Análise aprofundada revela arquitetura do CrowdStrike Falcon e falhas de detecção

A engenharia reversa do módulo csagent.sys do CrowdStrike Falcon oferece um raio-x completo do Endpoint Detection and Response (EDR). Este tipo de análise, que o CEVIU News tem coberto em matérias como a de junho de 2026 sobre a análise de drivers ASUS, é crucial para entender como produtos de segurança realmente funcionam e identificar possíveis lacunas.

O estudo detalha seis fontes de callback de kernel, como `PsSetCreateProcessNotifyRoutineEx` e `ObRegisterCallbacks`, que são os 'olhos' do Falcon no sistema. Ele mostra o mecanismo de 'kill' de processos (um `NTSTATUS` negativo para `CreateInfo+64`) e como detecta injeções de thread como `CreateRemoteThread`. Pontos críticos incluem a dependência da detecção na resolução de hash/assinatura e falhas quando os callbacks de objeto são executados em modo kernel, abrindo brechas para bypasses.

Entender a arquitetura interna de EDRs como o CrowdStrike Falcon é fundamental para defensores e atacantes. Para os blue teams, revela exatamente onde o agente é forte e onde possui pontos cegos, permitindo ajustar políticas de segurança ou buscar complementos. Para os red teams, aponta caminhos para desenvolver técnicas de evasão mais sofisticadas.

A análise também reforça a ideia de que a segurança não está apenas no código binário, mas na complexidade da infraestrutura. A sugestão de que uma interrupção da CrowdStrike em julho de 2024 pode ter sido causada por um arquivo de configuração da nuvem defeituoso, e não por um bug de software, sublinha a importância da resiliência da cadeia de suprimentos de software e da configuração em tempo real.