Query-Hub

CQL-Hub | CrowdStrike SIEM & LogScale クエリ CQL-Hub バックエンドリポジトリ へようこそ このリポジトリは cql-hub.com を支えています: CrowdStrike Falcon SIEM クエリ のための無料のコミュニティ主導ハブ です。 ここに保存されたすべてのクエリは自動的に公開され、CQL-Hub ウェブサイトで閲覧できるようになります。これにより、誰もが検出クエリやハンティングクエリを発見・共有・利用しやすくなります。 概要 コミュニティファースト : 世界中のセキュリティ実務者からの貢献。 無料＆オープン :...

Threat-Hunting

위협 헌팅 | 탐지 엔지니어링 위협 헌팅 및 탐지 쿼리 모음: CrowdStrike Falcon CQL – CrowdStrike Query Language 사용 Microsoft Defender XDR KQL – Kusto Query Language 사용 의심스러운 프로세스, 비정상적인 네트워크 동작, LoLBinsLiving-off-the-Land 바이너리, 지속성 메커니즘, 자격 증명 액세스, 측면 이동, C2 활동, 잠재적 APT 행위를 표면화하는 것을 목표로 합니다. 가능한 경우 모든 내용은 MITRE ATT &CK 기...

CVE-2024-49138-POC

CVE-2024-49138-POC Decombine エラーの修正 root@kitploit: C:\Program Files\Microsoft Visual Studio\2022\Professional\MSBuild\Microsoft\VC\v170\Microsoft.CppBuild.targets456,5: error MSB8020: The build tools for Visual Studio 2019 Platform Toolset = 'v142' cannot be found. To build using the v142 build...

Security-Detections-MCP

Security Detections MCP LLM이 Sigma , Splunk ESCU , Elastic , KQL , Sublime , CrowdStrike CQL 보안 탐지 규칙의 통합 데이터베이스를 질의할 수 있게 해주는 MCPModel Context Protocol 서버입니다. 처음이신가요?설정 가이드부터 시작하세요 -- macOS, WindowsWSL 및 네이티브, Linux를 단계별로 다룹니다. 호스팅된 버전을 원하시나요? 설치를 완전히 생략하세요:호스팅 MCP 설정 가이드 두 가지 실행 방법 로컬 모든 기능 — 지...

CVE-2022-44721-CsFalconUninstaller

CVE-2022-44721 Crowdstrike Falcon 제거 도구 CrowdStrike Falcon은 클라우드 기반 엔드포인트 탐지 및 대응EDR 및 안티바이러스AV 솔루션입니다. 각 엔드 디바이스에는 커널 수준 관리 센서가 배포되어 클라우드 기반 기능을 활용합니다. 센서는 제거 보호 기능으로 구성될 수 있습니다. 이는 일회성 생성 토큰 없이 엔드 디바이스에서 CrowdStrike Falcon 센서의 제거를 방지합니다. 이 취약점을 악용하면 관리자 권한을 가진 공격자가 Windows 엔드 디바이스에서 토큰 검사를 우회하고...

RedTeamCCode

RedTeamCCode レッドチームCコードリポジトリ システムで使用されているシステムコールIDを知りたいですか？ root@kitploit: getsyscall.exe ntdll.dll NtProtectVirtualMemory ntdll.dll!NtProtectVirtualMemory at 0x00007FFDE568D010 NtProtectVirtualMemory syscall ID 0x00000050 80 CrowdStrikeがフックしたntdll.dll API root@kitploit:...

MoveEdr

MoveEDR 관리자라면 Windows가 서비스 시작 전에 부팅 직후 폴더와 파일을 강제로 삭제하거나 이동하도록 할 수 있습니다. 이를 사용하여 EDR을 비활성화할 수 있습니다. 사용법 !CAUTION CrowdStrike와 관련하여 "INACCESSIBLEBOOTDEVICE" 메시지와 함께 부팅 루프가 발생하는 문제가 있습니다. 제 추측으로는 CrowdStrike 자체 또는 소프트웨어 배포 솔루션이 누락된 CrowdStrike 파일을 설치하려고 시도하지만 실패하여 손상된 상태로 남는 것으로 보입니다. 이 문제가 이동 후 경과...

