Bring Your Own EDR: Wie Akamai SentinelOne in ein Trojanisches Pferd verwandelte
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo... Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausfü...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo...
Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausführung – er nutzt jedoch eine zu weit geöffnete administrative Schnittstelle aus.
Unternehmen sollten sofort auf SentinelOne Agent 26.1.1 oder höher aktualisieren, lokale Administratorzugriffe streng kontrollieren, auf Missbrauch von COM Schnittstellen überwachen und prüfen, wie ihre EDR Anbieter p...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Auf der DEF CON 34 in Las Vegas präsentierte der Akamai-Forscher Shahak Morag eine neuartige Angriffstechnik namens „Bring Your Own EDR“ (BYOEDR). Die Methode bewaffnet einen legitimen SentinelOne-Endpunkt-Agenten – und verwandelt das eigentliche Schutzwerkzeug in ein privilegiertes Trojanisches Pferd, das nicht signierten Code ausführen und Schadsoftware vor der Entfernung schützen kann .
Es handelt sich hier nicht um ein theoretisches Gedankenspiel. Der Angriff nutzt offengelegte COM-Schnittstellen und signierte Installationsbinärdateien von SentinelOne aus, um Windows Protected Process Light (PPL) zu umgehen – einen Sicherheitsmechanismus, der normalerweise verhindert, dass Benutzermodus-Prozesse auf geschützte Systemprozesse zugreifen. SentinelOne hat das Problem in Agent-Version 26.1.1 behoben .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Bring Your Own EDR: Wie Akamai SentinelOne in ein Trojanisches Pferd verwandelte“?
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo... Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausführung – er nutzt jedoch eine zu weit geöffnete administrative Schnittstelle aus.
Was soll ich als nächstes in der Praxis tun?
Unternehmen sollten sofort auf SentinelOne Agent 26.1.1 oder höher aktualisieren, lokale Administratorzugriffe streng kontrollieren, auf Missbrauch von COM Schnittstellen überwachen und prüfen, wie ihre EDR Anbieter p...
Bring Your Own EDR: Wie Akamai SentinelOne in ein Trojanisches Pferd verwandelte
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo... Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausfü...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo...
Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausführung – er nutzt jedoch eine zu weit geöffnete administrative Schnittstelle aus.
Unternehmen sollten sofort auf SentinelOne Agent 26.1.1 oder höher aktualisieren, lokale Administratorzugriffe streng kontrollieren, auf Missbrauch von COM Schnittstellen überwachen und prüfen, wie ihre EDR Anbieter p...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Auf der DEF CON 34 in Las Vegas präsentierte der Akamai-Forscher Shahak Morag eine neuartige Angriffstechnik namens „Bring Your Own EDR“ (BYOEDR). Die Methode bewaffnet einen legitimen SentinelOne-Endpunkt-Agenten – und verwandelt das eigentliche Schutzwerkzeug in ein privilegiertes Trojanisches Pferd, das nicht signierten Code ausführen und Schadsoftware vor der Entfernung schützen kann .
Es handelt sich hier nicht um ein theoretisches Gedankenspiel. Der Angriff nutzt offengelegte COM-Schnittstellen und signierte Installationsbinärdateien von SentinelOne aus, um Windows Protected Process Light (PPL) zu umgehen – einen Sicherheitsmechanismus, der normalerweise verhindert, dass Benutzermodus-Prozesse auf geschützte Systemprozesse zugreifen. SentinelOne hat das Problem in Agent-Version 26.1.1 behoben .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Bring Your Own EDR: Wie Akamai SentinelOne in ein Trojanisches Pferd verwandelte“?
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die vom Akamai Forscher Shahak Morag auf der DEF CON 34 vorgestellte „Bring Your Own EDR“ Technik (BYOEDR) missbraucht offengelegte COM Schnittstellen und signierte Installationsprogramme von SentinelOne, um den Windo... Der Angriff erfordert lokale Administratorrechte und ist keine Schwachstelle für Remotecodeausführung – er nutzt jedoch eine zu weit geöffnete administrative Schnittstelle aus.
