Uno Strumento di Sicurezza Diventa il Vettore dell'Attacco

Una zero-day di CrowdStrike Falcon di recente divulgazione, soprannominata FalconFlank, solleva domande scomode sugli strumenti di cui le organizzazioni si fidano per proteggersi. Secondo le segnalazioni, un ricercatore di sicurezza ha pubblicato un codice proof-of-concept per l'exploit che dimostra come un attaccante con privilegi bassi su un endpoint compromesso potesse escalare al pieno controllo SYSTEM, il massimo livello di accesso su una macchina Windows, abusando di una funzionalità legittima di Falcon stesso.

L'ironia è difficile da non notare. Falcon è un agente di endpoint detection and response (EDR) distribuito in migliaia di aziende proprio per impedire agli attaccanti di fare esattamente questo tipo di escalation dei privilegi. Invece, la falla trasforma apparentemente una delle routine di remediation di Falcon in un trampolino di lancio per una compromissione più profonda.

Come la Funzionalità di Pulizia Macro è Stata Armata

Al centro della questione c'è una capacità di Falcon progettata per rimuovere automaticamente le macro dannose di Microsoft Office come parte del suo processo di remediation. Le macro incorporate in documenti Word o Excel sono un metodo di distribuzione comune per il malware, quindi avere un software di sicurezza che le rimuove automaticamente è una funzionalità difensiva sensata sulla carta.

Il problema, come descritto nella divulgazione, è che questa routine di pulizia può apparentemente essere manipolata da un attaccante che ha già accesso limitato a un sistema. Invece di rimuovere semplicemente una macro dannosa, il processo può apparentemente essere ingannato per eseguire azioni con privilegi a livello SYSTEM, lo stesso livello di accesso con cui opera l'agente di sicurezza stesso. Per un attaccante, questa è la differenza tra avere un piccolo punto d'appoggio su una macchina e averne il controllo completo.

CrowdStrike ha confermato di aver avviato un'indagine sulla falla segnalata. Nel frattempo, l'azienda ha consigliato ai clienti di prendere in considerazione la disabilitazione della policy di rimozione delle macro come mitigazione temporanea mentre il problema viene valutato e, presumibilmente, corretto.

Non un Incidente Isolato

Ciò che rende questa divulgazione notevole oltre alla specifica zero-day di CrowdStrike Falcon è il modello dietro di essa. Lo stesso ricercatore che ha identificato FalconFlank ha apparentemente preso di mira anche prodotti di sicurezza di Kaspersky e Avast, suggerendo che non si tratta di una falla isolata nel codice di un singolo fornitore, ma parte di una tendenza documentata più ampia di ricercatori che sondano il software di sicurezza proprio per quei tipi di debolezze di escalation dei privilegi che quei prodotti dovrebbero prevenire.

Gli agenti EDR e antivirus sono bersagli attraenti proprio perché operano con permessi elevati e hook profondi nel sistema operativo. Quando viene trovata una falla in quel livello, le conseguenze possono essere più gravi di un tipico bug applicativo, perché il software non doveva mai essere l'anello debole. Questo è coerente con i risultati più ampi del settore; lo stesso report sulle minacce di CrowdStrike ha notato che gli attaccanti usano sempre più l'IA per accelerare i loro sforzi, e gli strumenti di sicurezza stessi sono sempre più parte dell'elenco dei bersagli piuttosto che puramente parte della difesa.

Cosa Significa Questo per Te

Se la tua organizzazione si affida a CrowdStrike Falcon, questa divulgazione non significa che il prodotto sia diffusamente insicuro, ma significa che è necessaria un'attenzione immediata. Una zero-day significa che attualmente non esiste una patch ufficiale, quindi la mitigazione temporanea suggerita da CrowdStrike, ovvero disabilitare la policy di rimozione delle macro, vale la pena di essere valutata con il tuo team di sicurezza rispetto ai compromessi operativi della perdita di quella specifica protezione.

Per i singoli dipendenti e gli utenti comuni, l'esposizione diretta è limitata poiché lo sfruttamento richiede che un attaccante abbia già un certo livello di accesso a una macchina che esegue Falcon. Tuttavia, questo incidente è un utile promemoria che nessun singolo prodotto di sicurezza è infallibile, incluso quello installato specificamente per intercettare gli attaccanti. Difese a strati, gestione attenta dei documenti Office provenienti da fonti sconosciute e applicazione tempestiva delle patch una volta rilasciate rimangono essenziali indipendentemente dal fornitore di sicurezza in uso.

Anche le aziende che utilizzano Kaspersky o Avast insieme o al posto di CrowdStrike dovrebbero prestare attenzione ai advisory correlati, dato il coinvolgimento segnalato dello stesso ricercatore con quei prodotti.

Punti Chiave Azionabili

  • I team IT e di sicurezza dovrebbero rivedere le indicazioni di CrowdStrike e valutare se disabilitare temporaneamente la policy di rimozione macro di Falcon sia appropriato per il loro ambiente.
  • Monitorare i canali ufficiali di CrowdStrike per una patch che risolva la zero-day FalconFlank di CrowdStrike Falcon e applicarla non appena disponibile.
  • Rafforzare l'igiene di base delle macro: bloccare le macro da internet per impostazione predefinita e limitare quali utenti e documenti possono eseguirle, riducendo la dipendenza da qualsiasi singola funzionalità di pulizia automatica.
  • Le organizzazioni che eseguono Kaspersky o Avast dovrebbero controllare gli advisory dei fornitori legati ai risultati dello stesso ricercatore, poiché questo sembra far parte di un modello più ampio che colpisce più prodotti EDR e antivirus.
  • Trattare questo come un promemoria per mantenere una sicurezza a strati piuttosto che dipendere da un singolo strumento, poiché anche il software difensivo di cui ci si fida può diventare esso stesso una superficie di attacco.