LONDON (IT BOLTWISE) – Ein Sicherheitsforscher hat einen neuen Zero-Day namens FalconFlank veröffentlicht, der eine Privilegeskalation in CrowdStrikes Falcon Sensor ermöglichen soll. Der Ansatz nutzt den Office-Malicious-Macros-Remediation-Weg und zielt auf eine DLL-Ladelogik innerhalb des Sensors. Für einen Test müsse der Code offenbar entweder in die Exclusion-Liste aufgenommen oder so verschleiert werden, dass die PoC-Dynamik nicht sofort blockiert. Der Forscher ordnet die Veröffentlichung in eine Reihe weiterer Privilegeskalations-Experimente ein, darunter PoCs gegen Kaspersky- und Microsoft-Defender-Komponenten.
Ein neuer Zero-Day namens FalconFlank sorgt aktuell für zusätzliche Unruhe im Endpoint-Security-Ökosystem: Ein Sicherheitsforscher mit dem Alias Chaotic Eclipse (alias INFINITE NIGHTMARE, MSNightmare und Nightmare-Eclipse) beschreibt im GitHub-Kontext eine Privilege-Eskalation, die sich auf CrowdStrikes Falcon Sensor beziehen soll. Im Kern geht es dabei nicht um einen „beliebigen“ Systemfehler, sondern um einen konkreten Missbrauchsweg: Der PoC soll die Office-Malicious-Macros-Remediation ausnutzen, um später Kontrolle über den Sensor-Kontext zu gewinnen. Das ist technisch relevant, weil Remediation-Pfade oft als „Sicherheit durch Aufräumen“ verstanden werden und damit weniger häufig im Fokus tiefergehender Angriffsmodellierung stehen als klassische Ausnutzungsflächen wie Browser- oder Office-Parsing.
Der Forscher legt zudem offen, dass die PoC-Validierung an einer Hürde hängt, die viele moderne EDR/AV-Setups aus der Praxis kennen: Das Testen kann offenbar nur funktionieren, wenn der Angriffscode entweder in den Ausschlüssen erlaubt wird oder die Auslieferung so verschleiert wird, dass die Detektion nicht sofort greift. Diese Aussage bedeutet im Umkehrschluss, dass die Erkennung im Produkt möglicherweise bereits vorhanden sein kann; der Forscher schreibt, CrowdStrike könnte „dazu bereits Detections“ haben. Technisch lässt sich daraus ableiten, dass das Problem weniger an der „Grundlogik“ der Ausnutzung hängt, sondern an der Frage, wie der Remediation- und DLL-Ladepfad zu einem steuerbaren Zustand wird, bevor Schutzmechanismen oder Telemetrie das Setup unterbrechen.
Als Zielumgebungen nennt der Forscher konkret „vollständig aktualisierte“ Windows 11 25H2-Installationen sowie Windows Server 2025, jeweils in Kombination mit CrowdStrike Falcon. Außerdem beschreibt er eine konkrete Wirkungskette: Je nachdem, ob der PoC erfolgreich läuft, soll er eine DLL unter C: \Windows\System32 (genauer: MY_SNAKE_IS_SOLID.dll) mit vollen Berechtigungen für den aktuellen Benutzer ablegen. Diese Kombination aus (1) Write in ein Systemverzeichnis und (2) der nachfolgenden Erwartung vollständiger Rechte ist für Security-Teams ein Warnsignal, weil sie typischerweise auf die Umgehung von Privileg-/Integritätsgrenzen im Prozess- oder Remediationkontext hindeutet. Für die Verteidigung ist dabei entscheidend, welche Signale EDRs im Zusammenspiel aus Office-Remediation, Prozesskontext und DLL-Loading erkennen können, statt nur nach dem finalen Artefakt zu suchen.
Ein weiterer Kontextstrang: FalconFlank kommt wenige Tage nach dem Release eines PoCs für eine andere Privilege-Eskalation, diesmal gegen ein Windows-Endpoint-Produkt von Kaspersky (Version 14.0.0.504). Diese Ausnutzung trägt die Bezeichnung HardBreacher und wird vom Forscher als „nicht in der besten Form“ beschrieben; das klingt nach einem funktionierenden, aber fragilen Proof-of-Concept, der bei Fehlern wiederholt werden muss. Interessant ist zudem die Systembeschreibung: Laut Darstellung verliere Kaspersky die Kontrolle, sobald der UI-Prozess übernommen wird; dadurch seien Funktionsstörungen sowie unerwünschte Dateirechte möglich. Damit wird ein klassisches Muster sichtbar, das in vielen lokalen Eskalationsketten wiederkehrt: Statt nur auf Angriffsoberflächen zu zielen, wird die Interaktion zwischen UI-, Dienst- und Remediation-Komponenten als Schwachstelle genutzt.
