Et Sikkerhetsverktøy Blir Angrepsvektoren

Et nylig avslørt CrowdStrike Falcon-nullpunktsangrep, kalt FalconFlank, reiser ubehagelige spørsmål om verktøyene organisasjoner stoler på for å beskytte seg. Ifølge rapporter har en sikkerhetsforsker publisert proof-of-concept-utnyttelseskode som viser at en angriper med lave rettigheter på et kompromittert endepunkt kunne eskalere til full SYSTEM-kontroll, det høyeste tilgangsnivået på en Windows-maskin, ved å misbruke en legitim funksjon i Falcon selv.

Ironien er vanskelig å overse. Falcon er en endpoint detection and response-agent (EDR) utplassert på tvers av tusenvis av bedrifter, spesifikt for å stoppe angripere fra å utføre akkurat denne typen privilegieeskalering. I stedet viser feilen seg angivelig å gjøre en av Falcons egne utbedringsrutiner til et springbrett for dypere kompromittering.

Hvordan Makrooppryddingsfunksjonen Ble Bevæpnet

I sentrum av problemet er en Falcon-funksjon designet for automatisk å fjerne ondsinnede Microsoft Office-makroer som en del av utbedringsprosessen. Makroer innebygd i Word- eller Excel-dokumenter er en vanlig leveringsmetode for skadelig programvare, så å ha sikkerhetsprogramvare som fjerner dem automatisk er en fornuftig defensiv funksjon på papiret.

Problemet, som beskrevet i avsløringen, er at denne oppryddingsrutinen angivelig kan manipuleres av en angriper som allerede har begrenset tilgang til et system. I stedet for bare å fjerne en ondsinnet makro, kan prosessen tilsynelatende lures til å utføre handlinger med SYSTEM-nivå-rettigheter, samme tilgangsnivå som sikkerhetsagenten selv kjører med. For en angriper er det forskjellen mellom å ha et lite fotfeste på en maskin og å ha full kontroll over den.

CrowdStrike har bekreftet at de undersøker den rapporterte feilen. I mellomtiden har selskapet rådet kunder til å vurdere å deaktivere makrofjerningspolicyen som en midlertidig begrensning mens problemet vurderes og, antagelig, lappes.

Ikke en Isolert Hendelse

Det som gjør denne avsløringen bemerkelsesverdig utover det spesifikke CrowdStrike Falcon-nullpunktsangrepet, er mønsteret bak det. Den samme forskeren som identifiserte FalconFlank har angivelig også rettet seg mot sikkerhetsprodukter fra Kaspersky og Avast, noe som tyder på at dette ikke er en engangsfeil i én leverandørs kode, men en del av en bredere dokumentert trend hvor forskere undersøker sikkerhetsprogramvare for nettopp de typene privilegieeskaleringssvakheter disse produktene er ment å forhindre.

EDR- og antivirusagenter er attraktive mål nettopp fordi de kjører med forhøyede rettigheter og dype koblinger til operativsystemet. Når en feil finnes i det laget, kan konsekvensene være mer alvorlige enn en typisk applikasjonsfeil, fordi programvaren aldri var ment å være det svake leddet. Dette er i tråd med bredere bransjefunn; CrowdStrikes egen trusselrapportering har notert at angripere i økende grad bruker AI for å akselerere innsatsen sin, og sikkerhetsverktøy i seg selv blir i økende grad en del av mållisten snarere enn rent en del av forsvaret.

Hva Dette Betyr for Deg

Hvis organisasjonen din er avhengig av CrowdStrike Falcon, betyr ikke denne avsløringen at produktet er bredt usikkert, men den betyr at umiddelbar oppmerksomhet er berettiget. Et nullpunktsangrep betyr at det for øyeblikket ikke finnes noen offisiell lapp, så den midlertidige begrensningen CrowdStrike har foreslått, å deaktivere makrofjerningspolicyen, er verdt å evaluere med sikkerhetsteamet ditt opp mot de operasjonelle avveiningene ved å miste den spesifikke beskyttelsen.

For individuelle ansatte og vanlige brukere er den direkte eksponeringen begrenset siden utnyttelse krever at en angriper allerede har et visst tilgangsnivå til en maskin som kjører Falcon. Imidlertid er denne hendelsen en nyttig påminnelse om at ingen enkelt sikkerhetsprodukt er ufeilbarlig, inkludert det som er installert spesifikt for å fange angripere. Lagdelt sikkerhet, forsiktig håndtering av Office-dokumenter fra ukjente kilder og rask lapping når rettelser er utgitt, forblir essensielle uavhengig av hvilken sikkerhetsleverandør som er i bruk.

Bedrifter som bruker Kaspersky eller Avast sammen med eller i stedet for CrowdStrike, bør også følge med på relaterte råd, gitt den samme forskerens rapporterte involvering med disse produktene.

Handlingsorienterte Hovedpunkter

  • IT- og sikkerhetsteam bør gjennomgå CrowdStrikes veiledning og vurdere om midlertidig deaktivering av Falcons makrofjerningspolicy er passende for deres miljø.
  • Overvåk offisielle CrowdStrike-kanaler for en lapp som adresserer FalconFlank CrowdStrike Falcon-nullpunktsangrepet og bruk den så snart den blir tilgjengelig.
  • Forsterk grunnleggende makrohygiene: blokker makroer fra internett som standard og begrens hvilke brukere og dokumenter som har lov til å kjøre dem, for å redusere avhengigheten av en enkelt automatisert oppryddingsfunksjon.
  • Organisasjoner som kjører Kaspersky eller Avast bør sjekke leverandørråd knyttet til den samme forskerens funn, siden dette ser ut til å være en del av et bredere mønster som påvirker flere EDR- og antivirusprodukter.
  • Behandle dette som en påminnelse om å opprettholde lagdelt sikkerhet i stedet for å være avhengig av ett enkelt verktøy, siden til og med pålitelig defensiv programvare selv kan bli en angrepsflate.