Threat-Remediation-Scripts

はじめに 2021年以降、私は調査と修復作業を支援するために多数のスクリプトを開発してきました。せっかくなので、皆さんのお役に立てればと思い、公開することにしました。 これらのスクリプトはどのように機能しますか？ 私が開発したスクリプトは、Crowdstrike Endpoint Detection and Response（EDR）と連携することを目的としています。基本的には、ボタンをワンクリックするだけでデバイスをリモートで迅速に修復できるクラウドスクリプトです。 なぜこれらのスクリプトを作成したのか？...

crowdstrike-falcon-queries

crowdstrike-falcon-queries CrowdStrike Falcon による脅威ハンティングのための Splunk Search Processing Language SPL コレクション i-secure co., Ltd. の Intelligent Response チームによって開発・保守されています。 crowdstrike-falcon-queries リネームされた実行ファイルの実行 ネットワーク接続を伴う Living Off The Land バイナリの一覧 プロセスからの不審なネットワーク接続 Explorer...

FalconFlank

FalconFlank Crowdstrike Falcon 0day 権限昇格の脆弱性 FalconFlank は、Crowdstrike Falcon Sensor の Office 悪意あるマクロ修復機能を悪用する 0day 権限昇格です。当然ながら、これを公開する頃には Crowdstrike はすでに検知を追加しているはずなので、テストする場合は除外リストに追加するか、PoC を難読化して DLL ロード手法を変更する必要があります。 現時点では、完全に更新された Windows 11 25H2 / Windows Server 2025 上の Crowdstrike Falc...

Threat_Hunting

ThreatHunting ブルーチームや脅威ハンターに役立つCrowdstrikeの脅威ハンティングクエリ...

CRT

Azure용 CrowdStrike 보고 도구 CRT 이 도구는 Azure AD/O365 테넌트에서 다음 구성들을 쿼리하여 찾기 어려운 권한 및 구성 설정을 파악할 수 있도록 하며, 조직이 이러한 환경을 보호하는 데 도움을 줍니다. Exchange Online O365: 페더레이션 구성 페더레이션 트러스트 사서함에 설정된 클라이언트 액세스 설정 원격 도메인에 대한 메일 전달 규칙 사서함 SMTP 전달 규칙 메일 전송 규칙 '모든 권한'이 부여된 위임자 모든 권한이 부여된 위임자 '다른 사람으로 보내기' 또는 '대신 보내기' 권한...

Vectored-Exception-Handling-Squared

Vectored Exception Handling Squared Vectored Exception Handling の二乗 Rust による Proof of Concept。詳細は私のブログをご覧ください。すべての独自研究は CrowdStrike によるもので、これはその POC に過ぎません。 私が見落としていない限り、CrowdStrike の研究者が発見した Vectored Exception Handling Squared（VEH²） に関する POC などは、あまり公開されていないようです。ただし、CrowdStrike...

CVE-2026-40058

CrowdStrike released a security update to address a vulnerability in the Falcon sensor for Windows. The vulnerability only exists when the Microsoft Office File Malicious Macro Removal Windows policy setting is enabled and customers remain protected through the Cloud Anti-malware for Microsoft...

EUVD-2026-79123

CrowdStrike released a security update to address a vulnerability in the Falcon sensor for Windows. The vulnerability only exists when the Microsoft Office File Malicious Macro Removal Windows policy setting is enabled and customers remain protected through the Cloud Anti-malware for Microsoft...

CVE-2026-40058

CrowdStrike Falcon sensor for Windows is affected by a vulnerability in the Microsoft Office File Malicious Macro Removal policy setting that allows an arbitrary file write to protected locations from an unprivileged context, potentially leading to local privilege escalation . The flaw requires t...

sccmhound

SCCMHound SCCMHound は、Microsoft Configuration Manager MCM 向けの C 製 BloodHound コレクターです。Configuration Manager のユーザーとコンピューターから BloodHound セッション情報を収集する方法をお探しなら、このツールが最適です。 別のコレクター SharpHound、SOAPHound など のデータと一緒に収集データをインポートすることを強くお勧めします。別のデータセットの前後どちらでインポートしても問題ありません。これにより、Configuration Manager...

CorelightForCrowdStrike

CorelightForCrowdStrike CrowdStrike LogScale 및 차세대 SIEM용 Corelight 앱...

Researcher Releases FalconFlank PoC Showing Privilege Escalation in CrowdStrike Falcon

The security researcher known as Chaotic Eclipse aka INFINITE NIGHTMARE, MSNightmare, and Nightmare-Eclipse has dropped a new zero-day dubbed FalconFlank , a proof-of-concept PoC for a privilege escalation flaw impacting Crowdstrike Falcon. "FalconFlank is a 0-day privilege escalation that abuses...

EUVD-2026-62945

In versions below 5.1.3 of the CrowdStrike OAuth API app for Splunk SOAR, a user who holds a role with permission to run actions could expose a sensitive document password by invoking either the detonate file or detonate url action, because the action's documentpassword parameter is not masked an...