Die Veröffentlichung reiht sich wiederum in eine breitere Serie von Windows-bezogenen PoCs ein. Im vergangenen Monat nannte der Forscher einen Zero-Day im Microsoft-Defender-Umfeld mit dem Namen ShieldBreak (auch referenziert als CVE-2026-69414), der Angreifern ermöglichen soll, Arbitrary Code mit NT AUTHORITY\SYSTEM Rechten auszuführen. Laut Quelle wird das als Patch-Bypass eingeordnet und mit CVE-2026-50656 (RoguePlanet) in Verbindung gebracht; zudem gibt es noch keinen Fix seitens Microsoft. Technisch schildert die Quelle eine Eskalationskette, bei der der Defender-„Clean“-Pfad umgelenkt wird, um einen Angreifer-Input als DLL in C: \Windows\System32\phoneinfo.dll zu schreiben; anschließend soll SYSTEM-Ausführung über den Windows Error Reporting Mechanismus erfolgen. Für die Verteidigung ist das vor allem deshalb heikel, weil solche Fehler nicht zwangsläufig an „klassischen“ Defender-Funktionen hängen, sondern an der Remediation-Implementierung, an Namespace-Manipulationen und Timing-Rennen in Cleanup-Pipelines.
Für Unternehmen folgt daraus weniger ein einzelnes „Patch-Problem“, sondern ein Infrastruktur-Thema: Endpoint-Sicherheitssoftware muss ihre Remediation- und Aufräumlogik so härten, dass sie unter adversarial conditions nicht zu einer Write-and-Execute-Kette wird. Praktisch heißt das, dass Schutzteams nicht nur Signature- oder Heuristikdetektionen gegen bekannte PoC-Artefakte einplanen sollten, sondern auch Prozesskontexte, in denen Tools (wie Office-Remediation) Rechte aus „gutem Willen“ ableiten. Gleichzeitig zeigt die Quelle, wie stark Test- und Forschungszyklen durch Produkt-Detektion und Exclusions beeinflusst werden können; das verschiebt Prioritäten in Richtung von Telemetrie- und Verhaltensmustern, die auch dann funktionieren, wenn ein PoC verschleiert wird oder nicht deterministisch startet. Auch hier spielt „Künstliche Intelligenz“ in der Verteidigung typischerweise eine ergänzende Rolle über Anomalieerkennung und Kontextkorrelation; entscheidend bleibt jedoch, dass solche Modelle klassische Hardening-Fehler nicht ersetzen können, sondern nur schneller auf ungewöhnliche Remediation- und DLL-Ladepfade hinweisen.
Unterm Strich macht FalconFlank die Angriffsfläche „Remediation“ einmal mehr zum Schwerpunkt. Der Forscher erwähnt außerdem, dass Microsoft Kommunikation und Fehlerreporting offenbar erschwere; ob und wie das konkret umgesetzt wurde, bleibt dabei durch die Quelle als Behauptung des Forschers beschrieben, eine abschließende Bewertung ist nicht Bestandteil der Meldung. Für die Praxis gilt: Teams sollten ihre Monitoring-Regeln für Sensor-/EDR-Remediationpfade überprüfen, insbesondere dort, wo Office-bezogene Makroaufbereitung, DLL-Loading und Systemverzeichnisse zusammenkommen. Der Markt hat solche Ketten über die Jahre zunehmend in den Griff bekommen, aber PoCs dieser Art erinnern daran, dass einzelne Komponentenwege immer wieder als unerwartete Kombinationsflächen auftauchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FalconFlank: Neue Zero-Day-Privilegeskalation gegen CrowdStrike Falcon" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FalconFlank: Neue Zero-Day-Privilegeskalation gegen CrowdStrike Falcon" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FalconFlank: Neue Zero-Day-Privilegeskalation gegen CrowdStrike Falcon« bei Google Deutschland suchen, bei Bing oder Google News!