セキュリティツールが攻撃ベクトルになる

新たに開示されたCrowdStrike Falconのゼロデイ脆弱性（通称FalconFlank）は、組織が自社を守るために信頼しているツールについて、居心地の悪い疑問を投げかけている。報道によると、あるセキュリティ研究者が概念実証用のエクスプロイトコードを公開し、侵害されたエンドポイント上の低権限の攻撃者が、Falcon自身の正規機能を悪用することで、Windowsマシン上で最高レベルのアクセス権である完全なSYSTEM制御へと権限を昇格できることを示した。

その皮肉は見逃しがたい。Falconは、まさにこの種の権限昇格を攻撃者にさせないために、何千もの企業に展開されているエンドポイント検出・応答（EDR）エージェントだ。しかし、この欠陥により、Falcon自身の修復ルーチンの1つが、より深い侵害への足がかりに変わるという。

マクロ削除機能がどのように武器化されたか

問題の中心にあるのは、修復プロセスの一環として悪意のあるMicrosoft Officeマクロを自動的に削除するように設計されたFalconの機能だ。WordやExcel文書に埋め込まれたマクロはマルウェアの一般的な配信方法であるため、セキュリティソフトウェアがそれらを自動的に除去することは、紙面上では賢明な防御機能である。

開示内容によると、問題は、この削除ルーチンが、システムへの限定的なアクセスをすでに持っている攻撃者によって悪用される可能性があることだ。悪意のあるマクロを単に削除する代わりに、このプロセスは、セキュリティエージェント自体が実行されるのと同じアクセスレベルであるSYSTEMレベルの権限でアクションを実行するように欺かれる可能性がある。攻撃者にとって、これはマシン上の小さな足場を得ることと、その完全な制御を得ることの違いである。

CrowdStrikeは、報告された欠陥を調査中であることを確認している。それまでの間、同社は顧客に対し、問題が評価され、おそらくパッチが適用される間の一時的な緩和策として、マクロ削除ポリシーを無効にすることを検討するようアドバイスしている。

孤立したインシデントではない

特定のCrowdStrike Falconゼロデイを超えて、この開示を注目に値するものにしているのは、その背後にあるパターンだ。FalconFlankを特定したのと同じ研究者が、KasperskyとAvastのセキュリティ製品も標的にしていると報じられており、これは単一ベンダーのコードにおける一回限りの欠陥ではなく、セキュリティソフトウェアが防ぐことを意図しているまさにその種の権限昇格の弱点を研究者が調査するという、より広範な文書化されたトレンドの一部であることを示唆している。

EDRおよびアンチウイルスエージェントが魅力的な標的となるのは、まさにそれらが昇格した権限とオペレーティングシステムへの深いフックで実行されるからだ。その層に欠陥が見つかると、結果は典型的なアプリケーションのバグよりも深刻になる可能性がある。なぜなら、そのソフトウェアは決して弱点になることを意図されていなかったからだ。これはより広範な業界の調査結果と一致している。CrowdStrike自身の脅威レポートは、攻撃者が活動を加速させるためにAIをますます使用していること、そしてセキュリティツール自体が、純粋に防御の一部ではなく、標的リストの一部になりつつあることを指摘している。

あなたへの影響

あなたの組織がCrowdStrike Falconに依存している場合、この開示は製品が広く安全ではないことを意味するものではないが、直ちに注意が必要であることを意味する。ゼロデイとは、現在公式パッチが存在しないことを意味するため、CrowdStrikeが提案した一時的な緩和策（マクロ削除ポリシーの無効化）は、その特定の保護を失うことによる運用上のトレードオフと照らし合わせて、セキュリティチームと評価する価値がある。

個々の従業員や一般ユーザーにとって、直接的な露出は限定的である。なぜなら、悪用には攻撃者がFalconを実行しているマシンへの何らかのアクセスをすでに持っている必要があるからだ。しかし、このインシデントは、攻撃者を捕まえるために特別にインストールされたものを含め、単一のセキュリティ製品が絶対に安全というわけではないという有用なリマインダーである。多層防御、未知のソースからのOffice文書の慎重な取り扱い、そして修正プログラムがリリースされたら迅速に適用することは、どのセキュリティベンダーを使用しているかに関係なく、引き続き不可欠である。

CrowdStrikeに加えて、またはその代わりにKasperskyまたはAvastを使用している企業は、同じ研究者がそれらの製品にも関与していると報告されているため、関連する勧告にも注意を払うべきである。

実践可能な takeaways

  • ITおよびセキュリティチームは、CrowdStrikeのガイダンスを確認し、Falconのマクロ削除ポリシーを一時的に無効にすることが自社の環境に適切かどうかを評価すべきである。
  • FalconFlank CrowdStrike Falconゼロデイに対処するパッチについて、CrowdStrikeの公式チャネルを監視し、利用可能になり次第適用すること。
  • 基本的なマクロ衛生を強化する：デフォルトでインターネットからのマクロをブロックし、実行を許可するユーザーと文書を制限することで、単一の自動化された削除機能への依存を減らす。
  • KasperskyまたはAvastを実行している組織は、同じ研究者の調査結果に関連するベンダーの勧告を確認すべきである。これは複数のEDRおよびアンチウイルス製品に影響を与えるより広範なパターンの一部であるように見えるためだ。
  • これは、信頼できる防御ソフトウェア自体が攻撃対象になる可能性があるため、単一のツールに依存するのではなく、多層的なセキュリティを維持するためのリマインダーとして扱うこと。