CrowdStrike untersucht FalconFlank PoC zur Windows-Privilegienausweitung im Falcon Sensor

Ein öffentlicher Proof-of-Concept namens FalconFlank hat eine Schwachstelle zur Privilegienausweitung im CrowdStrike Falcon Sensor unter Windows ins Rampenlicht gerückt. Der Forscher, bekannt als Chaotic Eclipse, veröffentlichte den Code und erklärte, dass er die Art und Weise missbraucht, wie das Endpoint-Sicherheitsprodukt die Behebung bösartiger Microsoft-Office-Makros handhabt. Laut dem Forscher funktioniert die Technik auf einem vollständig aktualisierten Windows-11-25H2-Rechner oder Windows Server 2025 mit installiertem CrowdStrike Falcon. CrowdStrike teilte The Hacker News mit, dass man die Behauptungen untersucht. Das Unternehmen rät Kunden, die Windows-Richtlinieneinstellung „Microsoft Office File Suspicious Macro Removal“ zu deaktivieren, während die Einstellungen für „Cloud Anti-malware for Microsoft Office Files“ aktiviert bleiben, und verweist auf einen FalconFlank Tech Alert im CrowdStrike-Supportportal.

Privilegienausweitung ist eine Art von Schwachstelle, die es einem Benutzer oder Programm mit eingeschränktem Zugriff ermöglicht, höhere Berechtigungen zu erlangen, wie z. B. Administrator- oder SYSTEM-Rechte. Auf einem Windows-Computer könnte ein Angreifer, der bereits Code lokal ausführen kann, diese Art von Fehler nutzen, um die vollständige Kontrolle über den Rechner zu erlangen, Schutzmaßnahmen zu deaktivieren oder persistente Malware zu installieren. Der FalconFlank-Proof-of-Concept konzentriert sich auf den Makro-Behebungspfad im CrowdStrike Falcon Sensor. Office-Makros sind kleine automatisierte Skripte in Dokumenten, und Sicherheitsprodukte untersuchen oder neutralisieren verdächtige Makros häufig. Der Forscher sagt, dass die Behebungslogik missbraucht werden kann, um vom Angreifer kontrollierten Code zu laden. Chaotic Eclipse fügte hinzu, dass Falcon den Proof-of-Concept möglicherweise bereits erkennt, sodass Tests das Hinzufügen einer Ausnahme oder das Verschleiern des Codes sowie das Ändern der DLL-Ladetechnik erfordern könnten.

CrowdStrikes Anleitung ist spezifisch. Das Deaktivieren der Richtlinieneinstellung „Microsoft Office File Suspicious Macro Removal“ entfernt eine Komponente, auf die der Proof-of-Concept offenbar angewiesen ist, während die separaten Einstellungen für „Cloud Anti-malware for Microsoft Office Files“ weiterhin Schutz bieten. Das Unternehmen gab an, den Bericht aktiv zu untersuchen, nannte jedoch keinen Zeitplan für einen Patch. Für IT-Teams bedeutet dies, die Endpoint-Konfiguration anhand des offiziellen Tech Alerts zu überprüfen und das Supportportal auf Updates zu verfolgen. Die Schwachstelle ist für Website-Betreiber und Unternehmen relevant, da viele Unternehmen Falcon auf Laptops, Desktops und Servern einsetzen, und eine lokale Privilegienausweitung kann dazu beitragen, dass sich Malware von einem kompromittierten Konto auf die gesamte Windows-Flotte ausbreitet.

FalconFlank ist nur die neueste in einer Reihe von Proof-of-Concept-Veröffentlichungen desselben Forschers. Tage zuvor veröffentlichte Chaotic Eclipse HardBreacher, einen Proof-of-Concept zur Privilegienausweitung für Kaspersky Endpoint Security für Windows Version 14.0.0.504. Der Forscher beschrieb den Proof-of-Concept als grob und sagte, er sei im Grunde zusammengeklebt und müsse möglicherweise mehrmals ausgeführt werden, aber wenn er erfolgreich ist, erstellt er eine Datei namens MY_SNAKE_IS_SOLID.dll im Windows-System32-Ordner mit vollständigen Berechtigungen für den aktuellen Benutzer. Chaotic Eclipse sagte, dass Kaspersky die Kontrolle verliert, wenn der Benutzeroberflächenprozess übernommen wird, was möglicherweise dazu führt, dass das Sicherheitsprodukt nicht mehr funktioniert oder den Zugriff auf Dateien fälschlicherweise gewährt oder blockiert. Kaspersky teilte The Hacker News später mit, dass das HardBreacher-Problem behoben und der Fix über ein automatisches Update bereitgestellt wurde, mit der Option für Benutzer, ein Datenbankupdate manuell auszulösen.

