Proof-of-Concepts ใหม่เจาะเป้าหมายเครื่องมือรักษาความปลอดภัยที่ได้รับความไว้วางใจ

เอ็กซ์พลอยต์ proof-of-concept ที่เพิ่งเผยแพร่ชื่อ FalconFlank อ้างว่าเผยให้เห็นช่องโหว่การยกระดับสิทธิ์ภายในเครื่องใน CrowdStrike Falcon Sensor ซึ่งเป็นเอเจนต์การตรวจจับและตอบสนองปลายทาง (EDR) ที่องค์กรจำนวนมากใช้เพื่อเฝ้าระวังและปกป้องระบบ Windows ตามที่นักวิจัยที่อยู่เบื้องหลังการเผยแพร่ดังกล่าวระบุ เอ็กซ์พลอยต์นี้สามารถผลักดันผู้โจมตีจากการเข้าถึงแบบจำกัดไปสู่สิทธิ์ SYSTEM เต็มรูปแบบบนเครื่องที่รัน Falcon Sensor แม้ว่า Windows เองจะได้รับการอัปเดตความปลอดภัยครบถ้วนแล้วก็ตาม

สิ่งที่ทำให้การเปิดเผยนี้โดดเด่นไม่ใช่แค่กลไกทางเทคนิคเท่านั้น แต่เป็นความจริงที่ว่าช่องโหว่นี้รายงานว่าอยู่ภายในเครื่องมือที่องค์กรหลายล้านแห่งพึ่งพาเพื่อตรวจจับการโจมตีประเภทนี้โดยเฉพาะ Falcon Sensor ถูกออกแบบมาเพื่อตรวจจับพฤติกรรมที่เป็นอันตรายและบล็อกความพยายามยกระดับสิทธิ์ ไม่ใช่เพื่อเปิดทางให้เกิดขึ้น หาก proof-of-concept นี้ผ่านการพิสูจน์อย่างเข้มงวด ก็แสดงให้เห็นกรณีที่ฟังก์ชันการทำงานของผลิตภัณฑ์รักษาความปลอดภัยเองกลายเป็นพื้นที่การโจมตี

FalconFlank ทำงานอย่างไรตามรายงาน

เอ็กซ์พลอยต์นี้กล่าวกันว่าละเมิดฟังก์ชันเฉพาะอย่างหนึ่งของ Falcon Sensor ซึ่งเป็นคุณสมบัติที่สร้างขึ้นเพื่อทำความสะอาดมาโคร Office ที่เป็นอันตราย แทนที่จะเจาะจงบั๊กซอฟต์แวร์แบบดั้งเดิมอย่างบัฟเฟอร์โอเวอร์โฟลว์ นักวิจัยรายงานว่าพบวิธีจัดการกระบวนการทำความสะอาดนี้เพื่อนำมาใช้ยกระดับสิทธิ์บนเครื่องภายในได้ ความแตกต่างนี้มีความสำคัญ มันชี้ให้เห็นว่าปัญหาอาจเกิดจากวิธีที่ฟังก์ชันโต้ตอบกับระบบปฏิบัติการมากกว่าความผิดพลาดในการเขียนโค้ดเพียงจุดเดียว ซึ่งอาจทำให้ช่องโหว่ประเภทนี้แก้ไขได้ยากขึ้นและยากต่อการตัดออกทั้งหมดในทุกเวอร์ชันผลิตภัณฑ์

CrowdStrike ได้รับการแจ้งเตือนเกี่ยวกับรายงานของ proof-of-concept นี้แล้ว และการตอบสนองของบริษัทต่อเอ็กซ์พลอยต์ที่เกี่ยวข้องซึ่งใช้กลไกการทำความสะอาดมาโครเดียวกันนี้ได้รับการบันทึกไว้ในการรายงานก่อนหน้านี้เกี่ยวกับ การสอบสวนของ CrowdStrike ต่อโค้ดเอ็กซ์พลอยต์ zero-day ใน Falcon รายงานดังกล่าวอธิบายว่าบริษัทกำลังตรวจสอบว่าโค้ดที่เผยแพร่นี้เป็นเส้นทางที่แท้จริงและใช้ประโยชน์ได้จริงในการประนีประนอมระบบทั้งหมดหรือไม่ และใช้ได้ในวงกว้างกับการติดตั้งทั้งหมดหรือเฉพาะการกำหนดค่าบางอย่างเท่านั้น

เช่นเดียวกับเอ็กซ์พลอยต์ proof-of-concept ใดๆ ที่เปิดเผยต่อสาธารณะก่อนที่แพตช์อย่างเป็นทางการจะได้รับการยืนยัน มีช่องว่างที่มีนัยสำคัญระหว่าง "นักวิจัยสาธิตว่าสิ่งนี้ทำงานได้" กับ "สิ่งนี้กำลังถูกใช้โจมตีจริงในโลกภายนอก" ช่องว่างนี้คือจุดที่องค์กรต้องให้ความสนใจอย่างใกล้ชิด เพราะช่วงเวลาระหว่างการเปิดเผยและการแก้ไขมักเป็นช่วงที่ผู้โจมตีฉวยโอกาสเคลื่อนไหวเร็วที่สุด