Was soll ich als nächstes in der Praxis tun?
Unternehmen sollten sofort auf SentinelOne Agent 26.1.1 oder höher aktualisieren, lokale Administratorzugriffe streng kontrollieren, auf Missbrauch von COM Schnittstellen überwachen und prüfen, wie ihre EDR Anbieter p...
Die Angriffskette besteht aus drei Phasen, die jeweils eine andere vertrauenswürdige SentinelOne-Komponente missbrauchen :
1. Auslesen des Speichers von PPL-geschützten Prozessen
Ein lokaler Administrator verwendet die Dump-Methode des COM-Objekts SentinelHelper.1, um den Speicher eines beliebigen Protected Process Light (PPL)-Prozesses auszulesen. Die Schnittstelle SentinelHelper.1 ist ein legitimes Verwaltungswerkzeug, aber sie wurde ohne ausreichende Zugriffskontrolle freigegeben. Dadurch kann ein Angreifer mit lokalen Admin-Rechten den PPL-Schutz vollständig umgehen und die Speicherinhalte von Prozessen wie Windows Defender auslesen .
2. Injizieren von nicht signiertem Code in den erhöhten Prozess
Nachdem der PPL-geschützte Prozess ausgelesen wurde, injiziert der Angreifer nicht signierten Code in diesen erhöhten Prozess. Entscheidend ist, dass diese Code-Injektion von einer von SentinelOne signierten Komponente ausgeht – das Betriebssystem vertraut Code, der von SentinelOne signiert wurde. Der injizierte, nicht signierte Code, der in einem vertrauenswürdigen Träger verpackt ist, umgeht die Windows-Codeintegritätsprüfungen .
3. Abschirmen von Schadsoftware vor Erkennung und Entfernung
Schließlich nutzt der Angreifer dieselben vertrauenswürdigen SentinelOne-Prozesse und -Schnittstellen, um zu verhindern, dass der EDR die injizierte Schadsoftware erkennt oder entfernt. Da die Schadsoftware innerhalb oder neben den eigenen vertrauenswürdigen Prozessen von SentinelOne läuft, schirmen die Anti-Manipulations- und Selbstschutzmechanismen des EDR die Schadsoftware effektiv vor sich selbst ab .
Der Angreifer kann auch einen betrügerischen SentinelOne-Agenten ohne gültige Lizenz installieren und die Management-Telemetrie durch lokale DNS-Manipulation blockieren, wodurch das kompromittierte System von der zentralen Verwaltungskonsole isoliert wird .
Welche Schwachstelle wird ausgenutzt?
Das Kernproblem ist, dass SentinelOne leistungsstarke Component Object Model (COM)-Schnittstellen – insbesondere SentinelHelper.1 – für lokale Administratoren ohne ausreichende Zugriffskontrolle freigegeben hat. Darüber hinaus konnten seine signierten Installationsbinärdateien zweckentfremdet werden, um privilegierte Aktionen auszuführen, die normale, nicht signierte Binärdateien nicht ausführen können .
Zum Zeitpunkt der Veröffentlichung wurde noch keine öffentliche CVE-Kennung für dieses spezifische Problem gemeldet .
Es ist wichtig zu betonen, dass der Angriff lokale Administratorrechte auf dem Zielrechner voraussetzt. Es handelt sich nicht um eine Schwachstelle für Remotecodeausführung. Sobald ein Angreifer jedoch durch einen separaten Erstzugriff (z. B. Ausnutzen einer anfälligen Anwendung oder gestohlene Anmeldedaten) lokale Admin-Rechte erlangt hat, ermöglicht ihm BYOEDR, die PPL-Schutzmechanismen zu umgehen, die solche Kompromittierungen eigentlich eindämmen sollen .
