FalconFlank PoC Exploatează Eliminarea Macro-urilor CrowdStrike Falcon pentru Escaladarea Privilegiilor

Un nou proof-of-concept (PoC) numit FalconFlank a fost dezvoltat, demonstrând o vulnerabilitate critică în modul în care CrowdStrike Falcon Sensor gestionează macro-urile Microsoft Office. Acest exploit permite unui atacator care a obținut deja execuție cu privilegii scăzute pe un sistem Windows țintă să-și escaladeze privilegiile la cel mai înalt nivel, SYSTEM. Vulnerabilitatea este declanșată prin abuzarea procesului încorporat al Falcon Sensor pentru eliminarea macro-urilor suspecte, care în mod normal vizează protejarea sistemului împotriva codului malițios încorporat în documentele Office.

Detaliile tehnice relevă că PoC-ul FalconFlank utilizează operațiuni de fișiere asociate cu funcția de remediere a macro-urilor. În mod specific, vizează locații protejate pe sistem, cum ar fi scrierea unui fișier DLL (bcrypt.dll) în C:\Windows\System32\WindowsPowerShell\v1.0\. Când Falcon Sensor procesează un fișier infectat cu macro-uri și încearcă să-l curețe, PoC-ul manipulează acest proces pentru a-și scrie payload-ul malițios. Ulterior, încărcarea acestui DLL în contextul procesului de remediere duce la executarea de cod arbitrar cu privilegii SYSTEM, acordând efectiv atacatorului control complet asupra endpoint-ului.

Implicațiile acestei vulnerabilități sunt semnificative pentru securitatea enterprise, deoarece ocolește măsurile de securitate standard prin abuzarea unei funcții legitime de securitate. Deși PoC-ul nu a fost observat încă în atacuri active, acesta subliniază o cale potențială pentru atacatorii sofisticați de a obține acces profund la sistem. Administratorilor li se recomandă să urmeze ghidarea interimară a CrowdStrike, care include dezactivarea setării specifice de politică Windows pentru eliminarea macro-urilor suspecte din fișierele Microsoft Office și să monitorizeze operațiunile suspecte de fișiere și evenimentele de încărcare DLL.