เหตุใดการยกระดับสิทธิ์บนเอเจนต์ EDR จึงทำให้เกิดข้อกังวลด้านความเป็นส่วนตัว

การเข้าถึงระดับ SYSTEM บนเครื่อง Windows นั้นทรงพลังพอๆ กับการเข้าถึงภายในเครื่องที่มากที่สุดเท่าที่จะเป็นไปได้ ผู้โจมตีที่ทำได้สำเร็จสามารถอ่าน แก้ไข หรือขโมยไฟล์แทบทุกไฟล์บนอุปกรณ์ ปิดการใช้งานการควบคุมความปลอดภัยอื่นๆ และเคลื่อนที่ตามขวางในเครือข่ายได้โดยมีอุปสรรคน้อยลงมาก เมื่อคอมโพเนนต์ที่อ่อนแอคือซอฟต์แวร์รักษาความปลอดภัยที่ควรป้องกันผลลัพธ์นี้ ความเสี่ยงด้านความเป็นส่วนตัวก็เพิ่มสูงขึ้นอย่างรวดเร็ว

สำหรับองค์กรที่ใช้ Falcon Sensor เพื่อปกป้องระบบที่มีบันทึกพนักงาน ข้อมูลลูกค้า ข้อมูลทางการเงิน หรือรายละเอียดด้านการดูแลสุขภาพ การยกระดับสิทธิ์ที่ประสบความสำเร็จอาจหมายถึงผู้โจมตีสามารถเข้าถึงข้อมูลส่วนบุคคลที่ละเอียดอ่อนได้โดยไม่ก่อให้เกิดการแจ้งเตือนที่ปกติจะชี้ให้เห็นกิจกรรมที่น่าสงสัย นี่คือความเสี่ยงด้านความเป็นส่วนตัวหลัก: เครื่องมือที่ตั้งใจให้เป็นแนวป้องกันสุดท้ายต่อการเข้าถึงโดยไม่ได้รับอนุญาต กลับกลายเป็นประตูที่การเข้าถึงดังกล่าวเกิดขึ้นได้ แม้ว่า proof-of-concept เฉพาะนี้จะไม่ถูกนำไปใช้ในทางอาชญากรรมอย่างแพร่หลาย มันก็เป็นเครื่องเตือนใจว่าซอฟต์แวร์รักษาความปลอดภัยปลายทาง ไม่ว่าจะมีชื่อเสียงเพียงใด ก็ไม่ได้ภูมิคุ้มกันต่อช่องโหว่ประเภทเดียวกับที่มันถูกออกแบบมาเพื่อตรวจจับ

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากองค์กรของคุณรัน CrowdStrike Falcon Sensor การเปิดเผยนี้ควรติดตามอย่างใกล้ชิด แต่ไม่ใช่เหตุผลที่จะตื่นตระหนกหรือปิดการใช้งานเครื่องมือ EDR ของคุณ เอ็กซ์พลอยต์ยกระดับสิทธิ์ภายในเครื่องโดยทั่วไปต้องมีการเข้าถึงเครื่องในระดับหนึ่งก่อน หมายความว่าผู้โจมตีมักต้องมีช่องทางอื่นก่อน เช่น การโจมตีแบบฟิชชิ่งหรือช่องโหว่แยกต่างหาก ก่อนที่เทคนิคแบบ FalconFlank จะมีประโยชน์สำหรับพวกเขา อย่างไรก็ตาม การมีอยู่ของ proof-of-concept ที่ใช้งานได้หมายความว่าผู้ป้องกันควรถือว่านี่เป็นปัจจัยเสี่ยงจริง ไม่ใช่แค่เชิงทฤษฎี

ทีมไอทีและความปลอดภัยควรติดตามคำแนะนำอย่างเป็นทางการจาก CrowdStrike เกี่ยวกับแพตช์หรือการเปลี่ยนแปลงการกำหนดค่าที่เกี่ยวข้องกับปัญหานี้ และควรตรวจสอบให้แน่ใจว่ากฎการตรวจจับปลายทางได้รับการอัปเดตเมื่อมีตัวชี้วัดการประนีประนอมใหม่ปรากฏขึ้น ผู้ใช้รายบุคคลในองค์กรที่ใช้ Falcon Sensor โดยทั่วไปไม่จำเป็นต้องดำเนินการโดยตรงด้วยตนเอง เพราะการแก้ไขเกิดขึ้นในระดับผู้ดูแลระบบ แต่การตื่นตัวต่อพฤติกรรมบัญชีที่ผิดปกติหรือความช้าของระบบถือเป็นแนวปฏิบัติที่ดีเสมอไม่ว่าจะใช้ซอฟต์แวร์รักษาความปลอดภัยใดก็ตาม

ประเด็นสำคัญ

  • FalconFlank เป็นเอ็กซ์พลอยต์ proof-of-concept ไม่ใช่หลักฐานยืนยันการโจมตีที่กำลังเกิดขึ้นจริง แต่แสดงให้เห็นเส้นทางที่ใช้งานได้จริงสู่การยกระดับสิทธิ์
  • เอ็กซ์พลอยต์รายงานว่าละเมิดคุณสมบัติ Falcon Sensor ที่มีไว้เพื่อทำความสะอาดมาโคร Office ที่เป็นอันตราย เปลี่ยนฟังก์ชันป้องกันให้กลายเป็นเวกเตอร์การโจมตี
  • องค์กรที่รัน Falcon Sensor ควรติดตามการสื่อสารอย่างเป็นทางการจาก CrowdStrike สำหรับแพตช์หรือคำแนะนำในการบรรเทาผลกระทบ
  • การยกระดับสิทธิ์บนซอฟต์แวร์รักษาความปลอดภัยน่ากังวลเป็นพิเศษในมุมมองความเป็นส่วนตัว เนื่องจากสามารถเลี่ยงการควบคุมที่ตั้งใจปกป้องข้อมูลที่ละเอียดอ่อนได้
  • เหตุการณ์นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าไม่มีเครื่องมือรักษาความปลอดภัยเพียงเครื่องเดียว ไม่ว่าจะน่าเชื่อถือเพียงใด ควรเป็นแนวป้องกันเพียงแนวเดียวขององค์กร