Der Patch: SentinelOne Agent 26.1.1
SentinelOne hat das gemeldete Problem in Agent-Version 26.1.1 behoben. Der Fix umfasste die Härtung der offengelegten COM-Schnittstellen und die Einschränkung der Verwendungsmöglichkeiten der Installationsbinärdateien und vertrauenswürdigen Komponenten . Organisationen sollten sicherstellen, dass alle SentinelOne-Agenten sofort auf Version 26.1.1 oder höher aktualisiert werden .
Weiterreichende Implikationen für vertrauenswürdige Sicherheitssoftware
Die BYOEDR-Technik verdeutlicht ein grundlegendes Vertrauensproblem: Sicherheitssoftware erhält von Natur aus hohe Privilegien und tiefen Systemzugriff. Wenn diese Fähigkeiten jedoch über zugängliche Schnittstellen oder signierte Binärdateien freigegeben werden, können Angreifer sie als offensive Werkzeuge umfunktionieren .
PPL ist keine absolute Verteidigung. PPL-Schutzmaßnahmen können umgangen werden, wenn eine PPL-signierte Komponente (wie ein EDR) eine Speicher-Dump- oder Code-Injektions-Funktion für lokale Benutzer freigibt .
Signierte Binärdateien sind ein zweischneidiges Schwert. Codesignierung garantiert die Herkunft, nicht die Sicherheit. Angreifer können „Living-off-the-Land“-Sicherheitsprodukte (LOLSPs) ähnlich missbrauchen wie vertrauenswürdige Betriebssystem-Binärdateien .
Die Verantwortung der Anbieter ist entscheidend. Sicherheitsanbieter müssen ihre eigenen COM-Schnittstellen, Treiber-Zugriffskontrollen und Installationsvalidierungslogik mit der gleichen Strenge prüfen, die sie bei der Fehlersuche in Drittanbieter-Software anwenden .
Schritte zur Risikominderung für Organisationen
Um sich gegen BYOEDR-Angriffe zu schützen, sollten Organisationen folgende Maßnahmen ergreifen:
Sofort aktualisieren – Stellen Sie sicher, dass alle SentinelOne-Agenten auf Version 26.1.1 oder höher aktualisiert werden .
Lokalen Administratorzugriff härten – Da der Angriff lokale Administratorrechte erfordert, beschränken und kontrollieren Sie Administratorkonten streng. Implementieren Sie Just-in-Time (JIT)-Adminzugriff und überwachen Sie auf ungewöhnliche Rechteausweitungen .
Auf COM-Missbrauch überwachen – Implementieren Sie Erkennungsregeln für verdächtige Nutzung der COM-Schnittstellen von SentinelOne (z. B. SentinelHelper.1 oder unerwartete Aufrufe von Dump-Methoden) durch Nicht-SentinelOne-Prozesse .
Least Privilege umfassend anwenden – Behandeln Sie alle Sicherheitsagenten als potenzielle Angriffsflächen. Schränken Sie interaktive Anmeldungen ein, setzen Sie Anwendungssteuerung (z. B. WDAC oder AppLocker) durch und segmentieren Sie administrative Arbeitsabläufe .
Härtungspraktiken der Anbieter überprüfen – Fragen Sie bei der Bewertung von EDR/XDR-Produkten die Anbieter, wie sie ihre eigenen privilegierten Schnittstellen vor lokalem Missbrauch schützen, und nicht nur vor Remote-Exploits .
Eine wachsende Familie von Vertrauensmissbrauchs-Angriffen
BYOEDR ist kein Einzelfall. Eine ähnliche Technik namens „Bring Your Own Installer“ (BYOI), die 2025 von Aon's Stroz Friedberg entdeckt wurde, nutzt den Upgrade-/Downgrade-Prozess von SentinelOne aus, um Anti-Manipulations-Schutzmaßnahmen zu deaktivieren und Endpunkte für die Ausführung von Schadsoftware ungeschützt zu lassen . BYOI wurde bei realen Angriffen beobachtet, bei denen die Babuk-Ransomware eingesetzt wurde .
