Die Öffnungsbewegung
Am 2. September 2026veröffentlichte ein Sicherheitsforscher FalconFlank öffentlich, einen lokalen Privilegeskalations-Exploit, der auf den CrowdStrike Falcon-Sensor abzielt. Hier ist der Dreh, der es wert macht, gelesen zu werden, auch wenn Sie Falcon nicht ausführen: Der Exploit übertrifft den EDR nicht – er bringt den EDR dazu, die Arbeit zu erledigen. Es erstellt ein booby-trapped-Makrodokument und leitet dann die privilegierte Bereinigung um, sodass Falcon selbst eine rogue bcrypt.dll in das PowerShell-Verzeichnis schreibt, wo sie als SYSTEM seitlich geladen wird. Es ist die gleiche Angriffsklasse wie ShieldBreak, die eigenen SYSTEM-Privilegien eines Sicherheitsprodukts dagegen.
| Bedrohung | Reaktionsteam | Ergebnis |
|---|---|---|
| CrowdStrike Falcon Lokale Privilegeskalation Zero-Day. Keine CVE, keine Lieferantenkorrektur; die gepflanzte DLL löscht sich selbst. | HuntIQ Threat Research + Tanium Atlas – menschliche Jäger, die durch KI-gestützte Tools unterstützt werden. | Reproduziert aus Quelle, Verhaltensmuster, die direkt in einer von Tanium Atlas gesteuerten Jagd verwendet werden. |
„Wenn Ihr EDR das ist, was gegen Sie gerichtet ist, können Sie den gleichen Agenten nicht fragen, ob Sie sauber sind. Mit Tanium Atlas fragen wir den Endpunkt selbst – das Verhalten, das er tatsächlich aufgezeichnet hat – und erhalten in Sekundenschnelle eine echte Antwort auf die gesamte Flotte, nicht ein Scanergebnis aus dem Tool, das kompromittiert wurde.“
– Aaron Smith, Leiter der Threat Hunting
Wie die schnelle Antwort funktionierte
HuntIQ Threat Research wartete nicht auf eine Verfassung. Direkt aus dem Code, den der Forscher veröffentlichte, überprüfte das Team das gesamte Handwerk – wie es eine booby-trapped-Datei pflanzt, Falcon dazu verleitet, sie in einen vertrauenswürdigen Systemordner zu verschieben, dieses Vertrauen in die vollständige Kontrolle über die Maschine setzt und dann die Beweise hinter ihr löscht.
Daraus entwickelte das Team zahlreiche Methoden und Erkennungen, um sie zu erfassen. Keine davon hängt davon ab, die Datei zu finden, da die Datei zu dem Zeitpunkt weg ist, zu dem Sie suchen würden. Stattdessen achten sie auf das Verhalten, das der Angriff hinterlässt: das Laden der Nutzdaten, die merkwürdige Abfolge der Programme, die ihn ausführen, die temporären Ordner, in denen er sich befindet, und die Exploit-Ausführung überhaupt.
Dann haben sie die gesamte Jagd in einer Aufforderung verpackt. Ein Jäger führt es aus und Tanium Atlas überprüft jedes dieser sieben Signale über die gesamte Flotte hinweg – jetzt und zurück durch die Geschichte – markiert alles, was einen zweiten Blick wert ist, und gibt einen klaren, eingestuften Bericht zurück. Nichts verlässt das Netzwerk, um dies zu tun. In unserer eigenen Testflotte kam der vollständige Durchlauf in etwa sechzig Sekunden sauber zurück, mit einer ehrlichen Notiz, welche Maschinen die nötige Sichtbarkeit hatten, um dieser Antwort zu vertrauen. Das ist der Unterschied zwischen einer sauberen Jagd und einer Vermutung.
/hunt FalconFlank — CrowdStrike Falcon LPE. Führen Sie alle Windows-Endpunkte aus; bevorzugen Sie Rekorder-/Verhaltensnachweise gegenüber Dateibestand, da die gepflanzte DLL selbstlöscht. Look for: (1) any process loading bcrypt.dll from C:\Windows\System32\WindowsPowerShell\v1,0\ (T1574,002); (2) creation or write of any .dll in that v1,0 directory (T1574,001); (3) the SYSTEM lineage svchost.exe -k netsvcs → powershell.exe → cmd.exe (T1068); (4) staging directories named Flanker_* under %TEMP% (T1006); (5) executions of the MareBackup task — its real process is CompatTelRunner.exe -m:aemarebackup.dll, so search command lines for "aemarebackup.dll," baseline the normal daily cadence, and flag only off-schedule or anomalous-frequency runs (T1053,005); (6) the named pipe FALCONFLANK (\\?\pipe\FALCONFLANK); (7) Ausführung von FalconFlank.exe (T1204,002).Das bietet Tanium Security Operations : Erkennung und Bestätigung der Exposition, bevor die Bedrohung überhaupt benannt wurde.
