Alat Keamanan Menjadi Vektor Serangan

Zero-day CrowdStrike Falcon yang baru diungkap, dijuluki FalconFlank, memunculkan pertanyaan tidak nyaman tentang alat yang dipercaya organisasi untuk melindungi mereka. Menurut laporan, seorang peneliti keamanan menerbitkan kode exploit proof-of-concept yang menunjukkan bahwa penyerang dengan hak istimewa rendah di endpoint yang dikompromikan dapat meningkatkan hak akses menjadi kontrol SYSTEM penuh, tingkat akses tertinggi di mesin Windows, dengan menyalahgunakan fitur sah dari Falcon itu sendiri.

Ironinya sulit dilewatkan. Falcon adalah agen endpoint detection and response (EDR) yang diterapkan di ribuan perusahaan khususnya untuk menghentikan penyerang melakukan jenis eskalasi hak akses seperti ini. Alih-alih, kerentanan ini dilaporkan mengubah salah satu rutinitas remediasi Falcon itu sendiri menjadi batu loncatan untuk kompromi yang lebih dalam.

Bagaimana Fitur Pembersihan Makro Dipersenjatai

Inti masalahnya adalah kemampuan Falcon yang dirancang untuk secara otomatis menghapus makro Microsoft Office berbahaya sebagai bagian dari proses remediasinya. Makro yang tertanam dalam dokumen Word atau Excel adalah metode pengiriman malware yang umum, jadi memiliki perangkat lunak keamanan yang menghapusnya secara otomatis adalah fitur pertahanan yang masuk akal di atas kertas.

Masalahnya, seperti yang dijelaskan dalam pengungkapan tersebut, adalah bahwa rutinitas pembersihan ini dilaporkan dapat dimanipulasi oleh penyerang yang sudah memiliki akses terbatas ke sistem. Alih-alih sekadar menghapus makro berbahaya, proses tersebut tampaknya dapat ditipu untuk melakukan tindakan dengan hak istimewa tingkat SYSTEM, tingkat akses yang sama dengan yang digunakan oleh agen keamanan itu sendiri. Bagi penyerang, itu adalah perbedaan antara memiliki pijakan kecil di mesin dan memiliki kendali penuh atas mesin tersebut.

CrowdStrike telah mengonfirmasi bahwa mereka sedang menyelidiki kerentanan yang dilaporkan tersebut. Sementara itu, perusahaan telah menyarankan pelanggan untuk mempertimbangkan menonaktifkan kebijakan penghapusan makro sebagai mitigasi sementara sementara masalah tersebut dinilai dan, kemungkinan besar, ditambal.

Bukan Insiden Terisolasi

Yang membuat pengungkapan ini menonjol di luar zero-day CrowdStrike Falcon secara spesifik adalah pola di baliknya. Peneliti yang sama yang mengidentifikasi FalconFlank dilaporkan juga menargetkan produk keamanan dari Kaspersky dan Avast, menunjukkan bahwa ini bukan kerentanan satu kali dalam kode satu vendor tetapi bagian dari tren terdokumentasi yang lebih luas di mana peneliti menyelidiki perangkat lunak keamanan untuk jenis kelemahan eskalasi hak akses yang justru ingin dicegah oleh produk-produk tersebut.

Agen EDR dan antivirus adalah target yang menarik justru karena mereka berjalan dengan izin yang ditinggikan dan hook yang dalam ke sistem operasi. Ketika kerentanan ditemukan di lapisan itu, konsekuensinya bisa lebih parah daripada bug aplikasi biasa, karena perangkat lunak tersebut tidak pernah dimaksudkan untuk menjadi mata rantai yang lemah. Ini konsisten dengan temuan industri yang lebih luas; laporan ancaman CrowdStrike sendiri mencatat bahwa penyerang semakin menggunakan AI untuk mempercepat upaya mereka, dan perangkat keamanan itu sendiri semakin menjadi bagian dari daftar target daripada murni bagian dari pertahanan.

Apa Artinya Ini Bagi Anda

Jika organisasi Anda mengandalkan CrowdStrike Falcon, pengungkapan ini tidak berarti produk tersebut secara umum tidak aman, tetapi memang berarti perhatian segera diperlukan. Zero-day berarti saat ini belum ada tambalan resmi, jadi mitigasi sementara yang disarankan CrowdStrike, yaitu menonaktifkan kebijakan penghapusan makro, layak dievaluasi dengan tim keamanan Anda terhadap tradeoff operasional dari kehilangan perlindungan spesifik tersebut.

Bagi karyawan individu dan pengguna sehari-hari, paparan langsung terbatas karena eksploitasi membutuhkan penyerang yang sudah memiliki tingkat akses tertentu ke mesin yang menjalankan Falcon. Namun, insiden ini adalah pengingat yang berguna bahwa tidak ada satu pun produk keamanan yang sempurna, termasuk yang dipasang khusus untuk menangkap penyerang. Pertahanan berlapis, penanganan hati-hati terhadap dokumen Office dari sumber yang tidak dikenal, dan penambalan cepat setelah perbaikan dirilis tetap penting terlepas dari vendor keamanan mana yang digunakan.

Perusahaan yang menggunakan Kaspersky atau Avast bersama atau sebagai pengganti CrowdStrike juga harus memperhatikan advisory terkait, mengingat keterlibatan peneliti yang sama dengan produk-produk tersebut.

Hal-Hal yang Dapat Ditindaklanjuti

  • Tim IT dan keamanan harus meninjau panduan CrowdStrike dan mengevaluasi apakah menonaktifkan sementara kebijakan penghapusan makro Falcon sesuai untuk lingkungan mereka.
  • Pantau saluran resmi CrowdStrike untuk tambalan yang mengatasi zero-day CrowdStrike Falcon FalconFlank dan terapkan segera setelah tersedia.
  • Perkuat kebersihan makro dasar: blokir makro dari internet secara default dan batasi pengguna serta dokumen mana yang diizinkan menjalankannya, mengurangi ketergantungan pada fitur pembersihan otomatis tunggal apa pun.
  • Organisasi yang menjalankan Kaspersky atau Avast harus memeriksa advisory vendor yang terkait dengan temuan peneliti yang sama, karena ini tampaknya menjadi bagian dari pola yang lebih luas yang memengaruhi beberapa produk EDR dan antivirus.
  • Anggap ini sebagai pengingat untuk mempertahankan keamanan berlapis daripada bergantung pada satu alat pun, karena bahkan perangkat lunak keamanan tepercaya pun dapat menjadi permukaan serangan.