Rozwiązania EDR mają zatrzymywać ataki, analizować podejrzane pliki i izolować zagrożenia. Trudno więc wyobrazić sobie bardziej niepokojący scenariusz niż taki, w którym jedna z funkcji bezpieczeństwa może zostać wykorzystana do uzyskania wyższych uprawnień w systemie.

Autor: 8 min czytania

Właśnie taki przypadek ujawnił początkiem września badacz występujący pod pseudonimem MSNightmare, znany również jako Chaotic Eclipse i Nightmare Eclipse. Opublikowany przez niego exploit FalconFlank ma umożliwiać lokalną eskalację uprawnień z poziomu zwykłego użytkownika do SYSTEM na Windowsie z zainstalowanym CrowdStrike Falcon Sensorem. Problem dotyczy konkretnej funkcji, odpowiedzialnej za usuwanie złośliwych makr z plików Microsoft Office.

Na ten moment nie ma publicznie przypisanego CVE, a CrowdStrike podkreśla, że prowadzone jest dochodzenie. Producent potwierdził jednak problem na tyle, by zalecić klientom czasowe wyłączenie podatnej funkcji.

Zabezpieczenie, które wykonuje operacje z wysokimi uprawnieniami

Punktem wyjścia jest mechanizm Microsoft Office File Suspicious Macro Removal. Jego zadanie to wykrywanie podejrzanych makr i odpowiednia modyfikacja pliku przed przekazaniem go dalej do użytkownika.

Z perspektywy bezpieczeństwa sama funkcja jest sensowna. Problem zaczyna się wtedy, gdy uprzywilejowany komponent wykonuje operację zapisu na podstawie danych, które może kontrolować proces działający z niższymi uprawnieniami.

Właśnie ten model został zastosowany w FalconFlank. Atakujący nie próbuje bezpośrednio obejść całego Falcona. Zamiast tego doprowadza do sytuacji, w której uprzywilejowany mechanizm remediacji wykonuje operację na wskazanym przez niego zasobie. Następnie wykorzystuje różnicę pomiędzy tym, co komponent bezpieczeństwa uważa za plik do modyfikacji, a tym, gdzie faktycznie trafia zapis.

To lokalna eskalacja – nie zdalne przejęcie

Wokół FalconFlank pojawiło się sporo sensacyjnych nagłówków, dlatego warto jasno określić, czego ten problem nie oznacza.

Nie jest to zdalny exploit pozwalający przejąć komputer przez Internet. Atakujący musi posiadać możliwość uruchamiania kodu na danej maszynie – wówczas FalconFlank pozwala podnieść poziom uprawnień do SYSTEM, czyli przejść z lokalnego footholdu do znacznie bardziej uprzywilejowanego poziomu.

To nadal bardzo poważny scenariusz. W realnym łańcuchu ataku pierwszy etap może pochodzić na przykład z phishingu, exploita w aplikacji albo przejętego konta. Gdy napastnik znajdzie się już na endpointcie, niezawodna lokalna eskalacja może otworzyć drogę do wyłączenia zabezpieczeń, dostępu do chronionych danych i dalszego ruchu lateralnego.

Najciekawszy jest mechanizm obejścia

Technicznie FalconFlank wykorzystuje klasyczny problem bezpieczeństwa związany z TOCTOU, manipulacją ścieżkami i mechanizmami NTFS. Badacz przygotowuje kontrolowaną strukturę katalogów, a następnie czeka na moment, w którym uprzywilejowany komponent Falcona próbuje uzyskać dostęp do pliku.

W ten sposób zapis przeznaczony dla nieszkodliwego pliku może zostać przekierowany do chronionej lokalizacji. Publiczne analizy wskazują na wykorzystanie mechanizmów takich jak junctions, transakcje NTFS i synchronizacja dostępu do pliku, aby doprowadzić do podmiany celu operacji.

Najbardziej interesujące jest to, że końcowa modyfikacja pliku systemowego może nie pojawić się w Falconowej telemetrii w tak oczywisty sposób, jak można by oczekiwać. To pokazuje, jak duże znaczenie ma monitorowanie zachowania endpointu również poza jednym produktem bezpieczeństwa.

Cel: SYSTEM i uruchomienie własnego kodu

Po skutecznym wykorzystaniu mechanizmu remediacji atakujący chce doprowadzić do wykonania kodu z uprawnieniami SYSTEM. To właśnie ten moment przesuwa FalconFlank z kategorii „nietypowego błędu” do realnego problemu dla organizacji.