Die Kombination von BYOEDR und BYOI zeigt, dass Angreifer zunehmend das Vertrauen angreifen, das in Sicherheitssoftware selbst gesetzt wird, und nicht nur die Schwachstellen in den von ihr geschützten Anwendungen.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
Die Angriffskette besteht aus drei Phasen, die jeweils eine andere vertrauenswürdige SentinelOne-Komponente missbrauchen :
1. Auslesen des Speichers von PPL-geschützten Prozessen
Ein lokaler Administrator verwendet die Dump-Methode des COM-Objekts SentinelHelper.1, um den Speicher eines beliebigen Protected Process Light (PPL)-Prozesses auszulesen. Die Schnittstelle SentinelHelper.1 ist ein legitimes Verwaltungswerkzeug, aber sie wurde ohne ausreichende Zugriffskontrolle freigegeben. Dadurch kann ein Angreifer mit lokalen Admin-Rechten den PPL-Schutz vollständig umgehen und die Speicherinhalte von Prozessen wie Windows Defender auslesen .
2. Injizieren von nicht signiertem Code in den erhöhten Prozess
Nachdem der PPL-geschützte Prozess ausgelesen wurde, injiziert der Angreifer nicht signierten Code in diesen erhöhten Prozess. Entscheidend ist, dass diese Code-Injektion von einer von SentinelOne signierten Komponente ausgeht – das Betriebssystem vertraut Code, der von SentinelOne signiert wurde. Der injizierte, nicht signierte Code, der in einem vertrauenswürdigen Träger verpackt ist, umgeht die Windows-Codeintegritätsprüfungen .
3. Abschirmen von Schadsoftware vor Erkennung und Entfernung
Schließlich nutzt der Angreifer dieselben vertrauenswürdigen SentinelOne-Prozesse und -Schnittstellen, um zu verhindern, dass der EDR die injizierte Schadsoftware erkennt oder entfernt. Da die Schadsoftware innerhalb oder neben den eigenen vertrauenswürdigen Prozessen von SentinelOne läuft, schirmen die Anti-Manipulations- und Selbstschutzmechanismen des EDR die Schadsoftware effektiv vor sich selbst ab .
Der Angreifer kann auch einen betrügerischen SentinelOne-Agenten ohne gültige Lizenz installieren und die Management-Telemetrie durch lokale DNS-Manipulation blockieren, wodurch das kompromittierte System von der zentralen Verwaltungskonsole isoliert wird .
Welche Schwachstelle wird ausgenutzt?
Das Kernproblem ist, dass SentinelOne leistungsstarke Component Object Model (COM)-Schnittstellen – insbesondere SentinelHelper.1 – für lokale Administratoren ohne ausreichende Zugriffskontrolle freigegeben hat. Darüber hinaus konnten seine signierten Installationsbinärdateien zweckentfremdet werden, um privilegierte Aktionen auszuführen, die normale, nicht signierte Binärdateien nicht ausführen können .
Zum Zeitpunkt der Veröffentlichung wurde noch keine öffentliche CVE-Kennung für dieses spezifische Problem gemeldet .
Es ist wichtig zu betonen, dass der Angriff lokale Administratorrechte auf dem Zielrechner voraussetzt. Es handelt sich nicht um eine Schwachstelle für Remotecodeausführung. Sobald ein Angreifer jedoch durch einen separaten Erstzugriff (z. B. Ausnutzen einer anfälligen Anwendung oder gestohlene Anmeldedaten) lokale Admin-Rechte erlangt hat, ermöglicht ihm BYOEDR, die PPL-Schutzmechanismen zu umgehen, die solche Kompromittierungen eigentlich eindämmen sollen .
Der Patch: SentinelOne Agent 26.1.1
SentinelOne hat das gemeldete Problem in Agent-Version 26.1.1 behoben. Der Fix umfasste die Härtung der offengelegten COM-Schnittstellen und die Einschränkung der Verwendungsmöglichkeiten der Installationsbinärdateien und vertrauenswürdigen Komponenten . Organisationen sollten sicherstellen, dass alle SentinelOne-Agenten sofort auf Version 26.1.1 oder höher aktualisiert werden .
