هجوم BYOEDR: كيف حوّلت أكاماي برنامج SentinelOne إلى حصان طروادة في مؤتمر DEF CON 34
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك... يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك...
يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل فعالية حماية PPL المصممة لاحتواء الاختراقات عقب تمكّن المهاجم
أصدرت SentinelOne تحديثاً عاجلاً (Agent 26.1.1) لإغلاق الثغرة. يُنصح المؤسسات بتحديث الوكيل فوراً، وتقييد صلاحيات المسؤولين المحليين، ومراقبة إساءة استخدام واجهات COM، مراجعة إجراءات الحماية لدى بائعي حلول EDR
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
في مؤتمر DEF CON 34 في لاس فيغاس، كشف الباحث شاهاك موراغ من شركة أكاماي عن تقنية هجومية جديدة أطلق عليها اسم "BYOEDR" أو "أحضر وكيل الحماية الخاص بك". هذه التقنية تحول برنامج SentinelOne للحماية من الاختراقات إلى حصان طروادة متمكن، يستخدم لتنفيذ أكواد غير موقعة وحماية البرمجيات الخبيثة من الإزالة .
هذا ليس مجرد تمرين نظري. فالهجوم يستغل واجهات COM المكشوفة في SentinelOne، والتي تسمح للمبرمجين بالتفاعل مع مكونات النظام، بالإضافة إلى ملفات التثبيت الموقعة رقمياً من SentinelOne. هذا التوقيع يُخدع آلية "Protected Process Light" (PPL) في ويندوز، المصممة لمنع عمليات وضع المستخدم من الوصول إلى عمليات النظام المحمية .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم BYOEDR: كيف حوّلت أكاماي برنامج SentinelOne إلى حصان طروادة في مؤتمر DEF CON 34"؟
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك...
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك... يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل فعالية حماية PPL المصممة لاحتواء الاختراقات عقب تمكّن المهاجم
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
أصدرت SentinelOne تحديثاً عاجلاً (Agent 26.1.1) لإغلاق الثغرة. يُنصح المؤسسات بتحديث الوكيل فوراً، وتقييد صلاحيات المسؤولين المحليين، ومراقبة إساءة استخدام واجهات COM، مراجعة إجراءات الحماية لدى بائعي حلول EDR
هجوم BYOEDR: كيف حوّلت أكاماي برنامج SentinelOne إلى حصان طروادة في مؤتمر DEF CON 34
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك... يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك...
يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل فعالية حماية PPL المصممة لاحتواء الاختراقات عقب تمكّن المهاجم
أصدرت SentinelOne تحديثاً عاجلاً (Agent 26.1.1) لإغلاق الثغرة. يُنصح المؤسسات بتحديث الوكيل فوراً، وتقييد صلاحيات المسؤولين المحليين، ومراقبة إساءة استخدام واجهات COM، مراجعة إجراءات الحماية لدى بائعي حلول EDR
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
في مؤتمر DEF CON 34 في لاس فيغاس، كشف الباحث شاهاك موراغ من شركة أكاماي عن تقنية هجومية جديدة أطلق عليها اسم "BYOEDR" أو "أحضر وكيل الحماية الخاص بك". هذه التقنية تحول برنامج SentinelOne للحماية من الاختراقات إلى حصان طروادة متمكن، يستخدم لتنفيذ أكواد غير موقعة وحماية البرمجيات الخبيثة من الإزالة .
هذا ليس مجرد تمرين نظري. فالهجوم يستغل واجهات COM المكشوفة في SentinelOne، والتي تسمح للمبرمجين بالتفاعل مع مكونات النظام، بالإضافة إلى ملفات التثبيت الموقعة رقمياً من SentinelOne. هذا التوقيع يُخدع آلية "Protected Process Light" (PPL) في ويندوز، المصممة لمنع عمليات وضع المستخدم من الوصول إلى عمليات النظام المحمية .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "هجوم BYOEDR: كيف حوّلت أكاماي برنامج SentinelOne إلى حصان طروادة في مؤتمر DEF CON 34"؟
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك...
