FalconFlank: Ihr EDR als Angriffspfad zur Rechteausweitung

Was feststeht

Der Autor ist ein Forscher, der als Chaotic Eclipse, Nightmare Eclipse, INFINITE NIGHTMARE und MSNightmare auftritt, derselbe, der in den letzten Monaten regelmäßig Windows-Zero-Days veröffentlicht hat. Wir haben hier im Mai über sein MiniPlasma geschrieben und im Juli über LegacyHive. Der PoC-Code liegt öffentlich auf GitHub.

Harte Fakten aus dem Repository und aus der Kommunikation des Herstellers:

• Der PoC läuft auf vollständig aktualisiertem Windows 11 25H2 sowie Windows Server 2025 mit Falcon in einer Phase-3-Richtlinie (Optimal Protection).
• Voraussetzung ist die Funktion zum Entfernen schädlicher Makros aus Microsoft-Office-Dateien.
• Kevin Beaumont hat öffentlich bestätigt, dass der Exploit funktioniert, ebenso mehrere andere aus derselben Serie.
• CrowdStrike untersucht den Fall und empfiehlt, die Richtlinie „Microsoft Office File Suspicious Macro Removal“ für Windows zu deaktivieren. Der Schutz vor schädlichen Makros bleibt bei Cloud Anti-malware for Microsoft Office Files. Im Support-Portal gibt es einen eigenen Tech Alert namens FalconFlank.
• Eine CVE wurde nicht vergeben. Einen Patch gibt es nicht.

Warum eine Schutzfunktion zum Angriffsprimitiv wird

Ein Bereinigungsmechanismus muss mit hohen Rechten laufen. Er soll Dateien an Orten löschen, verschieben und ändern, an die ein normaler Benutzer nicht herankommt. Das ist kein Konstruktionsfehler. Das ist die Bedingung dafür, dass er überhaupt arbeitet.

Das Problem beginnt, wenn ein Prozess unter SYSTEM eine Datei unter einem Pfad schreibt, den der Benutzer beeinflussen kann. Windows liefert dafür das Werkzeug mit: Analysepunkte, also Junctions und Symlinks. Der Angreifer bereitet in seinem Profil eine Verzeichnisstruktur vor, legt ein Dokument ab, das die Bereinigung auslöst, und lenkt den Schreibpfad dorthin um, wo er selbst nichts schreiben dürfte.

Bei FalconFlank ist die Zieldatei:

C:\Windows\System32\WindowsPowerShell\v1.0\bcrypt.dll

Auf einem sauberen System existiert diese Datei nicht. Die echte Bibliothek bcrypt.dll liegt in System32. Beim Laden von Bibliotheken durchsucht Windows aber zuerst das Verzeichnis der Anwendung selbst, und powershell.exe liegt genau in v1.0. Es reicht also, dass irgendein PowerShell-Prozess im SYSTEM-Kontext startet (geplante Aufgabe, Startskript, Verwaltungswerkzeug), und die untergeschobene Bibliothek läuft mit seinen Rechten.

Der ganze Trick besteht darin, dass der Angreifer kein Schreibrecht auf System32 braucht. Er braucht nur einen Prozess, der es hat, und die Möglichkeit, ihm zu zeigen, wohin er schreiben soll. Falcon liefert beides.

Das ist kein Ausrutscher eines Herstellers

In den letzten Wochen hat derselbe Forscher eine Serie von Exploits veröffentlicht, die auf derselben Idee beruhen:

• ShieldBreak (CVE-2026-69414) in Microsoft Defender, wo die Bereinigungsengine eine kontrollierte Bibliothek als C:\Windows\System32\phoneinfo.dll schreibt und die Ausführung unter SYSTEM über die eingebaute Windows-Error-Reporting-Aufgabe kommt. Das ist eine Umgehung des Patches für CVE-2026-50656.
• HardBreacher in Kaspersky Endpoint Security 14.0.0.504.
• PrettyPrague in Avast, das die SAM-Datenbank über eine Schwachstelle in der Produktsandbox ausliest. Gen Digital hat das Problem bestätigt und arbeitet an einer Korrektur.

Davor kamen RedSun (Cloud Files API plus TieringEngineService), LegacyHive, bei dem ein normaler Benutzer über den User Profile Service den Registrierungsstock eines Administrators einhängt, und MiniPlasma, das eine 2020 geschlossene Lücke im Treiber cldflt.sys wiederbelebt. Jedes Mal ein anderer Korridor im System, dasselbe Muster: privilegierter Schreibzugriff plus ein Pfad unter Kontrolle des Angreifers.

