La mossa iniziale
Sul sito 2 settembre 2026, un ricercatore nel campo della sicurezza ha reso pubblico FalconFlank, un exploit per l’escalation dei privilegi locali che prende di mira il sensore Falcon di CrowdStrike. Ecco il colpo di scena che rende questo articolo degno di essere letto anche se non utilizzate Falcon: l’exploit non aggira l’ EDR , ma induce l’ EDR a svolgere il lavoro. Inserisce un documento macro contenente una trappola, quindi reindirizza l’operazione di pulizia con privilegi in modo che sia lo stesso Falcon a scrivere un file bcrypt.dll dannoso nella directory PowerShell , da dove viene eseguito tramite sideload con privilegi di sistema (SYSTEM). Si tratta dello stesso tipo di attacco descritto in e in ShieldBreak, ovvero i privilegi di sistema dello stesso prodotto di sicurezza che vengono utilizzati contro di esso.
| Minaccia | Squadra di intervento | Risultato |
|---|---|---|
| Vulnerabilità zero-day di CrowdStrike Falcon che consente l'escalation dei privilegi a livello locale. In assenza di “ CVE”, non è prevista alcuna correzione da parte del fornitore; la DLL inserita si elimina automaticamente. | HuntIQ Threat Research + Tanium Atlas — cacciatori in carne e ossa supportati da strumenti basati sull’intelligenza artificiale. | Riprodotti dalla fonte, modelli comportamentali utilizzati direttamente nell’ambito di una battuta di caccia guidata “ Tanium Atlas”. |
«Quando è proprio il Suo “ EDR ” a essere usato contro di Lei, non può chiedere a quello stesso agente se Lei sia “pulito”.» “Con Atlas di Tanium interroghiamo direttamente l’ endpoint, ovvero il comportamento effettivamente registrato, e otteniamo una risposta reale relativa all’intera flotta in pochi secondi, non un risultato di scansione proveniente da uno strumento che è stato compromesso.”
— Aaron Smith, Responsabile del Threat Hunting
Come ha funzionato la risposta rapida
HuntIQ Threat Research non ha atteso la pubblicazione di un rapporto. Partendo direttamente dal codice pubblicato dal ricercatore, il team ha analizzato l’intera tecnica di attacco: come inserisce un file trappola, induce Falcon a spostarlo in una cartella di sistema considerata affidabile, sfrutta tale fiducia per ottenere il pieno controllo del computer e infine cancella le tracce dell’attacco.
Partendo da ciò, il team ha sviluppato numerose metodologie e sistemi di rilevamento per individuarlo. Nessuna di esse dipende dal ritrovamento del file, poiché il file è già sparito nel momento in cui lo cerchereste. Al contrario, prestano attenzione ai tracciati lasciati dall’attacco: il caricamento del payload, la sequenza anomala di programmi che lo eseguono, le cartelle temporanee in cui viene memorizzato e, innanzitutto, l’esecuzione dell’exploit.
A quel punto hanno condensato l’intera caccia in un unico suggerimento. È gestito da un “cacciatore”, e un Atlas “ Tanium ” verifica ciascuno di quei sette segnali nell’intera flotta — sia nel presente che a ritroso nel tempo — segnala qualsiasi elemento che meriti un’ulteriore analisi e fornisce un rapporto chiaro e ordinato per importanza. Non è necessario che nulla esca dalla rete per farlo. Nella nostra flotta di prova, la scansione completa ha dato esito negativo in circa sessanta secondi, con un’indicazione chiara su quali dispositivi disponessero della visibilità necessaria per poter fare affidamento su tale risultato. Questa è la differenza tra una caccia ben eseguita e un tentativo alla cieca.
/hunt FalconFlank — CrowdStrike Falcon LPE. Eseguire una scansione completa di tutti gli endpoint Windows ; privilegiare le prove registrate o comportamentali rispetto alla semplice presenza dei file, poiché la DLL inserita si autoelimina. Si cerchi: (1) qualsiasi processo che carichi bcrypt.dll da C:\Windows\System32\WindowsPowerShell\v1,0\ (T1574,002); (2) la creazione o la scrittura di qualsiasi file .dll in quella directory v1,0 (T1574,001); (3) la catena di esecuzione SYSTEM svchost.exe -k netsvcs → powershell.exe → cmd.exe (T1068); (4) directory di staging denominate Flanker_* all’interno di %TEMP% (T1006); (5) le esecuzioni dell’attività MareBackup — il suo processo effettivo è CompatTelRunner.exe -m:aemarebackup.dll, pertanto si raccomanda di cercare “aemarebackup.dll” nelle righe di comando, stabilire una linea di base relativa alla normale cadenza giornaliera e segnalare solo le esecuzioni fuori programma o con frequenza anomala (T1053,005); (6) il pipe denominato FALCONFLANK (\\?\pipe\FALCONFLANK); (7) esecuzione di FalconFlank.exe (T1204,002).Ecco cosa offre Tanium Security Operations : individuazione e conferma dell’esposizione prima ancora che la minaccia sia stata identificata.
