CrowdStrike Falcon 19 Juli 2024: Forensik Crash Loop yang Menghentikan Dunia

Konteks Operasional

Insiden CrowdStrike Falcon pada 19 Juli 2024 merupakan contoh klasik bagaimana kerentanan dalam sistem keamanan endpoint dapat menyebabkan dampak global. Dengan 8.5 juta endpoint Windows yang terpengaruh, insiden ini mengakibatkan kerugian finansial mencapai $10 miliar. Metode yang digunakan, Pig Butchering (Sa Zhu Pan), menunjukkan tingkat kecanggihan yang tinggi dalam memanfaatkan bug dalam sistem validasi konten.

Vektor Awal & Lateral Movement

Vektor awal serangan ini adalah Channel File 291, yang mengandung data konfigurasi IPC template. File ini berhasil melewati Content Validator karena bug yang belum terdeteksi. Saat Falcon memuat file tersebut, terjadi akses out-of-bounds di sysmon driver, yang memicu page fault dalam kernel mode. Ini menyebabkan BSOD (Blue Screen of Death), diikuti oleh reboot dan re-trigger, menciptakan infinite crash loop. Lateral movement tidak diperlukan dalam kasus ini karena efeknya langsung meluas ke semua endpoint yang terpengaruh.

Pivot Yang Sering Diabaikan Defender

Pivot utama yang sering diabaikan oleh defender adalah validasi konten yang tidak memadai. Bug dalam Content Validator memungkinkan file yang mengandung kerentanan untuk melewati pemeriksaan keamanan. Selain itu, kurangnya staged rollout dan canary deployment membuat kerentanan ini menyebar dengan cepat ke seluruh jaringan sebelum dapat diidentifikasi dan diperbaiki.

Pelajaran untuk Tim Indonesia

• Implementasi Staged Rollout: Adopsi staged rollout dan canary deployment dapat mengurangi risiko penyebaran bug ke seluruh jaringan.
• Validasi Konten yang Ketat: Meningkatkan sistem validasi konten untuk memastikan bahwa semua file yang masuk telah melalui pemeriksaan keamanan yang komprehensif.
• Kernel-Bypass eBPF Detection: Pertimbangkan penggunaan kernel-bypass eBPF detection untuk mengurangi ketergantungan pada kernel mode dan menghindari potensi BSOD.

Indikator Detection Yang Bisa Dipasang Besok

• Monitoring File C-00000291*.sys: Buat aturan deteksi untuk memantau keberadaan dan penghapusan file C-00000291*.sys di seluruh endpoint.
• Page Fault dalam Kernel Mode: Implementasikan deteksi untuk page fault yang terjadi dalam kernel mode, terutama yang terkait dengan sysmon driver.
• BSOD dan Reboot Loop: Pasang sistem alert untuk mendeteksi pola BSOD dan reboot loop yang tidak biasa.