Защитный агент CrowdStrike Falcon может сам открыть путь к максимальным правам в Windows. Исследователь Chaotic Eclipse, также известный как MSNightmare и Nightmare Eclipse, опубликовал демонстрационный эксплойт FalconFlank для заявленной zero-day уязвимости, которая позволяет локальному пользователю повысить привилегии через механизм очистки подозрительных макросов Microsoft Office.
По словам автора, FalconFlank работает на полностью обновлённых Windows 11 25H2 и Windows Server 2025 с CrowdStrike Falcon в режиме Phase 3 Optimal Protection. Для атаки должна быть включена политика Windows Microsoft Office File Suspicious Macro Removal, которая позволяет Falcon автоматически вмешиваться в подозрительные документы Office.
Опасность связана с тем, что защитный агент выполняет операции с высокими привилегиями. Код FalconFlank манипулирует файловой системой Windows и перенаправляет операции Falcon так, чтобы получить возможность изменить системную библиотеку bcrypt.dll в каталоге PowerShell. Затем эксплойт запускает системную задачу Windows, которая загружает подменённую DLL. В результате код атакующего может выполняться с правами SYSTEM, то есть практически с полным контролем над компьютером.
FalconFlank относится к локальным уязвимостям повышения привилегий. Сам по себе эксплойт не позволяет взломать компьютер через интернет. Злоумышленнику сначала нужно получить возможность запускать код под обычной учётной записью, после чего брешь может превратить ограниченный доступ в полный контроль над Windows.
Chaotic Eclipse за последние месяцы опубликовал целую серию подобных находок. В августе исследователь показал ShieldBreak, заявленный обход исправления Microsoft Defender, который также позволяет получить права SYSTEM. Незадолго до FalconFlank автор выпустил HardBreacher для Kaspersky Endpoint Security. История публикаций исследователя началась после конфликта с Microsoft вокруг обработки найденных уязвимостей.
Исходный код и собранную версию FalconFlank автор разместил в открытом доступе. Chaotic Eclipse считает, что CrowdStrike могла уже добавить обнаружение конкретного PoC, однако способность защитного продукта распознать демонстрационный эксплойт не равнозначна устранению предполагаемой уязвимости.
CrowdStrike отдельно сообщила, что активно расследует заявления исследователя. Компания рекомендует клиентам отключить параметр политики Windows Microsoft Office File Suspicious Macro Removal. По словам представителя CrowdStrike, защиту документов продолжат обеспечивать облачные параметры проверки файлов Microsoft Office на вредоносный код. Дополнительные рекомендации компания опубликовала в техническом уведомлении FalconFlank на портале поддержки CrowdStrike.
CrowdStrike пока не сообщила об отдельном исправлении и не присвоила проблеме идентификатор CVE. Поэтому FalconFlank корректнее считать заявленной zero-day уязвимостью, которую продемонстрировал автор PoC и сейчас тщательно расследует производитель.
