FalconFlank sfrutta CrowdStrike Falcon per ottenere privilegi elevati su Windows

🛡️ Executive Summary

• Nightmare Eclipse pubblica FalconFlank, PoC presentato come zero-day di privilege escalation nel sistema di remediation delle macro di CrowdStrike Falcon Sensor.
• Il ricercatore dichiara test riusciti su Windows 11 25H2 e Windows Server 2025 aggiornati con Falcon configurato in Phase 3 Optimal Protection.
• Non risulta ancora una CVE pubblica né un advisory CrowdStrike dedicato: il claim tecnico resta attribuito al ricercatore in attesa della risposta del vendor.

Un nuovo proof-of-concept pubblico prende di mira uno dei prodotti EDR più diffusi negli ambienti enterprise. Il ricercatore conosciuto come Chaotic Eclipse, Nightmare Eclipse e MSNightmare ha pubblicato FalconFlank, una tecnica presentata come zero-day di privilege escalation contro CrowdStrike Falcon Sensor su Windows. La particolarità è il componente utilizzato: l’attacco abusa della funzione con cui Falcon interviene sui documenti Microsoft Office contenenti macro malevole, trasformando il meccanismo di remediation del prodotto di sicurezza in parte del percorso verso privilegi superiori. Il ricercatore dichiara che il PoC funziona su sistemi Windows 11 25H2 e Windows Server 2025 completamente aggiornati. CrowdStrike, al momento della disclosure pubblica, non aveva ancora diffuso un advisory specifico.

FalconFlank abusa della remediation delle macro di CrowdStrike Falcon

Nel repository originale FalconFlank pubblicato da MSNightmare il ricercatore definisce il progetto una zero-day di privilege escalation che sfrutta il comportamento di CrowdStrike Falcon durante la remediation delle macro Microsoft Office considerate malevole. Il prerequisito dichiarato è una configurazione Falcon con Phase 3 Optimal Protection e la funzione “Microsoft Office file malicious macro removal” abilitata. Il PoC sarebbe stato verificato dall’autore sia su Windows 11 25H2 sia su Windows Server 2025 aggiornati. La disclosure non è accompagnata, al momento, da un identificativo CVE, da un bollettino tecnico pubblico del vendor o da una conferma indipendente sufficientemente articolata da trasformare tutte le affermazioni dell’autore in fatti definitivamente accertati.

La distinzione è importante: esiste codice pubblico e una descrizione tecnica concreta, ma FalconFlank resta per ora una vulnerabilità rivendicata dal ricercatore, non una falla formalmente classificata da CrowdStrike. La vicenda arriva proprio mentre la società sta ampliando Falcon con sistemi agentici di difesa: CrowdStrike e NVIDIA hanno appena presentato SafeMind per far competere continuamente agenti offensivi e difensivi, rendendo particolarmente delicata una disclosure che colpisce direttamente il sensore endpoint alla base dell’architettura.

Il prodotto di sicurezza diventa una primitiva per l’escalation

La caratteristica più importante di FalconFlank non è semplicemente l’esistenza di un’altra local privilege escalation su Windows, ma il riutilizzo di un’operazione privilegiata eseguita dal software difensivo. Gli EDR devono necessariamente disporre di capacità molto elevate: controllano processi, intervengono sui file, eseguono remediation, applicano policy e monitorano attività che avvengono nel sistema operativo. Questa posizione privilegiata è ciò che consente loro di bloccare un attacco, ma diventa anche una superficie interessante quando un processo meno privilegiato riesce a influenzare ciò che il motore di sicurezza farà successivamente. FalconFlank viene descritto esattamente in questa categoria. Invece di tentare semplicemente di spegnere Falcon, il PoC cerca di indirizzarne il comportamento di bonifica verso un risultato vantaggioso per l’utente locale. È un paradigma già osservato su altri prodotti: BTR Reforged usa un driver Microsoft Defender per interferire con EDR e antivirus, anche se in quel caso il meccanismo e l’obiettivo tecnico sono differenti.

