Bring Your Own EDR: Wie Akamai SentinelOne in ein Trojanisches Pferd verwandelte

Auf der DEF CON 34 in Las Vegas präsentierte der Akamai-Forscher Shahak Morag eine neuartige Angriffstechnik namens „Bring Your Own EDR“ (BYOEDR). Die Methode bewaffnet einen legitimen SentinelOne-Endpunkt-Agenten – und verwandelt das eigentliche Schutzwerkzeug in ein privilegiertes Trojanisches Pferd, das nicht signierten Code ausführen und Schadsoftware vor der Entfernung schützen kann .

Es handelt sich hier nicht um ein theoretisches Gedankenspiel. Der Angriff nutzt offengelegte COM-Schnittstellen und signierte Installationsbinärdateien von SentinelOne aus, um Windows Protected Process Light (PPL) zu umgehen – einen Sicherheitsmechanismus, der normalerweise verhindert, dass Benutzermodus-Prozesse auf geschützte Systemprozesse zugreifen. SentinelOne hat das Problem in Agent-Version 26.1.1 behoben .

Wie der BYOEDR-Angriff funktioniert

Die Angriffskette besteht aus drei Phasen, die jeweils eine andere vertrauenswürdige SentinelOne-Komponente missbrauchen :

1. Auslesen des Speichers von PPL-geschützten Prozessen

Ein lokaler Administrator verwendet die Dump-Methode des COM-Objekts SentinelHelper.1, um den Speicher eines beliebigen Protected Process Light (PPL)-Prozesses auszulesen. Die Schnittstelle SentinelHelper.1 ist ein legitimes Verwaltungswerkzeug, aber sie wurde ohne ausreichende Zugriffskontrolle freigegeben. Dadurch kann ein Angreifer mit lokalen Admin-Rechten den PPL-Schutz vollständig umgehen und die Speicherinhalte von Prozessen wie Windows Defender auslesen .

2. Injizieren von nicht signiertem Code in den erhöhten Prozess

Nachdem der PPL-geschützte Prozess ausgelesen wurde, injiziert der Angreifer nicht signierten Code in diesen erhöhten Prozess. Entscheidend ist, dass diese Code-Injektion von einer von SentinelOne signierten Komponente ausgeht – das Betriebssystem vertraut Code, der von SentinelOne signiert wurde. Der injizierte, nicht signierte Code, der in einem vertrauenswürdigen Träger verpackt ist, umgeht die Windows-Codeintegritätsprüfungen .

3. Abschirmen von Schadsoftware vor Erkennung und Entfernung

Schließlich nutzt der Angreifer dieselben vertrauenswürdigen SentinelOne-Prozesse und -Schnittstellen, um zu verhindern, dass der EDR die injizierte Schadsoftware erkennt oder entfernt. Da die Schadsoftware innerhalb oder neben den eigenen vertrauenswürdigen Prozessen von SentinelOne läuft, schirmen die Anti-Manipulations- und Selbstschutzmechanismen des EDR die Schadsoftware effektiv vor sich selbst ab .

Der Angreifer kann auch einen betrügerischen SentinelOne-Agenten ohne gültige Lizenz installieren und die Management-Telemetrie durch lokale DNS-Manipulation blockieren, wodurch das kompromittierte System von der zentralen Verwaltungskonsole isoliert wird .

Welche Schwachstelle wird ausgenutzt?

Das Kernproblem ist, dass SentinelOne leistungsstarke Component Object Model (COM)-Schnittstellen – insbesondere SentinelHelper.1 – für lokale Administratoren ohne ausreichende Zugriffskontrolle freigegeben hat. Darüber hinaus konnten seine signierten Installationsbinärdateien zweckentfremdet werden, um privilegierte Aktionen auszuführen, die normale, nicht signierte Binärdateien nicht ausführen können .

Zum Zeitpunkt der Veröffentlichung wurde noch keine öffentliche CVE-Kennung für dieses spezifische Problem gemeldet .

Es ist wichtig zu betonen, dass der Angriff lokale Administratorrechte auf dem Zielrechner voraussetzt. Es handelt sich nicht um eine Schwachstelle für Remotecodeausführung. Sobald ein Angreifer jedoch durch einen separaten Erstzugriff (z. B. Ausnutzen einer anfälligen Anwendung oder gestohlene Anmeldedaten) lokale Admin-Rechte erlangt hat, ermöglicht ihm BYOEDR, die PPL-Schutzmechanismen zu umgehen, die solche Kompromittierungen eigentlich eindämmen sollen .