Letzten Monat veröffentlichte der Forscher auch ShieldBreak, eine Microsoft-Defender-Zero-Day-Schwachstelle, die als CVE-2026-69414 verfolgt wird. ShieldBreak könnte die Ausführung beliebigen Codes mit SYSTEM-Berechtigungen ermöglichen, der höchsten integrierten Windows-Kontoebene. Es wird als Patch-Bypass für CVE-2026-50656, auch bekannt als RoguePlanet, eingestuft, und Microsoft hat keinen Fix veröffentlicht. Das Sicherheitsunternehmen LevelBlue beschrieb ShieldBreak als Kombination aus Cloud Files, Object-Manager-Namespace-Manipulation, direktem Windows-Defender-API-Aufruf und einem Timing-Race im Behebungspfad. Das Ergebnis, so LevelBlue, ist eine lokale Kette zur Privilegienausweitung, bei der die eigene Bereinigungs-Engine von Windows Defender umgeleitet wird, um eine vom Angreifer bereitgestellte DLL namens phoneinfo.dll im Windows-System32-Ordner zu schreiben, woraufhin die SYSTEM-Ausführung über die integrierte Windows-Fehlerberichterstattungsaufgabe folgt. Dies veranschaulicht, wie Endpoint-Verteidigungen selbst zu einem Pfad für Angreifer werden können, wenn interne Komponenten missbraucht werden.

Chaotic Eclipse äußerte auch Frustration über die Reaktion von Microsoft und sagte, das Unternehmen ignoriere sie weiterhin und weigere sich zu kommunizieren. In einem Beitrag vom 14. August 2026 sagte der Forscher, dass Einschränkungen durch Microsoft es schwierig machen, Fehler an Anbieter zu melden, und dass Microsoft den Fall nicht prüft. Der Forscher kündigte außerdem an, Fehler für Dritte im Zeitraum vor dem Patch Tuesday, dem monatlichen Microsoft-Sicherheitsupdate, zu veröffentlichen. Diese Bemerkungen sind Teil eines Musters öffentlicher Offenlegung ohne Anbieter-Fix. Die hier beschriebenen spezifischen Schwachstellen erfordern, dass ein Angreifer bereits Code auf dem Rechner ausführt. Sie sind also keine Remote-Codeausführungsfehler, können aber einen geringen Fußabdruck in vollständige Systemkontrolle verwandeln.

Das Update von The Hacker News fügte zwei weitere Proof-of-Concept-Veröffentlichungen von Chaotic Eclipse hinzu. GreenSection zielt auf einen NVIDIA-Speicherfehler ab und führt dazu, dass jede Anwendung, die Vulkan oder OpenGL verwendet, nach der Ausführung des Proof-of-Concept abstürzt. PrettyPrague ist eine Schwachstelle zur Privilegienausweitung in der Antivirensoftware Avast von Gen Digital. Der Forscher sagt, PrettyPrague leert die SAM-Datenbank, indem es eine Schwachstelle in Avast Sandbox missbraucht, und erzeugt eine vollständige SYSTEM-Shell. Zum Zeitpunkt des Schreibens funktioniert der Proof-of-Concept mit vollständig gepatchtem Avast Antivirus auf einem gepatchten Windows 11 25H2, und Chaotic Eclipse glaubt, dass die Schwachstelle auch andere Gen-Digital-Produkte wie AVG und Norton betreffen könnte. Ein Gen-Sprecher sagte, das Unternehmen sei kürzlich auf die Schwachstelle aufmerksam gemacht worden, habe Sicherheitsreaktionsverfahren eingeleitet und entwickle aktiv einen Patch.

Für Organisationen, die Windows-Endpoints neben Webhosting- und Cloud-Diensten betreiben, kann ein sicherheitsorientierter IT-Partner wie AEU-I helfen, sicherzustellen, dass Endpoint-Richtlinien, Ausnahmen und Updates überprüft und konsistent mit den Anbieteranweisungen wie dem CrowdStrike Tech Alert gehalten werden.