Leggi anche: ShieldBreak aggira la correzione di RoguePlanet e usa Microsoft Defender per tornare a SYSTEM

Il PoC pubblico non equivale ancora a sfruttamento attivo

La pubblicazione del codice riduce inevitabilmente la distanza tra ricerca e possibile weaponization, ma non esistono al momento elementi pubblici che dimostrino l’utilizzo di FalconFlank in attacchi reali. Questo punto deve essere separato dalla verificabilità del PoC. Un exploit disponibile su GitHub permette a ricercatori, red team e potenziali aggressori di studiare il comportamento segnalato e provare a riprodurlo, ma l’esistenza del repository non costituisce una prova di exploitation in-the-wild. Lo stesso autore sostiene inoltre che CrowdStrike potrebbe avere già implementato detection capaci di riconoscere la tecnica e avverte che il codice pubblicato potrebbe essere intercettato dalla piattaforma. Anche questa affermazione resta attribuita al ricercatore finché il vendor non chiarirà pubblicamente il proprio stato di remediation. Per gli amministratori, quindi, l’approccio corretto non consiste nel presumere che Falcon sia già compromesso né nell’escludere il prodotto dalle difese, ma nel verificare rapidamente versione del sensore, policy applicate, eventuali comunicazioni CrowdStrike e anomalie di escalation locale. La stessa distinzione tra PoC e attacco reale è risultata centrale nelle recenti tecniche capaci di disarmare Defender attraverso BTR.sys senza evidenze iniziali di sfruttamento operativo.

Nightmare Eclipse continua a studiare i meccanismi privilegiati degli antivirus

FalconFlank appartiene a una sequenza più ampia di disclosure pubblicate dallo stesso ricercatore. Pochi giorni prima era stato diffuso HardBreacher, PoC contro Kaspersky Endpoint Security for Windows 14.0.0.504, mentre ad agosto era arrivato ShieldBreak, successivamente associato a CVE-2026-69414 e presentato come bypass della precedente correzione di RoguePlanet, CVE-2026-50656, in Microsoft Defender. Il filo comune non è il vendor ma il modello di attacco: individuare operazioni effettuate con privilegi elevati dal software di sicurezza e cercare condizioni nelle quali un utente locale possa influenzarne il risultato. Microsoft aveva successivamente confermato di essere al lavoro su una correzione per ShieldBreak, mostrando perché una disclosure inizialmente presentata come zero-day debba essere seguita fino alla risposta tecnica del produttore. Con FalconFlank questo passaggio deve ancora avvenire pubblicamente.

Una privilege escalation locale resta utile dopo il primo accesso

FalconFlank non viene descritto come un vettore remoto capace di compromettere autonomamente un endpoint esposto a Internet. Il valore offensivo di una local privilege escalation emerge normalmente dopo che l’attaccante dispone già della possibilità di eseguire codice nel contesto di un utente meno privilegiato. Quel foothold può provenire da phishing, credenziali compromesse, software malevolo, vulnerabilità applicative o accesso interattivo ottenuto attraverso altri mezzi. Elevare successivamente i privilegi permette di intervenire su servizi, file protetti, configurazioni di sistema e meccanismi di persistenza. Per questo i bug che coinvolgono EDR e antivirus sono particolarmente sensibili: l’attaccante non ottiene soltanto un livello superiore di accesso, ma può trovarsi a manipolare proprio il componente incaricato di rilevare ciò che sta facendo. La dinamica ricorda, pur con tecniche diverse, le campagne nelle quali operatori ransomware cercano esplicitamente di neutralizzare EDR e Defender prima della fase distruttiva.

Continua con:

• Cursor AI e Claude vengono utilizzati per sviluppare tecniche capaci di evadere EDR e CrowdStrike
• Microsoft corregge RoguePlanet ma lascia aperta la corsa alle escalation contro Defender

CrowdStrike deve chiarire impatto, versioni e remediation

Il punto decisivo è ora la risposta di CrowdStrike. Senza un advisory del produttore non è ancora possibile stabilire pubblicamente quali versioni del Falcon Sensor siano interessate, se il problema dipenda esclusivamente dalla configurazione indicata dal ricercatore, se esistano mitigazioni server-side già distribuite oppure se sia necessario un aggiornamento del sensore. Anche l’eventuale assegnazione di una CVE permetterà di definire meglio severità e condizioni di sfruttamento. Fino a quel momento, FalconFlank deve essere trattato come un PoC pubblico credibile ma ancora in fase di validazione rispetto alla posizione ufficiale del vendor.

La disclosure evidenzia comunque un problema più generale della sicurezza endpoint. Antivirus ed EDR operano con privilegi elevati proprio perché devono poter modificare il sistema per fermare un attacco; ogni funzione di remediation diventa quindi una componente che deve essere progettata assumendo che input e stato del filesystem possano essere controllati da un avversario. FalconFlank porta questa questione direttamente dentro CrowdStrike Falcon: non tenta semplicemente di oltrepassare la protezione, ma sostiene di sfruttare il processo con cui la protezione stessa prova a eliminare un contenuto malevolo. Finché CrowdStrike non pubblicherà la propria analisi, la priorità per i difensori resta seguire gli aggiornamenti del vendor, mantenere i sensori allineati alle versioni più recenti e monitorare con particolare attenzione le escalation di privilegi sugli endpoint Windows protetti da Falcon.