첫 수
2026년 9월 2일에서 한 보안 연구원이 CrowdStrike Falcon 센서를 겨냥한 로컬 권한 상승 익스플로잇인 ‘ FalconFlank’를 공개했습니다. Falcon을 사용하지 않는 분이라도 이 글을 읽어볼 가치가 있는 이유는 바로 여기에 있습니다. 이 익스플로잇은 EDR을 무력화시키는 것이 아니라, EDR이 직접 작업을 수행하도록 유도하기 때문입니다. 이 악성코드는 부비트랩이 설치된 매크로 문서를 심은 다음, 권한이 있는 정리 작업을 재지정하여 Falcon 자체적으로 악성 bcrypt.dll 파일을 PowerShell 디렉터리에 작성하게 하며, 이 파일은 해당 디렉터리에서 SYSTEM 권한으로 사이드로드됩니다. 이는 의 ‘ShieldBreak’와 같은 유형의 공격으로, 보안 제품 자체의 SYSTEM 권한이 오히려 그 제품을 공격하는 데 악용된 사례입니다.
| 위협 | 대응팀 | 결과 |
|---|---|---|
| CrowdStrike Falcon의 로컬 권한 상승 제로데이 취약점. CVE가 없고, 공급업체의 수정 패치도 없으며, 심어진 DLL은 스스로 삭제됩니다. | HuntIQ 위협 연구 + Tanium Atlas — AI 기반 도구의 지원을 받는 전문 보안 전문가들. | 출처에서 인용한 것으로, Tanium Atlas 기반 탐지 작업에서 직접 활용된 행동 패턴입니다. |
“EDR이 오히려 자신을 겨냥하는 무기가 되어버렸을 때, 그 같은 요원에게 자신이 깨끗한지 물어볼 수는 없다.” “Tanium Atlas를 사용하면 엔드포인트 자체, 즉 실제로 기록된 동작을 직접 확인함으로써, 해킹당한 도구에서 나온 스캔 결과가 아닌 전체 기기 군에 대한 정확한 답변을 단 몇 초 만에 얻을 수 있습니다.”
— 아론 스미스, 위협 탐지 팀장
신속 대응이 어떻게 이루어졌는지
HuntIQ 위협 연구팀은 분석 보고서가 나올 때까지 기다리지 않았다. 연구자가 공개한 코드를 직접 분석한 연구팀은 이 악성코드의 전체적인 작동 방식, 즉 함정 파일이 어떻게 심어지는지, 어떻게 팔콘(Falcon)을 속여 해당 파일을 신뢰할 수 있는 시스템 폴더로 이동시키는지, 그 신뢰를 이용해 시스템에 대한 완전한 제어권을 확보하는지, 그리고 마지막으로 흔적을 지우는 과정을 면밀히 검토했다.
이를 바탕으로 팀은 이를 탐지하기 위한 다양한 방법론과 탐지 체계를 구축했습니다. 이 중 어느 것도 파일을 찾는 데 의존하지 않습니다. 찾아보려고 할 때쯤이면 파일은 이미 사라져 버리기 때문입니다. 대신, 그들은 공격이 남기는 흔적, 즉 페이로드 로딩, 이를 실행하는 특이한 프로그램 실행 순서, 페이로드가 임시로 저장되는 폴더, 그리고 애초에 실행되는 익스플로잇 등을 주시합니다.
그러고는 그 모든 사냥 내용을 하나의 프롬프트에 담았습니다. ‘헌터’가 이를 운영하며, 타늄 아틀라스는 전체 함대 전반에 걸쳐 그 일곱 가지 신호를 하나하나 — 현재 상황은 물론 과거 기록까지 — 점검하고, 재검토할 가치가 있는 항목을 표시한 뒤, 명확하고 우선순위가 매겨진 보고서를 제출합니다. 이를 수행하기 위해 네트워크 외부로 전송되는 데이터는 없습니다. 당사의 테스트 차량군에서 전체 점검 결과는 약 60초 만에 이상이 없음을 나타냈으며, 어떤 차량이 그 결과를 신뢰할 수 있을 만큼 충분한 가시성을 확보했는지에 대한 솔직한 설명도 함께 제공되었습니다. 그것이 ‘정확한 사냥’과 ‘무작정 추측’의 차이입니다.
/hunt FalconFlank — CrowdStrike Falcon LPE. 모든 Windows 엔드포인트를 스캔하십시오. 심어진 DLL은 자동으로 삭제되므로, 파일 존재 여부보다는 레코더/행동 증거를 우선적으로 확인하십시오. 다음 항목을 확인하십시오: (1) C:\Windows\System32\WindowsPowerShell\v1,0\ (T1574,002)에서 bcrypt.dll을 불러오는 모든 프로세스; (2) 해당 v1,0 디렉터리(T1574,001) 내의 모든 .dll 파일 생성 또는 쓰기 작업; (3) SYSTEM 계통의 svchost.exe -k netsvcs → powershell.exe → cmd.exe (T1068); (4) %TEMP% 아래에 Flanker_*라는 이름의 스테이징 디렉터리 (T1006); (5) MareBackup 작업의 실행 — 실제 프로세스는 CompatTelRunner.exe -m:aemarebackup.dll이므로, 명령줄에서 "aemarebackup.dll"을 검색하고, 정상적인 일일 실행 주기를 기준선으로 삼아, 일정 외 또는 비정상적인 빈도로 실행되는 경우에만 표시해야 합니다 (T1053,005); (6) FALCONFLANK라는 이름의 명명된 파이프 (\\?\pipe\FALCONFLANK); (7) FalconFlank.exe 실행 (T1204,002).의 Tanium Security Operations( )는 위협의 명칭이 정해지기도 전에 노출을 탐지하고 확인하는 기능을 제공합니다.
