Narzędzie bezpieczeństwa staje się wektorem ataku

Nowo ujawnione zero-day w CrowdStrike Falcon, nazwane FalconFlank, rodzi niewygodne pytania dotyczące narzędzi, którym organizacje ufają w kwestii swojej ochrony. Według doniesień, badacz bezpieczeństwa opublikował kod proof-of-concept exploita pokazujący, że atakujący z niskimi uprawnieniami na zainfekowanym punkcie końcowym może eskalować do pełnej kontroli SYSTEM, czyli najwyższego poziomu dostępu na maszynie z systemem Windows, wykorzystując legalną funkcję samego Falcona.

Ironii tej trudno nie zauważyć. Falcon to agent wykrywania i reagowania na punkty końcowe (EDR), wdrożony w tysiącach przedsiębiorstw właśnie po to, aby powstrzymywać atakujących przed tego rodzaju eskalacją uprawnień. Zamiast tego, zgodnie z doniesieniami, luka zamienia jedną z własnych procedur naprawczych Falcona w odskocznię do głębszego kompromisu.

Jak funkcja czyszczenia makr została uzbrojona

W centrum problemu znajduje się funkcja Falcona zaprojektowana do automatycznego usuwania złośliwych makr Microsoft Office w ramach procesu naprawczego. Makra osadzone w dokumentach Word lub Excel to powszechna metoda dostarczania złośliwego oprogramowania, więc automatyczne usuwanie ich przez oprogramowanie zabezpieczające jest rozsądną funkcją obronną na papierze.

Problem, jak opisano w ujawnieniu, polega na tym, że ta procedura czyszczenia może być najwyraźniej manipulowana przez atakującego, który ma już ograniczony dostęp do systemu. Zamiast po prostu usuwać złośliwe makro, proces można najwyraźniej oszukać, aby wykonywał działania z uprawnieniami na poziomie SYSTEM, czyli na tym samym poziomie dostępu, z jakim działa sam agent zabezpieczeń. Dla atakującego to różnica między posiadaniem niewielkiego przyczółka na maszynie a pełną kontrolą nad nią.

CrowdStrike potwierdziło, że bada zgłoszoną lukę. W międzyczasie firma doradziła klientom rozważenie wyłączenia polityki usuwania makr jako tymczasowego środka łagodzącego, dopóki problem jest oceniany i, przypuszczalnie, łatany.

Nie incydent odizolowany

To, co czyni to ujawnienie godnym uwagi poza samym zero-day w CrowdStrike Falcon, to stojący za nim wzorzec. Ten sam badacz, który zidentyfikował FalconFlank, najwyraźniej celował również w produkty zabezpieczające od Kaspersky i Avast, co sugeruje, że nie jest to jednorazowa luka w kodzie jednego dostawcy, ale część szerszego udokumentowanego trendu badaczy testujących oprogramowanie zabezpieczające pod kątem dokładnie tych słabości eskalacji uprawnień, którym te produkty mają zapobiegać.

Agenci EDR i antywirusowi są atrakcyjnymi celami właśnie dlatego, że działają z podwyższonymi uprawnieniami i głębokimi zaczepami w systemie operacyjnym. Gdy w tej warstwie zostanie znaleziona luka, konsekwencje mogą być poważniejsze niż w przypadku typowego błędu aplikacji, ponieważ oprogramowanie nigdy nie miało być słabym ogniwem. Jest to zgodne z szerszymi ustaleniami branżowymi; własne raporty o zagrożeniach CrowdStrike zauważyły, że atakujący coraz częściej wykorzystują sztuczną inteligencję do przyspieszania swoich działań, a same narzędzia zabezpieczające coraz częściej znajdują się na liście celów, a nie wyłącznie po stronie obrony.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja polega na CrowdStrike Falcon, to ujawnienie nie oznacza, że produkt jest ogólnie niebezpieczny, ale oznacza, że wymaga natychmiastowej uwagi. Zero-day oznacza, że obecnie nie ma oficjalnej łatki, więc tymczasowy środek łagodzący zasugerowany przez CrowdStrike, czyli wyłączenie polityki usuwania makr, warto ocenić z zespołem ds. bezpieczeństwa pod kątem operacyjnych kompromisów związanych z utratą tej konkretnej ochrony.

Dla indywidualnych pracowników i zwykłych użytkowników bezpośrednie zagrożenie jest ograniczone, ponieważ wykorzystanie luki wymaga, aby atakujący miał już pewien poziom dostępu do maszyny z uruchomionym Falconem. Jednak ten incydent jest użytecznym przypomnieniem, że żaden pojedynczy produkt zabezpieczający nie jest nieomylny, włącznie z tym zainstalowanym specjalnie do wykrywania atakujących. Warstwowa ochrona, ostrożne obchodzenie się z dokumentami Office z nieznanych źródeł i szybkie łatanie po wydaniu poprawek pozostają niezbędne niezależnie od tego, który dostawca zabezpieczeń jest w grze.

Przedsiębiorstwa korzystające z Kaspersky lub Avast obok CrowdStrike lub zamiast niego powinny również śledzić powiązane zalecenia, biorąc pod uwagę zgłaszane zaangażowanie tego samego badacza w te produkty.

Praktyczne wnioski

  • Zespoły IT i ds. bezpieczeństwa powinny przejrzeć wytyczne CrowdStrike i ocenić, czy tymczasowe wyłączenie polityki usuwania makr Falcona jest odpowiednie dla ich środowiska.
  • Monitoruj oficjalne kanały CrowdStrike w poszukiwaniu łatki rozwiązującej zero-day FalconFlank w CrowdStrike Falcon i zastosuj ją, gdy tylko będzie dostępna.
  • Wzmocnij podstawową higienę makr: blokuj makra z internetu domyślnie i ogranicz, którzy użytkownicy i dokumenty mogą je uruchamiać, zmniejszając poleganie na pojedynczej automatycznej funkcji czyszczenia.
  • Organizacje korzystające z Kaspersky lub Avast powinny sprawdzić zalecenia dostawców powiązane z ustaleniami tego samego badacza, ponieważ wygląda to na część szerszego wzorca wpływającego na wiele produktów EDR i antywirusowych.
  • Traktuj to jako przypomnienie o utrzymaniu warstwowej ochrony zamiast polegania na jednym narzędziu, ponieważ nawet zaufane oprogramowanie obronne może samo stać się powierzchnią ataku.