La primera jugada
En September 2, 2026, un investigador de seguridad ha publicado FalconFlank, un exploit de escalada de privilegios locales dirigido al sensor Falcon de CrowdStrike. He aquí el giro inesperado que hace que merezca la pena leerlo, incluso si no utiliza Falcon: el exploit no burla el EDR, sino que consigue que sea el propio EDR el que haga el trabajo. Inserta un documento macro con una trampa explosiva y, a continuación, redirige el proceso de limpieza con privilegios para que el propio Falcon escriba un archivo malicioso bcrypt.dll en el directorio de PowerShell, desde donde se instala de forma no autorizada con privilegios de SYSTEM. Se trata del mismo tipo de ataque que el denominado « » (ShieldBreak), en el que los propios privilegios de sistema de un producto de seguridad se vuelven en su contra.
| Amenaza | Equipo de intervención | Outcome |
|---|---|---|
| Vulnerabilidad de día cero de «zero-day» en CrowdStrike Falcon que permite la escalada de privilegios a nivel local. Si no hay CVE, no hay parche del fabricante; la DLL introducida se elimina automáticamente. | HuntIQ Threat Research + Tanium Atlas: cazadores humanos respaldados por herramientas asistidas por IA. | Reproducido de la fuente: patrones de comportamiento utilizados directamente en una operación de búsqueda dirigida por Tanium Atlas. |
«Cuando su EDR es precisamente lo que se vuelve en su contra, no puede preguntarle a ese mismo agente si está limpio». «Con Tanium Atlas preguntamos directamente al propio dispositivo —el comportamiento que realmente ha registrado— y obtenemos una respuesta real para todo el parque de dispositivos en cuestión de segundos, no un resultado de análisis procedente de una herramienta que ha sido comprometida».
— Aaron Smith, responsable de la detección proactiva de amenazas
Cómo funcionó la respuesta rápida
El equipo de investigación de amenazas de HuntIQ no esperó a que se publicara un informe. Partiendo directamente del código publicado por el investigador, el equipo analizó toda la técnica de ataque: cómo se inserta un archivo con trampa, cómo engaña a Falcon para que lo traslade a una carpeta de confianza del sistema, cómo aprovecha esa confianza para obtener el control total del equipo y, a continuación, cómo borra las pruebas de su paso.
A partir de ahí, el equipo desarrolló numerosas metodologías y sistemas de detección para detectarlo. Ninguna de ellas depende de que se encuentre el archivo, ya que este ya habrá desaparecido para cuando lo busque. En su lugar, prestan atención al comportamiento que deja tras de sí el ataque: la carga de la carga útil, la secuencia inusual de programas que la ejecutan, las carpetas temporales en las que se almacena temporalmente y el propio exploit que se ejecuta en primer lugar.
A continuación, resumieron toda la cacería en una sola indicación. Lo gestiona un «cazador», y Tanium Atlas comprueba cada una de esas siete señales en toda la flota —tanto en el presente como retrospectivamente—, señala cualquier cosa que merezca una segunda mirada y entrega un informe claro y ordenado por importancia. No hay nada en la red que lo permita. En nuestra propia flota de pruebas, el análisis completo se completó sin errores en unos sesenta segundos, con una indicación clara de qué equipos contaban con la visibilidad necesaria para confiar en ese resultado. Esa es la diferencia entre una caza bien ejecutada y una conjetura.
/hunt FalconFlank — CrowdStrike Falcon LPE. Analice todos los dispositivos finales de Windows; dé prioridad a las pruebas de grabación o de comportamiento frente a la mera existencia de archivos, ya que la DLL implantada se elimina automáticamente. Busque: (1) cualquier proceso que cargue bcrypt.dll desde C:\Windows\System32\WindowsPowerShell\v1.0\ (T1574.002); (2) la creación o escritura de cualquier archivo .dll en ese directorio v1.0 (T1574.001); (3) la cadena de ejecución del sistema svchost.exe -k netsvcs → powershell.exe → cmd.exe (T1068); (4) directorios intermedios denominados Flanker_* en %TEMP% (T1006); (5) ejecuciones de la tarea MareBackup —su proceso real es CompatTelRunner.exe -m:aemarebackup.dll—, por lo que debe buscar «aemarebackup.dll» en las líneas de comando, establecer como referencia la cadencia diaria habitual y marcar únicamente las ejecuciones fuera de horario o con una frecuencia anómala (T1053.005); (6) la tubería con nombre FALCONFLANK (\\?\pipe\FALCONFLANK); (7) ejecución de FalconFlank.exe (T1204.002).Esto es lo que ofrece Tanium Security Operations : la detección y confirmación de la exposición antes incluso de que se haya identificado la amenaza.
