発端
2026年9月2日、あるセキュリティ研究者が、CrowdStrike Falconセンサーを標的としたローカル権限昇格エクスプロイト「FalconFlank」を公開しました。 Falconを使っていない組織にとっても読む価値がある理由はここにあります。このエクスプロイトはEDR(エンドポイント検知・対応)を打ち負かすのではなく、EDR自身にその作業をやらせるのです。 攻撃者は罠を仕掛けたマクロ文書を設置し、その後、権限を持つクリーンアップ処理をリダイレクトすることで、Falcon自身に不正なbcrypt.dllをPowerShellディレクトリに書き込ませます。 このDLLはSYSTEM権限でサイドロードされます。これは ShieldBreakと同じ種類の攻撃で、セキュリティ製品自身が持つSYSTEM権限を、その製品自身に対して悪用するものです。
| 脅威 | 対応チーム | Outcome |
|---|---|---|
| CrowdStrike Falconのローカル権限昇格ゼロデイ。 CVEなし、ベンダー修正なし。仕込まれたDLLは自己削除する。 | HuntIQ脅威リサーチ + Tanium Atlas — AI支援ツールのサポートを受けた、人間のハンター。 | ソースから再現し、Tanium Atlasを活用したハンティングの中で、振る舞いパターンを直接活用。 |
「自社のEDRそのものが攻撃に利用されている場合、その同じエージェントに『自分は無事か』と尋ねるわけにはいきません。 Tanium Atlasを使えば、エンドポイント自身に、実際に記録された振る舞いそのものを問いかけ、侵害されたツールからのスキャン結果ではなく、フリート全体にわたる本当の答えを、数秒で得ることができます。
脅威ハンティング部門長 Aaron Smith
迅速な対応がどのように行われたか
HuntIQ脅威リサーチチームは、詳細レポートの公開を待つことなく、対応を開始しました。 研究者が公開したコードを直接読み込み、罠を仕掛けたファイルの設置方法、Falconを騙して信頼されたシステムフォルダにそのファイルを移動させる手口、その信頼を利用してマシンを完全に制御する流れ、そしてその証拠を削除する手順まで、攻撃の手口全体をチームでレビューしました。
そこから、これを検知するための数多くの手法と検知ルールを構築しました。 いずれもファイルの発見には依存していません。なぜなら、調査する頃にはファイルはすでに消えているからです。 代わりに、攻撃が残す振る舞いに注目します:ペイロードの読み込み、それを実行する一連のプログラムの不自然な順序、ステージングに使われる一時フォルダ、そしてエクスプロイトそのものの実行です。
そして、そのハンティング全体を1つのプロンプトに詰め込みました。 ハンターがそれを実行すると、Tanium Atlasがこれら7つのシグナルすべてを、フリート全体にわたって、現在時点から過去の履歴まで確認し、注目すべき点にフラグを立て、明確でランク付けされたレポートを返します。 この作業のために、データがネットワークの外に出ることはありません。 自社のテストフリートでは、約60秒でスイープ全体がクリーンという結果になり、どのマシンがその結果を信頼するのに十分な可視性を持っていたかについても、正直な注記が添えられました。 これこそが、「クリーンなハンティング」と「単なる推測」の違いです。
/hunt FalconFlank — CrowdStrike Falcon LPE。 すべてのWindowsエンドポイントをスキャン。仕込まれたDLLは自己削除するため、ファイルの存在よりRecorder/振る舞いの証拠を優先すること。 以下の点を確認してください：(1) C:\Windows\System32\WindowsPowerShell\v1.0\ (T1574.002) から bcrypt.dll を読み込んでいるプロセスがあるかどうか；(2) その v1.0 ディレクトリ (T1574.001) 内で .dll ファイルが作成または書き込みされているかどうか； (3) SYSTEM 権限の svchost.exe -k netsvcs → powershell.exe → cmd.exe のプロセス連鎖 (T1068)；(4) %TEMP% 配下に存在する Flanker_* という名前のステージングディレクトリ (T1006)； (5) MareBackup タスクの実行 — その実際のプロセスは CompatTelRunner.exe -m:aemarebackup.dll ですので、コマンドラインで「aemarebackup.dll」を検索し、通常の毎日の実行頻度を基準として、スケジュール外または異常な頻度での実行のみをフラグ付けしてください (T1053.005)； (6) 名前付きパイプ FALCONFLANK (\\?\pipe\FALCONFLANK); (7) FalconFlank.exe の実行 (T1204.002)。これこそ、 Tanium Secutiry Operations が実現するもの - 脅威に名前が付く前に、その検知とエクスポージャーの確認を行う - です。
