Bring Your Own EDR: Jak Akamai na DEF CON 34 proměnila SentinelOne v trojského koně

Na konferenci DEF CON 34 v Las Vegas představil výzkumník Shahak Morag ze společnosti Akamai novou útočnou techniku nazvanou „Bring Your Own EDR“ (BYOEDR). Tato metoda zneužívá legitimního agenta SentinelOne – tedy nástroj, který má chránit koncová zařízení, se mění v privilegovaného trojského koně, který umí spouštět nepodepsaný kód a chránit malware před odstraněním .

Nejde o teoretické cvičení. Útok využívá odhalená COM rozhraní SentinelOne a podepsané binární soubory instalátoru k obejití Windows Protected Process Light (PPL), bezpečnostního mechanismu, který běžně brání uživatelským procesům v přístupu k chráněným systémovým procesům. SentinelOne problém vyřešil ve verzi agenta 26.1.1 .

Jak útok BYOEDR funguje

Řetězec útoku se skládá ze tří fází, z nichž každá zneužívá jiný důvěryhodný komponent SentinelOne :

1. Výpis paměti procesu chráněného PPL

Lokální administrátor pomocí metody Dump objektu COM SentinelHelper.1 získá výpis paměti libovolného procesu chráněného Protected Process Light (PPL). Rozhraní SentinelHelper.1 je legitimní administrativní nástroj, ale byl zpřístupněn bez dostatečné kontroly přístupu. To útočníkovi s právy lokálního administrátora umožňuje zcela obejít ochranu PPL a číst obsah paměti procesů, jako je Windows Defender .

2. Vložení nepodepsaného kódu do zvýšeného procesu

Po výpisu paměti procesu chráněného PPL vloží útočník nepodepsaný kód do tohoto zvýšeného procesu. Zásadní je, že toto vložení kódu pochází z komponenty podepsané SentinelOne – operační systém důvěřuje kódu podepsanému SentinelOne. Vložený nepodepsaný kód, zabalený v důvěryhodném nosiči, obchází kontroly integrity kódu Windows .

3. Ochrana malwaru před detekcí a odstraněním

V poslední fázi útočník využívá stejné důvěryhodné procesy a rozhraní SentinelOne, aby zabránil EDR v detekci nebo odstranění vloženého malwaru. Protože malware běží uvnitř nebo po boku důvěryhodných procesů SentinelOne, mechanismy ochrany proti neoprávněné manipulaci a sebeobrany EDR ve skutečnosti chrání malware před sebou samým .

Útočník může také nainstalovat falešného agenta SentinelOne bez platné licence a blokovat management telemetrie pomocí lokální manipulace s DNS, čímž izoluje kompromitovaný systém od centrální konzole pro správu .

Jakou zranitelnost útok zneužívá?

Hlavním problémem je, že SentinelOne zpřístupnil výkonná rozhraní Component Object Model (COM) – konkrétně SentinelHelper.1 – lokálním administrátorům bez odpovídající kontroly přístupu. Jeho podepsané binární soubory instalátoru navíc mohly být zneužity k provádění privilegovaných akcí, které normální nepodepsané binární soubory provádět nemohou .

K datu zveřejnění nebylo pro tento konkrétní problém široce hlášeno žádné veřejné CVE ID .

Je důležité poznamenat, že útok vyžaduje práva lokálního administrátora na cílovém počítači. Nejde o zranitelnost umožňující vzdálené spuštění kódu. Jakmile však útočník získá lokální administrátorský přístup prostřednictvím samostatného prvotního kompromitování (například zneužitím zranitelné aplikace nebo použitím ukradených přihlašovacích údajů), BYOEDR mu umožní obejít ochrany PPL, které mají takové kompromitace omezovat .

Oprava: SentinelOne Agent 26.1.1

SentinelOne opravil nahlášený problém ve verzi agenta 26.1.1. Oprava zahrnovala zesílení odhalených COM rozhraní a omezení možností zneužití binárních souborů instalátoru a důvěryhodných komponent . Organizace by měly okamžitě zajistit upgrade všech agentů SentinelOne na verzi 26.1.1 nebo novější .

Širší důsledky pro důvěryhodný bezpečnostní software

Technika BYOEDR poukazuje na zásadní problém důvěry: bezpečnostní software má ze své podstaty vysoká oprávnění a hluboký přístup do systému. Pokud jsou tyto schopnosti zpřístupněny prostřednictvím přístupných rozhraní nebo podepsaných binárních souborů, mohou je útočníci zneužít jako útočné nástroje .

• PPL není absolutní obrana. Ochrany PPL lze obejít, pokud komponenta podepsaná PPL (jako EDR) vystavuje primitivum pro výpis paměti nebo vkládání kódu lokálním uživatelům .
• Podepsané binární soubory jsou dvojsečná zbraň. Podepisování kódu zaručuje původ, nikoli bezpečnost. Útočníci mohou využívat „living-off-the-land“ bezpečnostní produkty (LOLSP) podobně, jako zneužívají důvěryhodné binární soubory OS .
• Odpovědnost dodavatele je klíčová. Dodavatelé bezpečnostních řešení musí auditovat svá vlastní COM rozhraní, ovladače a logiku ověřování instalátorů se stejnou přísností, jakou používají při hledání chyb v softwaru třetích stran .

Kroky k ochraně pro organizace

Pro obranu proti útokům BYOEDR by organizace měly podniknout následující kroky:

1. Okamžitě aktualizovat – Zajistěte upgrade všech agentů SentinelOne na verzi 26.1.1 nebo novější .
2. Omezit přístup lokálních administrátorů – Vzhledem k tomu, že útok vyžaduje práva lokálního administrátora, omezte a důsledně kontrolujte administrativní účty. Implementujte přístup just-in-time (JIT) a monitorujte neobvyklé zvyšování oprávnění .
3. Monitorovat zneužívání COM – Zaveďte detekční pravidla pro podezřelé používání COM rozhraní SentinelOne (např. SentinelHelper.1 nebo neočekávaná volání metod Dump) procesy, které nejsou součástí SentinelOne .
4. Důsledně uplatňovat princip nejnižších oprávnění – Považujte všechny bezpečnostní agenty za potenciální útočné plochy. Omezte interaktivní přihlašování, vynucujte řízení aplikací (např. WDAC nebo AppLocker) a segmentujte administrativní pracovní postupy .
5. Prověřit postupy dodavatelů při zabezpečování – Při hodnocení produktů EDR/XDR se ptejte dodavatelů, jak chrání svá vlastní privilegovaná rozhraní před lokálním zneužitím, nejen před vzdálenými útoky .

Rostoucí rodina útoků zneužívajících důvěru

BYOEDR není ojedinělý případ. Podobná technika nazvaná „Bring Your Own Installer“ (BYOI), kterou objevila společnost Aon's Stroz Friedberg v roce 2025, zneužívá proces upgradu/downgradu SentinelOne k deaktivaci ochrany proti neoprávněné manipulaci, čímž ponechává koncové body nechráněné pro spouštění malwaru . BYOI byla pozorována při reálných útocích nasazujících ransomware Babuk .

Kombinace BYOEDR a BYOI ukazuje, že útočníci stále častěji cílí na důvěru vloženou do samotného bezpečnostního softwaru, nikoli pouze na zranitelnosti v aplikacích, které tento software chrání.