπεδο υπάρχουσας πρόσβασης σε ένα μηχάνημα, που σημαίνει ότι ένας εισβολέας συνήθως χρειάζεται πρώτα ένα άλλο σημείο εισόδου, όπως μια παραβίαση μέσω phishing ή μια ξεχωριστή ευπάθεια, προτού τεχνικές τύπου FalconFlank γίνουν χρήσιμες. Αυτό είπε, η ύπαρξη ενός λειτουργικού proof-of-concept σημαίνει ότι οι υπεύθυνοι άμυνας θα πρέπει να το αντιμετωπίσουν ως έναν ενεργό παράγοντα κινδύνου και όχι ως θεωρητικό.

Οι ομάδες πληροφορικής και ασφαλείας θα πρέπει να παρακολουθούν τις επίσημες οδηγίες από την CrowdStrike σχετικά με επιδιορθώσεις ή αλλαγές διαμόρφωσης που σχετίζονται με αυτό το ζήτημα, και θα πρέπει να διασφαλίσουν ότι οι κανόνες ανίχνευσης τελικών σημείων ενημερώνονται καθώς γίνονται διαθέσιμοι νέοι δείκτες παραβίασης. Οι μεμονωμένοι χρήστες σε οργανισμούς που χρησιμοποιούν τον Αισθητήρα Falcon γενικά δεν χρειάζεται να λάβουν άμεσα μέτρα μόνοι τους, καθώς η αποκατάσταση γίνεται σε διοικητικό επίπεδο, αλλά το να παραμένουν σε επαγρύπνηση για ασυνήθιστη συμπεριφορά λογαριασμού ή επιβράδυνση συστήματος είναι πάντα καλή πρακτική ανεξάρτητα από το ποιο λογισμικό ασφαλείας είναι εγκατεστημένο.

Βασικά Συμπεράσματα

• Το FalconFlank είναι ένα proof-of-concept εκμετάλλευσης, όχι επιβεβαιωμένη απόδειξη ενεργών επιθέσεων, αλλά αποδεικνύει μια λειτουργική οδό αναβάθμισης προνομίων.
• Η εκμετάλλευση φέρεται να κάνει κατάχρηση μιας δυνατότητας του Αισθητήρα Falcon που προορίζεται για τον καθαρισμό κακόβουλων μακροεντολών του Office, μετατρέποντας μια αμυντική λειτουργία σε διάνυσμα επίθεσης.
• Οι οργανισμοί που εκτελούν τον Αισθητήρα Falcon θα πρέπει να παρακολουθούν τις επίσημες ανακοινώσεις της CrowdStrike για επιδιορθώσεις ή οδηγίες μετριασμού.
• Η αναβάθμιση προνομίων σε λογισμικό ασφαλείας είναι ιδιαίτερα ανησυχητική από άποψη προστασίας προσωπικών δεδομένων, καθώς μπορεί να παρακάμψει τους ίδιους τους ελέγχους που προορίζονται να προστατεύουν ευαίσθητα δεδομένα.
• Αυτό το περιστατικό είναι μια χρήσιμη υπενθύμιση ότι κανένα μεμονωμένο εργαλείο ασφαλείας, όσο αξιόπιστο και αν είναι, δεν θα πρέπει να αποτελεί τη μοναδική γραμμή άμυνας ενός οργανισμού.