FalconFlank è il nome dato a un nuovo proof of concept che mostra una possibile escalation di privilegi su Windows quando è presente CrowdStrike Falcon Sensor. Il punto centrale della tecnica è l’abuso di una funzione pensata per aumentare la sicurezza, cioè la rimozione automatica di macro sospette nei file Microsoft Office.
In pratica, la catena di azioni sfrutta il percorso di remediation per ottenere scritture o caricamenti in contesti più privilegiati, fino a rendere possibile l’esecuzione con permessi elevati.
Il test descritto risulta funzionare su sistemi aggiornati come Windows 11 25H2 e Windows Server 2025, elemento che rende la segnalazione interessante per chi gestisce endpoint moderni e già patchati. In scenari reali, una vulnerabilità di privilege escalation non è sempre un punto di ingresso iniziale, ma diventa critica quando un attaccante ha già ottenuto un accesso limitato, ad esempio tramite phishing o malware, e vuole passare a privilegi di amministratore o di sistema per disabilitare difese, muoversi lateralmente o mantenere persistenza.
La risposta operativa indicata dal vendor include una misura di mitigazione specifica: disabilitare l’impostazione di Windows relativa alla rimozione di macro sospette nei file Office. Allo stesso tempo viene evidenziato che la protezione può continuare tramite le impostazioni di Cloud Anti-malware per i file Microsoft Office, suggerendo che la strategia corretta sia bilanciare compatibilità e sicurezza senza lasciare scoperti i controlli antimalware. Per i team IT e SOC questo significa verificare le policy applicate via GPO o MDM, controllare eventuali esclusioni e validare che le configurazioni cloud siano attive e correttamente monitorate.
Il caso FalconFlank si inserisce in un contesto più ampio di PoC recenti legati a prodotti di sicurezza endpoint, dove componenti ad alto privilegio e flussi di remediation possono diventare superfici di attacco. La lezione pratica è che anche gli strumenti EDR e antivirus, per la loro natura privilegiata, richiedono hardening costante, revisione delle policy e test di sicurezza continui su build aggiornate.