SYSTEM daje aplikacji bardzo szerokie możliwości ingerencji w Windowsie. W zależności od dalszych działań napastnik może próbować uzyskać dostęp do chronionych danych, modyfikować konfigurację zabezpieczeń czy też przygotować środowisko do kolejnych etapów ataku.

Warto jednak podkreślić, że publiczny PoC nie jest dowodem na masowe wykorzystywanie luki. Na dziś nie ma informacji o opartych na FalconFlank aktywnych kampaniach przeciwko klientom CrowdStrike.

CrowdStrike zaleca wyłączenie jednej funkcji

Na tym etapie najważniejsza jest reakcja producenta. CrowdStrike zalecił klientom wyłączenie ustawienia Microsoft Office File Suspicious Macro Removal dla Windows.

Nie oznacza to całkowitego wyłączenia ochrony Falcona przed złośliwymi dokumentami. Według komunikatu producenta zabezpieczenia nadal działają przez mechanizmy Cloud Anti-malware for Microsoft Office Files. CrowdStrike poinformował również o wdrożeniu dodatkowych mechanizmów behawioralnych, mających zapobiegać potencjalnym próbom wykorzystania FalconFlank.

To istotne, ponieważ problem dotyczy konkretnej funkcji remediacji, a nie całego silnika Falcon Sensor.

Jak polować na FalconFlank?

Wykrywanie tego typu ataku powinno opierać się przede wszystkim na korelacji zdarzeń, a nie na jednym IOC. Szczególnie interesujące są nietypowe operacje na plikach wykonywane przez procesy Falcona, pojawienie się niespodziewanej struktury katalogów w profilu użytkownika oraz próby zapisu w lokalizacjach systemowych w kontekście działań związanych z remediacją dokumentów Office.

Publiczne analizy wskazują również na kilka artefaktów, które mogą pomóc w threat huntingu, między innymi nietypowe użycie mechanizmów NTFS, aktywność związana z zadaniem MareBackup, a także nazwany kanał komunikacji FALCONFLANK. Jednocześnie nie warto opierać całej detekcji na pojedynczej nazwie, ponieważ takie elementy PoC można łatwo zmienić. Znacznie bardziej wartościowy jest wzorzec zachowania: niskie uprawnienia → operacja remediacji Falcona → nietypowy zapis w chronionej lokalizacji → proces lub zadanie działające jako SYSTEM.

Problem wykracza poza CrowdStrike

FalconFlank przypomina o czymś znacznie szerszym niż pojedynczy produkt.

EDR-y, antywirusy i systemy DLP działają z bardzo wysokimi uprawnieniami, ponieważ bez tego nie byłyby w stanie chronić systemu. Jednocześnie każda funkcja, która pozwala im modyfikować pliki, procesy czy konfigurację systemu, staje się potencjalnym uprzywilejowanym bytem dla atakującego.

To dokładnie ten sam paradoks, który w ostatnich latach obserwujemy w przypadku innych mechanizmów bezpieczeństwa: im więcej może zrobić narzędzie ochronne, tym większe konsekwencje może mieć jego błąd.

Dlatego bezpieczeństwo EDR-a nie może kończyć się na pytaniu, czy jego silnik wykrywa malware. Równie ważne jest, czy jego własne komponenty potrafią bezpiecznie wykonywać operacje z najwyższymi uprawnieniami.

Podsumowanie

FalconFlank jest szczególnie ciekawy nie dlatego, że pokazuje kolejny sposób na lokalną eskalację uprawnień. Najistotniejsze, że wykorzystuje funkcję samego rozwiązania bezpieczeństwa do osiągnięcia uprzywilejowanego wykonania kodu.

Na razie sytuacja się rozwija. Nie ma publicznego CVE ani potwierdzenia wykorzystania podatności w rzeczywistych atakach, ale PoC został opublikowany, a CrowdStrike zalecił konkretną zmianę konfiguracji.

Dla administratorów najważniejsze jest więc monitorowanie komunikatów producenta, zastosowanie tymczasowego obejścia oraz sprawdzenie endpointów pod kątem nietypowych operacji na plikach i innych oznak lokalnej eskalacji uprawnień. Bo w przypadku FalconFlank najbardziej niepokojące jest nie to, że zabezpieczenie można ominąć. Najgorsze, że można spróbować wykorzystać je przeciwko systemowi, który miało chronić.