Beaumont hat das ohne Umschweife gesagt: Das Qualitätsproblem der Sicherheitsprodukte selbst ist breiter als ein Hersteller. Dem ist schwer zu widersprechen. Gewöhnlich erklären wir Kunden, dass eine Sicherheitskontrolle Risiko senkt. Diese Serie erinnert daran, dass eine Sicherheitskontrolle auch Software ist, also Fehler hat, und auf 100 Prozent der Stationen im Unternehmen steht.

Was das für Ihr Risiko bedeutet

Reichweite. EDR steht auf jedem Endpunkt, fast immer unter einer einheitlichen Richtlinie. Eine Schwachstelle im Agenten betrifft nicht einen Server, sondern die ganze Flotte auf einmal, mit derselben Konfiguration.

Stelle in der Angriffskette. FalconFlank bricht nicht selbst ein, belegt aber genau die Stufe, die zwischen Phishing und ernsten Problemen fehlt. SYSTEM auf einer Station bedeutet Zugriff auf Anmeldeinformationen im Speicher, das Abschalten von Schutzmechanismen, seitliche Bewegung und weiter die Domäne. Ransomware braucht genau diesen Schritt.

Erkennbarkeit. Der Autor hat selbst geschrieben, dass CrowdStrike vermutlich Signaturen für den veröffentlichten PoC hat und dass eine Änderung der Bibliotheksladetechnik reicht, um sie zu umgehen. Die Erkennung einer konkreten Datei ist also keine Gegenmaßnahme gegen die Schwachstelle, sondern gegen eine Implementierung.

Und der unbequemste Punkt für CISOs: Die empfohlene Gegenmaßnahme besteht darin, eine Schutzfunktion abzuschalten. Sie zahlen mit dem Schutz vor einer Bedrohung dafür, eine andere zu schließen. Das ist eine Risikoentscheidung, kein operativer Auftrag, und sie sollte irgendwo mit Datum und Namen festgehalten werden.

Was Sie in dieser Woche tun sollten

• Deaktivieren Sie in der Falcon-Konsole die Richtlinie „Microsoft Office File Suspicious Macro Removal“ für Windows, wie der Hersteller empfiehlt, und prüfen Sie, ob Cloud Anti-malware for Microsoft Office Files aktiv ist.
• Öffnen Sie den Tech Alert FalconFlank im CrowdStrike-Supportportal und weisen Sie jemandem die Verfolgung bis zum Patch zu. Herstellerempfehlungen bei ungepatchten Fehlern ändern sich von Tag zu Tag.
• Überwachen Sie das Auftauchen der Datei unter dem Pfad aus dem technischen Abschnitt. Auf einem sauberen System gibt es sie nicht, jedes Vorkommen ist daher für sich ein Alarm.
• Bauen Sie eine Suchregel auf die Sequenz: ein Falcon-Bereinigungsereignis und unmittelbar danach das Schreiben einer neuen DLL in ein Systemverzeichnis oder ein Kindprozess mit SYSTEM-Rechten.
• Kontrollieren Sie Änderungen an Falcon-Ausschlüssen. Das Hinzufügen eines Ausschlusses ist einer der beiden Wege, mit denen der PoC-Autor den Exploit starten will.
• Begrenzen Sie das Problem an der Quelle. Blockieren Sie Makros in Dateien aus dem Internet über die Office-Richtlinie (Block macros from running in Office files from the Internet). Hat die Bereinigung nichts zu säubern, hat sie nichts zu lenken.
• Prüfen Sie, ob andere Sicherheitsagenten in der Umgebung von derselben Welle betroffen sind. Kaspersky und Avast stehen bereits auf der Liste.

Ein schneller Test auf die untergeschobene Bibliothek:

$p = "$env:SystemRoot\System32\WindowsPowerShell\v1.0\bcrypt.dll"
if (Test-Path $p) {
    Write-Warning "Plik nie powinien istnieć w tej lokalizacji."
    Get-Item $p | Select-Object FullName, CreationTime, LastWriteTime, Length
    Get-AuthenticodeSignature $p | Select-Object Status, SignerCertificate
} else {
    "OK: brak pliku w katalogu PowerShella."
}

Das Ergebnis OK heißt nur, dass dieser eine Pfad im Moment sauber ist. Es heißt nicht, dass die Schwachstelle Sie nicht betrifft.