Der Patch: SentinelOne Agent 26.1.1

SentinelOne hat das gemeldete Problem in Agent-Version 26.1.1 behoben. Der Fix umfasste die Härtung der offengelegten COM-Schnittstellen und die Einschränkung der Verwendungsmöglichkeiten der Installationsbinärdateien und vertrauenswürdigen Komponenten . Organisationen sollten sicherstellen, dass alle SentinelOne-Agenten sofort auf Version 26.1.1 oder höher aktualisiert werden .

Weiterreichende Implikationen für vertrauenswürdige Sicherheitssoftware

Die BYOEDR-Technik verdeutlicht ein grundlegendes Vertrauensproblem: Sicherheitssoftware erhält von Natur aus hohe Privilegien und tiefen Systemzugriff. Wenn diese Fähigkeiten jedoch über zugängliche Schnittstellen oder signierte Binärdateien freigegeben werden, können Angreifer sie als offensive Werkzeuge umfunktionieren .

• PPL ist keine absolute Verteidigung. PPL-Schutzmaßnahmen können umgangen werden, wenn eine PPL-signierte Komponente (wie ein EDR) eine Speicher-Dump- oder Code-Injektions-Funktion für lokale Benutzer freigibt .
• Signierte Binärdateien sind ein zweischneidiges Schwert. Codesignierung garantiert die Herkunft, nicht die Sicherheit. Angreifer können „Living-off-the-Land“-Sicherheitsprodukte (LOLSPs) ähnlich missbrauchen wie vertrauenswürdige Betriebssystem-Binärdateien .
• Die Verantwortung der Anbieter ist entscheidend. Sicherheitsanbieter müssen ihre eigenen COM-Schnittstellen, Treiber-Zugriffskontrollen und Installationsvalidierungslogik mit der gleichen Strenge prüfen, die sie bei der Fehlersuche in Drittanbieter-Software anwenden .

Schritte zur Risikominderung für Organisationen

Um sich gegen BYOEDR-Angriffe zu schützen, sollten Organisationen folgende Maßnahmen ergreifen:

1. Sofort aktualisieren – Stellen Sie sicher, dass alle SentinelOne-Agenten auf Version 26.1.1 oder höher aktualisiert werden .
2. Lokalen Administratorzugriff härten – Da der Angriff lokale Administratorrechte erfordert, beschränken und kontrollieren Sie Administratorkonten streng. Implementieren Sie Just-in-Time (JIT)-Adminzugriff und überwachen Sie auf ungewöhnliche Rechteausweitungen .
3. Auf COM-Missbrauch überwachen – Implementieren Sie Erkennungsregeln für verdächtige Nutzung der COM-Schnittstellen von SentinelOne (z. B. SentinelHelper.1 oder unerwartete Aufrufe von Dump-Methoden) durch Nicht-SentinelOne-Prozesse .
4. Least Privilege umfassend anwenden – Behandeln Sie alle Sicherheitsagenten als potenzielle Angriffsflächen. Schränken Sie interaktive Anmeldungen ein, setzen Sie Anwendungssteuerung (z. B. WDAC oder AppLocker) durch und segmentieren Sie administrative Arbeitsabläufe .
5. Härtungspraktiken der Anbieter überprüfen – Fragen Sie bei der Bewertung von EDR/XDR-Produkten die Anbieter, wie sie ihre eigenen privilegierten Schnittstellen vor lokalem Missbrauch schützen, und nicht nur vor Remote-Exploits .

Eine wachsende Familie von Vertrauensmissbrauchs-Angriffen

BYOEDR ist kein Einzelfall. Eine ähnliche Technik namens „Bring Your Own Installer“ (BYOI), die 2025 von Aon's Stroz Friedberg entdeckt wurde, nutzt den Upgrade-/Downgrade-Prozess von SentinelOne aus, um Anti-Manipulations-Schutzmaßnahmen zu deaktivieren und Endpunkte für die Ausführung von Schadsoftware ungeschützt zu lassen . BYOI wurde bei realen Angriffen beobachtet, bei denen die Babuk-Ransomware eingesetzt wurde .

Die Kombination von BYOEDR und BYOI zeigt, dass Angreifer zunehmend das Vertrauen angreifen, das in Sicherheitssoftware selbst gesetzt wird, und nicht nur die Schwachstellen in den von ihr geschützten Anwendungen.