Weiterreichende Implikationen für vertrauenswürdige Sicherheitssoftware
Die BYOEDR-Technik verdeutlicht ein grundlegendes Vertrauensproblem: Sicherheitssoftware erhält von Natur aus hohe Privilegien und tiefen Systemzugriff. Wenn diese Fähigkeiten jedoch über zugängliche Schnittstellen oder signierte Binärdateien freigegeben werden, können Angreifer sie als offensive Werkzeuge umfunktionieren .
PPL ist keine absolute Verteidigung. PPL-Schutzmaßnahmen können umgangen werden, wenn eine PPL-signierte Komponente (wie ein EDR) eine Speicher-Dump- oder Code-Injektions-Funktion für lokale Benutzer freigibt .
Signierte Binärdateien sind ein zweischneidiges Schwert. Codesignierung garantiert die Herkunft, nicht die Sicherheit. Angreifer können „Living-off-the-Land“-Sicherheitsprodukte (LOLSPs) ähnlich missbrauchen wie vertrauenswürdige Betriebssystem-Binärdateien .
Die Verantwortung der Anbieter ist entscheidend. Sicherheitsanbieter müssen ihre eigenen COM-Schnittstellen, Treiber-Zugriffskontrollen und Installationsvalidierungslogik mit der gleichen Strenge prüfen, die sie bei der Fehlersuche in Drittanbieter-Software anwenden .
Schritte zur Risikominderung für Organisationen
Um sich gegen BYOEDR-Angriffe zu schützen, sollten Organisationen folgende Maßnahmen ergreifen:
Sofort aktualisieren – Stellen Sie sicher, dass alle SentinelOne-Agenten auf Version 26.1.1 oder höher aktualisiert werden .
Lokalen Administratorzugriff härten – Da der Angriff lokale Administratorrechte erfordert, beschränken und kontrollieren Sie Administratorkonten streng. Implementieren Sie Just-in-Time (JIT)-Adminzugriff und überwachen Sie auf ungewöhnliche Rechteausweitungen .
Auf COM-Missbrauch überwachen – Implementieren Sie Erkennungsregeln für verdächtige Nutzung der COM-Schnittstellen von SentinelOne (z. B. SentinelHelper.1 oder unerwartete Aufrufe von Dump-Methoden) durch Nicht-SentinelOne-Prozesse .
Least Privilege umfassend anwenden – Behandeln Sie alle Sicherheitsagenten als potenzielle Angriffsflächen. Schränken Sie interaktive Anmeldungen ein, setzen Sie Anwendungssteuerung (z. B. WDAC oder AppLocker) durch und segmentieren Sie administrative Arbeitsabläufe .
Härtungspraktiken der Anbieter überprüfen – Fragen Sie bei der Bewertung von EDR/XDR-Produkten die Anbieter, wie sie ihre eigenen privilegierten Schnittstellen vor lokalem Missbrauch schützen, und nicht nur vor Remote-Exploits .
Eine wachsende Familie von Vertrauensmissbrauchs-Angriffen
BYOEDR ist kein Einzelfall. Eine ähnliche Technik namens „Bring Your Own Installer“ (BYOI), die 2025 von Aon's Stroz Friedberg entdeckt wurde, nutzt den Upgrade-/Downgrade-Prozess von SentinelOne aus, um Anti-Manipulations-Schutzmaßnahmen zu deaktivieren und Endpunkte für die Ausführung von Schadsoftware ungeschützt zu lassen . BYOI wurde bei realen Angriffen beobachtet, bei denen die Babuk-Ransomware eingesetzt wurde .
Die Kombination von BYOEDR und BYOI zeigt, dass Angreifer zunehmend das Vertrauen angreifen, das in Sicherheitssoftware selbst gesetzt wird, und nicht nur die Schwachstellen in den von ihr geschützten Anwendungen.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL