CrowdStrikeがFalconFlankのゼロデイを調査、PoCはSYSTEM権限奪取に到達 | eSecurity Planet

CrowdStrikeの顧客は、早急に設定変更を行う必要があります。同社は現在、権限の低いWindowsユーザーがFalcon保護下のエンドポイント上でSYSTEMレベルのアクセス権を取得できるとされる公開の概念実証(PoC)「FalconFlank」の調査を進めています。

CrowdStrikeは顧客に対し、Microsoft Office File Malicious Macro Removal設定を無効化するよう推奨しています。9月4日付の顧客向けTech Alertの更新によると、同社は攻撃チェーンの主要な段階に対する挙動ベースの防御策も展開済みで、悪用の兆候がないか調査を継続しているとのことです。

FalconFlankの概念実証は2026年9月3日に公開されました。9月7日時点でCVEは公式には割り当てられておらず、CrowdStrikeも実際の攻撃における悪用を確認したとは発表していません。独立系セキュリティ企業のVegaは、管理された検証環境でこの権限昇格を再現しています。

FalconFlankはローカルアクセスをSYSTEM権限に変換

FalconFlankは初期アクセス用のエクスプロイトではなく、ローカル環境における権限昇格の手法です。攻撃者は権限昇格を試みる前に、まず権限の低いWindowsユーザーとしてコードを実行できる状態になければなりません。今回の公開は、同様にローカルアクセスからSYSTEM権限への経路を露呈させた、直近のShieldBreak Windows Defenderの脆弱性に続くものです。

CrowdStrikeは調査が続く間、対象となるOfficeマクロ削除設定を無効化するよう顧客に推奨しました。同社によれば、防御ポリシーが自社のベストプラクティスに沿っている顧客は、Cloud Anti-malware for Microsoft Office Filesにより、悪意のあるOfficeファイルから引き続き保護されるとしています。

研究者によれば、このPoCは完全に更新されたWindows 11 25H2およびWindows Server 2025上で、Falconの「Phase 3 — Optimal Protection」設定とマクロ削除機能が有効な状態で動作するとのことです。CrowdStrikeは、これが影響を受けるシステムの完全なリストであるとは確認しておらず、修正済みのFalcon Sensorバージョンも特定していません。

Vegaはこのエクスプロイトを再現しました。手法としては、ユーザーが制御可能な場所に悪意のあるbcrypt.dllを配置し、ファイルシステムのリダイレクトとTransacted NTFSを利用して、保護されたPowerShellディレクトリを標的にするというものです。その後、Falconがインストールしたスケジュールタスク「MareBackup」がSYSTEM権限で実行され、改ざんされたDLLを読み込むことで、攻撃者が制御するコードがSYSTEM権限で実行されてしまいます。

Vegaの報告によれば、テスト中、最終的な上書き処理はFalconのテレメトリには表れなかったとのことです。最新のエンドポイント検知・対応(EDR)ツールであれば、攻撃者が容易に変更できるファイル名などのPoC特有の痕跡だけに頼るよりも信頼性の高い方法として、攻撃チェーン全体にわたる挙動を相関的に分析できます。

対応の柱となるCrowdStrikeの緩和策

組織はまずCrowdStrikeの設定変更を適用したうえで、残存するリスクに対する脅威ハンティング、エンドポイント対策、対応態勢を強化すべきです。

• 対象となるマクロ削除設定を無効化する。CrowdStrikeの指示に従い、Microsoft Office File Malicious Macro Removalをオフにする
• 残りのOffice保護機能が有効であることを確認する。防御ポリシーがCrowdStrikeのベストプラクティスに準拠し、Cloud Anti-malware for Microsoft Office Filesが引き続き有効になっていることを確認する
• 攻撃チェーンの挙動をハンティングする。不審なDLLの配置、異常なbcrypt.dllの活動、名前付きパイプ、ファイルシステムのリダイレクト、想定外のMareBackup実行を監視する

• MareBackupと以前のファイル活動を関連付ける。同一エンドポイント上で、不審なDLL書き込みやファイルシステムの変更に続いて実行される処理を調査する
• 低権限コードの実行を制限する。最小権限の原則とアプリケーション制御を適用し、可能な範囲でユーザーが書き込み可能な場所からの実行を制限する
• インシデント対応計画をテストする。権限昇格の試みを検知・隔離・調査できる体制を確認し、分析に必要なWindowsおよびFalconのテレメトリを保持する
• CrowdStrikeのガイダンスを注視する。新たな検知手法、影響を受けるバージョン、修復ガイダンス、または修正済みFalcon Sensorのリリースについて、FalconFlank Tech Alertを継続的に確認する

CrowdStrikeの2026年版脅威ハンティングレポートによれば、観測された脆弱性攻撃の88%が公開PoCの登場から48時間以内に開始されていたとのことです。FalconFlankが調査中である現状において、この結果は緩和策と挙動ベースのハンティングの緊急性を一段と高めるものと言えます。

CrowdStrikeが決定的な修正策や影響を受けるシステムの更新された範囲を公表するまでの間、報告されている前提条件を取り除き、実証された攻撃チェーンの挙動を注視し、権限昇格を迅速に封じ込められる体制を整えておくことが優先事項となります。

関連記事: Microsoftの直近の2026年8月のセキュリティ更新でも、権限の低い攻撃者をSYSTEM権限まで昇格させ得る、実際に悪用されていたWindowsの脆弱性が修正されています。