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
تقنية BYOEDR التي كشف عنها باحث أكاماي شاهاك موراغ في مؤتمر DEF CON 34 تستغل واجهات COM وكوّاد التثبيت الموقعة من SentinelOne لتجاوز حماية Protected Process Light (PPL) في ويندوز، وتنفيذ أكواد خبيثة غير موقعة تماماً ك... يتطلب الهجوم صلاحيات مدير محلي (Admin) على الجهاز المستهدف، وليس ثغرة تنفيذ عن بُعد، لكنه يعطّل فعالية حماية PPL المصممة لاحتواء الاختراقات عقب تمكّن المهاجم
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
أصدرت SentinelOne تحديثاً عاجلاً (Agent 26.1.1) لإغلاق الثغرة. يُنصح المؤسسات بتحديث الوكيل فوراً، وتقييد صلاحيات المسؤولين المحليين، ومراقبة إساءة استخدام واجهات COM، مراجعة إجراءات الحماية لدى بائعي حلول EDR
يتكون الهجوم من ثلاث مراحل، تستغل كل منها مكوناً موثوقاً من SentinelOne :
1. تفريغ ذاكرة عملية محمية بـ PPL
يستخدم المهاجم، بصلاحيات مدير محلي، أسلوب Dump من واجهة SentinelHelper.1 COM لتفريغ ذاكرة أي عملية محمية بـ PPL، مثل Windows Defender. هذه الواجهة هي أداة إدارة شرعية، لكنها تركت مفتوحة دون ضوابط وصول كافية .
2. حقن كود غير موقع في العملية المخترقة
بعد تفريغ الذاكرة، يقوم المهاجم بحقن كود غير موقع في تلك العملية المرتفعة الصلاحية. الأمر الحاسم هنا هو أن عملية الحقن تنبع من مكون موقّع من SentinelOne. نظام ويندوز يثق في الأكواد الموقعة من SentinelOne، مما يسمح للأكواد غير الموقعة بالمرور عبر فحوصات سلامة الكود .
3. حماية البرمجيات الخبيثة من الاكتشاف والإزالة
أخيراً، يستغل المهاجم نفس العمليات والواجهات الموثوقة من SentinelOne لمنع برنامج الحماية نفسه من اكتشاف البرمجية الخبيثة المحقونة أو إزالتها. وبما أن البرمجية الخبيثة تعمل ضمن عمليات SentinelOne الموثوقة أو بجوارها، فإن آليات الحماية الذاتية للبرنامج تحمي البرمجية الخبيثة من نفسها .
يمكن للمهاجم أيضاً تثبيت وكيل SentinelOne مُزوّر دون ترخيص صالح، وحجب بيانات الإدارة عن طريق التلاعب بإعدادات DNS المحلية، مما يعزل النظام المخترق عن لوحة التحكم المركزية .
ما الثغرة التي يستغلها الهجوم؟
المشكلة الأساسية هي أن SentinelOne كشفت واجهات COM القوية (خاصة SentinelHelper.1) للمدراء المحليين دون ضوابط وصول كافية. بالإضافة إلى ذلك، يمكن إساءة استخدام ملفات التثبيت الموقعة لتنفيذ إجراءات متميزة لا تستطيع الملفات غير الموقعة تنفيذها .
حتى تاريخ الإفصاح، لم يُسجّل أي معرف CVE عام لهذه الثغرة .
من المهم التوضيح أن الهجوم يتطلب صلاحيات مدير محلي على الجهاز المستهدف. إنها ليست ثغرة تنفيذ عن بُعد. لكن بمجرد حصول المهاجم على صلاحيات مدير محلي عبر اختراق أولي منفصل، تمكنه BYOEDR من تجاوز حماية PPL التي صُممت لاحتواء مثل هذه الاختراقات .
التحديث: SentinelOne Agent 26.1.1
أصلحت SentinelOne الثغرة في الإصدار 26.1.1 من وكيلها. يتضمن الإصلاح تقوية واجهات COM المكشوفة وتقييد كيفية استخدام ملفات التثبيت والمكونات الموثوقة . يجب على المؤسسات ترقية جميع وكلاء SentinelOne إلى الإصدار 26.1.1 أو أحدث فوراً .
آثار أوسع على برامج الأمان الموثوقة
تسلط تقنية BYOEDR الضوء على مشكلة ثقة أساسية: برامج الأمان تُمنح صلاحيات عالية ووصولاً عميقاً للنظام بحكم التصميم. عندما تُعرّض هذه الإمكانات عبر واجهات قابلة للوصول أو ملفات ثنائية موقعة، يمكن للمهاجمين إعادة توظيفها كأدوات هجومية .
PPL ليس دفاعاً مطلقاً. يمكن تجاوز حماية PPL إذا كشف مكون موقّع منها عن إمكانية تفريغ ذاكرة أو حقن كود للمستخدمين المحليين .
التوقيع الرقمي سيف ذو حدين. يضمن توقيع الكود أصله، وليس سلامته. يمكن للمهاجمين استغلال منتجات الأمان الموثوقة (LOLSPs) بنفس طريقة استغلالهم لملفات نظام التشغيل الموثوقة .
