FalconFlank expone el riesgo de escalada de privilegios de CrowdStrike Falcon

Resumen

El investigador de seguridad Chaotic Eclipse lanzó FalconFlank, un exploit de escalada de privilegios de día cero que apunta al sensor de CrowdStrike Falcon mediante el abuso de la remediación de macros maliciosas. La vulnerabilidad puede permitir a los atacantes obtener privilegios elevados en Windows 11 y Windows Server 2025. El investigador también divulgó ShieldBreak, un día cero de Microsoft Defender rastreado como CVE-2026-69414 que permite la ejecución de código arbitrario con privilegios de SYSTEM.

Investigación

El informe describe varias vulnerabilidades de escalada de privilegios locales (LPE) descubiertas por el mismo investigador. El análisis de ShieldBreak reveló una cadena de explotación compleja que involucra archivos en la nube, manipulación del espacio de nombres del Administrador de Objetos, y una carrera de tiempo dentro del proceso de remediación. El investigador también demostró HardBreacher, una falla que afecta la seguridad del endpoint de Kaspersky y que permite la toma de control de un proceso de UI privilegiado.

Mitigación

Para FalconFlank, los defensores pueden necesitar revisar las exclusiones y actualizar la lógica de detección para identificar técnicas de carga de DLL ofuscadas. Para Microsoft Defender, no hay un parche disponible actualmente porque el problema sigue siendo de día cero. Las organizaciones también deben monitorear las escrituras DLL sospechosas o no autorizadas dirigidas a directorios sensibles del sistema Windows.

Respuesta

Si se detecta la creación no autorizada de DLL en C:WindowsSystem32, los respondedores de incidentes deben aislar inmediatamente el host afectado. Los equipos deben auditar la actividad reciente relacionada con macros e investigar tareas inusuales de informe de errores de Windows o escrituras de archivos inesperadas dentro de carpetas del sistema protegidas. Los intentos de escalada de privilegios que se originan en los procesos de seguridad del endpoint también deben tratarse como actividad de alta prioridad.