مسؤولية البائع هي الأهم. يجب على بائعي الأمان تدقيق واجهات COM الخاصة بهم، وضوابط وصول برامج التشغيل، ومنطق التحقق من التثبيت بنفس الدقة التي يطبقونها على اكتشاف الثغرات في برامج الطرف الثالث .
خطوات التخفيف للمؤسسات
للدفاع ضد هجمات BYOEDR، يجب على المؤسسات اتخاذ الإجراءات التالية:
تحديث فوري — تأكد من ترقية جميع وكلاء SentinelOne إلى الإصدار 26.1.1 أو أحدث .
تقييد صلاحيات المدير المحلي — نظراً لأن الهجوم يتطلب صلاحيات مدير محلي، حدد الحسابات الإدارية وتحكم فيها بصرامة. طبق صلاحيات الإدارة في الوقت المناسب (JIT) وراقب أي رفع غير طبيعي للصلاحيات .
مراقبة إساءة استخدام COM — انشر قواعد كشف للاستخدام المشبوه لواجهات COM الخاصة بـ SentinelOne (مثل SentinelHelper.1 أو استدعاءات غير متوقعة لأسلوب Dump) من عمليات غير تابعة لـ SentinelOne .
طبق مبدأ أقل صلاحية على نطاق واسع — تعامل مع جميع وكلاء الأمان كأسطح هجوم محتملة. قيد تسجيلات الدخول التفاعلية، وطبق التحكم في التطبيقات (مثل WDAC أو AppLocker)، وقسم سير العمل الإداري .
راجع ممارسات البائعين في تعزيز الحماية — عند تقييم منتجات EDR/XDR، اسأل البائعين عن كيفية حماية واجهاتهم المتميزة من الإساءة المحلية، وليس فقط من الاستغلال عن بُعد .
عائلة متزايدة من هجمات إساءة استخدام الثقة
BYOEDR ليست حادثة منفردة. تقنية مشابهة تُسمى "أحضر برنامج التثبيت الخاص بك" (BYOI)، اكتُشفت من قبل شركة Aon's Stroz Friedberg في عام 2025، تستغل عملية ترقية/خفض إصدار SentinelOne لتعطيل حماية العبث، تاركة الأجهزة بدون حماية لتنفيذ البرمجيات الخبيثة . وقد لوحظ استخدام BYOI في هجمات واقعية لنشر برمجية فدية من نوع Babuk .
الجمع بين BYOEDR وBYOI يظهر أن المهاجمين يستهدفون بشكل متزايد الثقة الموضوعة في برامج الأمان نفسها، وليس فقط الثغرات في التطبيقات التي تحميها.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
يتكون الهجوم من ثلاث مراحل، تستغل كل منها مكوناً موثوقاً من SentinelOne :
1. تفريغ ذاكرة عملية محمية بـ PPL
يستخدم المهاجم، بصلاحيات مدير محلي، أسلوب Dump من واجهة SentinelHelper.1 COM لتفريغ ذاكرة أي عملية محمية بـ PPL، مثل Windows Defender. هذه الواجهة هي أداة إدارة شرعية، لكنها تركت مفتوحة دون ضوابط وصول كافية .
2. حقن كود غير موقع في العملية المخترقة
بعد تفريغ الذاكرة، يقوم المهاجم بحقن كود غير موقع في تلك العملية المرتفعة الصلاحية. الأمر الحاسم هنا هو أن عملية الحقن تنبع من مكون موقّع من SentinelOne. نظام ويندوز يثق في الأكواد الموقعة من SentinelOne، مما يسمح للأكواد غير الموقعة بالمرور عبر فحوصات سلامة الكود .
3. حماية البرمجيات الخبيثة من الاكتشاف والإزالة
أخيراً، يستغل المهاجم نفس العمليات والواجهات الموثوقة من SentinelOne لمنع برنامج الحماية نفسه من اكتشاف البرمجية الخبيثة المحقونة أو إزالتها. وبما أن البرمجية الخبيثة تعمل ضمن عمليات SentinelOne الموثوقة أو بجوارها، فإن آليات الحماية الذاتية للبرنامج تحمي البرمجية الخبيثة من نفسها .
يمكن للمهاجم أيضاً تثبيت وكيل SentinelOne مُزوّر دون ترخيص صالح، وحجب بيانات الإدارة عن طريق التلاعب بإعدادات DNS المحلية، مما يعزل النظام المخترق عن لوحة التحكم المركزية .
ما الثغرة التي يستغلها الهجوم؟
المشكلة الأساسية هي أن SentinelOne كشفت واجهات COM القوية (خاصة SentinelHelper.1) للمدراء المحليين دون ضوابط وصول كافية. بالإضافة إلى ذلك، يمكن إساءة استخدام ملفات التثبيت الموقعة لتنفيذ إجراءات متميزة لا تستطيع الملفات غير الموقعة تنفيذها .
حتى تاريخ الإفصاح، لم يُسجّل أي معرف CVE عام لهذه الثغرة .
من المهم التوضيح أن الهجوم يتطلب صلاحيات مدير محلي على الجهاز المستهدف. إنها ليست ثغرة تنفيذ عن بُعد. لكن بمجرد حصول المهاجم على صلاحيات مدير محلي عبر اختراق أولي منفصل، تمكنه BYOEDR من تجاوز حماية PPL التي صُممت لاحتواء مثل هذه الاختراقات .
التحديث: SentinelOne Agent 26.1.1
أصلحت SentinelOne الثغرة في الإصدار 26.1.1 من وكيلها. يتضمن الإصلاح تقوية واجهات COM المكشوفة وتقييد كيفية استخدام ملفات التثبيت والمكونات الموثوقة . يجب على المؤسسات ترقية جميع وكلاء SentinelOne إلى الإصدار 26.1.1 أو أحدث فوراً .
آثار أوسع على برامج الأمان الموثوقة
تسلط تقنية BYOEDR الضوء على مشكلة ثقة أساسية: برامج الأمان تُمنح صلاحيات عالية ووصولاً عميقاً للنظام بحكم التصميم. عندما تُعرّض هذه الإمكانات عبر واجهات قابلة للوصول أو ملفات ثنائية موقعة، يمكن للمهاجمين إعادة توظيفها كأدوات هجومية .
PPL ليس دفاعاً مطلقاً. يمكن تجاوز حماية PPL إذا كشف مكون موقّع منها عن إمكانية تفريغ ذاكرة أو حقن كود للمستخدمين المحليين .
التوقيع الرقمي سيف ذو حدين. يضمن توقيع الكود أصله، وليس سلامته. يمكن للمهاجمين استغلال منتجات الأمان الموثوقة (LOLSPs) بنفس طريقة استغلالهم لملفات نظام التشغيل الموثوقة .
مسؤولية البائع هي الأهم. يجب على بائعي الأمان تدقيق واجهات COM الخاصة بهم، وضوابط وصول برامج التشغيل، ومنطق التحقق من التثبيت بنفس الدقة التي يطبقونها على اكتشاف الثغرات في برامج الطرف الثالث .
خطوات التخفيف للمؤسسات
للدفاع ضد هجمات BYOEDR، يجب على المؤسسات اتخاذ الإجراءات التالية:
تحديث فوري — تأكد من ترقية جميع وكلاء SentinelOne إلى الإصدار 26.1.1 أو أحدث .
تقييد صلاحيات المدير المحلي — نظراً لأن الهجوم يتطلب صلاحيات مدير محلي، حدد الحسابات الإدارية وتحكم فيها بصرامة. طبق صلاحيات الإدارة في الوقت المناسب (JIT) وراقب أي رفع غير طبيعي للصلاحيات .
مراقبة إساءة استخدام COM — انشر قواعد كشف للاستخدام المشبوه لواجهات COM الخاصة بـ SentinelOne (مثل SentinelHelper.1 أو استدعاءات غير متوقعة لأسلوب Dump) من عمليات غير تابعة لـ SentinelOne .
طبق مبدأ أقل صلاحية على نطاق واسع — تعامل مع جميع وكلاء الأمان كأسطح هجوم محتملة. قيد تسجيلات الدخول التفاعلية، وطبق التحكم في التطبيقات (مثل WDAC أو AppLocker)، وقسم سير العمل الإداري .
راجع ممارسات البائعين في تعزيز الحماية — عند تقييم منتجات EDR/XDR، اسأل البائعين عن كيفية حماية واجهاتهم المتميزة من الإساءة المحلية، وليس فقط من الاستغلال عن بُعد .
عائلة متزايدة من هجمات إساءة استخدام الثقة
BYOEDR ليست حادثة منفردة. تقنية مشابهة تُسمى "أحضر برنامج التثبيت الخاص بك" (BYOI)، اكتُشفت من قبل شركة Aon's Stroz Friedberg في عام 2025، تستغل عملية ترقية/خفض إصدار SentinelOne لتعطيل حماية العبث، تاركة الأجهزة بدون حماية لتنفيذ البرمجيات الخبيثة . وقد لوحظ استخدام BYOI في هجمات واقعية لنشر برمجية فدية من نوع Babuk .
الجمع بين BYOEDR وBYOI يظهر أن المهاجمين يستهدفون بشكل متزايد الثقة الموضوعة في برامج الأمان نفسها، وليس فقط الثغرات في التطبيقات التي تحميها.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL