Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected... Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected...
Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
Organisaatioiden tulee päivittää SentinelOne agentit välittömästi versioon 26.1.1, rajoittaa paikallisia ylläpitäjätunnuksia, seurata COM rajapintojen väärinkäyttöä ja arvioida, miten heidän EDR toimittajansa suojaa o...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Las Vegasin DEF CON 34 -tietoturvakonferenssissa Akamai-tutkija Shahak Morag esitteli uuden hyökkäystekniikan, joka on saanut nimekseen "Bring Your Own EDR" (BYOEDR). Menetelmä aseistaa aidon SentinelOne-päätepisteagentin etuoikeutetuksi troijalaiseksi hevoseksi, jonka avulla voidaan suorittaa allekirjoittamatonta koodia ja suojata haittaohjelmia poistamiselta .
Kyse ei ole pelkästään teoreettisesta harjoituksesta. Hyökkäys käyttää hyväksi SentinelOnen paljastettuja COM-rajapintoja ja allekirjoitettuja asennustiedostoja ohittaakseen Windowsin Protected Process Light (PPL) -mekanismin, joka normaalisti estää käyttäjätason prosesseja pääsemästä käsiksi suojattuihin järjestelmäprosesseihin. SentinelOne on julkaissut korjauksen Agent-versiossa 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "BYOEDR: Hyökkääjä aseistaa SentinelOne-päätepistesuojauksen troijalaiseksi hevoseksi"?
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected...
What are the key points to validate first?
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected... Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
What should I do next in practice?
Organisaatioiden tulee päivittää SentinelOne agentit välittömästi versioon 26.1.1, rajoittaa paikallisia ylläpitäjätunnuksia, seurata COM rajapintojen väärinkäyttöä ja arvioida, miten heidän EDR toimittajansa suojaa o...
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected... Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
JulkaisijaMuokattu mallilla DeepSeek-V4-FlashKuvat luotu mallilla GPT Image 1.5
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected...
Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
Organisaatioiden tulee päivittää SentinelOne agentit välittömästi versioon 26.1.1, rajoittaa paikallisia ylläpitäjätunnuksia, seurata COM rajapintojen väärinkäyttöä ja arvioida, miten heidän EDR toimittajansa suojaa o...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Las Vegasin DEF CON 34 -tietoturvakonferenssissa Akamai-tutkija Shahak Morag esitteli uuden hyökkäystekniikan, joka on saanut nimekseen "Bring Your Own EDR" (BYOEDR). Menetelmä aseistaa aidon SentinelOne-päätepisteagentin etuoikeutetuksi troijalaiseksi hevoseksi, jonka avulla voidaan suorittaa allekirjoittamatonta koodia ja suojata haittaohjelmia poistamiselta .
Kyse ei ole pelkästään teoreettisesta harjoituksesta. Hyökkäys käyttää hyväksi SentinelOnen paljastettuja COM-rajapintoja ja allekirjoitettuja asennustiedostoja ohittaakseen Windowsin Protected Process Light (PPL) -mekanismin, joka normaalisti estää käyttäjätason prosesseja pääsemästä käsiksi suojattuihin järjestelmäprosesseihin. SentinelOne on julkaissut korjauksen Agent-versiossa 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "BYOEDR: Hyökkääjä aseistaa SentinelOne-päätepistesuojauksen troijalaiseksi hevoseksi"?
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected...
What are the key points to validate first?
Akamain tutkijan Shahak Moragin DEF CON 34 konferenssissa paljastama Bring Your Own EDR (BYOEDR) tekniikka hyödyntää SentinelOnen altistettuja COM rajapintoja ja allekirjoitettuja asennustiedostoja Windowsin Protected... Hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, eikä se ole etähyökkäys.
What should I do next in practice?
Organisaatioiden tulee päivittää SentinelOne agentit välittömästi versioon 26.1.1, rajoittaa paikallisia ylläpitäjätunnuksia, seurata COM rajapintojen väärinkäyttöä ja arvioida, miten heidän EDR toimittajansa suojaa o...
Hyökkäysketju koostuu kolmesta vaiheesta, joista jokainen väärinkäyttää eri SentinelOne-komponenttia :
1. PPL-suojatun prosessin muistin kopiointi
Paikallinen järjestelmänvalvoja käyttää SentinelHelper.1 COM-olion Dump-metodia kopioidakseen minkä tahansa Protected Process Light (PPL) -prosessin muistin. SentinelHelper.1 on aito hallintatyökalu, mutta se oli altistettu ilman riittävää kulunvalvontaa. Tämä antaa paikalliselle järjestelmänvalvojalle mahdollisuuden kiertää PPL-suojaukset kokonaan ja lukea esimerkiksi Windows Defenderin muistin sisältöä .
PPL-suojatun prosessin muistin kopioinnin jälkeen hyökkääjä ruiskuttaa allekirjoittamatonta koodia tuohon korotettuun prosessiin. Oleellista on, että tämä koodinruiskutus lähtee SentinelOnen allekirjoittamasta komponentista – käyttöjärjestelmä luottaa SentinelOnen allekirjoittamaan koodiin. Ruiskutettu allekirjoittamaton koodi, joka on kääritty luotettuun kantajaan, ohittaa Windowsin koodin eheystarkistukset .
3. Haittaohjelman suojaaminen tunnistukselta ja poistolta
Lopuksi hyökkääjä hyödyntää samoja luotettuja SentinelOne-prosesseja ja -rajapintoja estääkseen EDR:ää tunnistamasta tai poistamasta ruiskutettua haittaohjelmaa. Koska haittaohjelma toimii SentinelOnen omien luotettujen prosessien sisällä tai rinnalla, EDR:n omat suoja- ja peukalointiestomekanismit suojaavat käytännössä haittaohjelmaa itseltään .
Hyökkääjä voi myös asentaa roistoversion SentinelOne-agentista ilman voimassa olevaa lisenssiä ja estää hallintatelemetrian paikallisen DNS-manipulaation avulla, mikä eristää vaarantuneen järjestelmän keskitetystä hallintakonsolista .
Mitä haavoittuvuutta se hyödyntää?
Perimmäinen ongelma on, että SentinelOne altisti tehokkaat COM-rajapinnat – erityisesti SentinelHelper.1 – paikallisille järjestelmänvalvojille ilman riittävää kulunvalvontaa. Lisäksi sen allekirjoitettuja asennustiedostoja voitiin käyttää uudelleen etuoikeutettujen toimintojen suorittamiseen, joihin tavalliset allekirjoittamattomat tiedostot eivät pysty .
Tämän tiedon julkistamisen aikaan tälle ongelmalle ei ole raportoitu julkista CVE-tunnistetta .
On tärkeää huomata, että hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet kohdekoneella. Kyse ei ole etäkoodin suoritus -haavoittuvuudesta. Kuitenkin, kun hyökkääjä on saanut paikalliset järjestelmänvalvojan oikeudet erillisen alkuperäisen kompromissin kautta (kuten haavoittuvan sovelluksen hyödyntäminen tai varastetut tunnukset), BYOEDR mahdollistaa PPL-suojausten kiertämisen, joiden tarkoitus on rajoittaa tällaisten kompromissien vaikutuksia .
Korjaus: SentinelOne Agent 26.1.1
SentinelOne korjasi raportoidun ongelman Agent-versiossa 26.1.1. Korjaus sisältää altistettujen COM-rajapintojen vahvistamisen ja sen rajoittamisen, miten asennustiedostoja ja luotettuja komponentteja voidaan käyttää . Organisaatioiden tulisi varmistaa, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan välittömästi .
Laajemmat vaikutukset luotetulle suojaavalle ohjelmistolle
BYOEDR-tekniikka korostaa perustavanlaatuista luottamusongelmaa: tietoturvaohjelmistoille myönnetään korkeat oikeudet ja syvä pääsy järjestelmään suunnittelusta johtuen. Kun nämä ominaisuudet ovat käytettävissä avointen rajapintojen tai allekirjoitettujen tiedostojen kautta, hyökkääjät voivat muuttaa ne hyökkäystyökaluiksi .
PPL ei ole ehdoton suoja. PPL-suojaukset voidaan kiertää, jos PPL-allekirjoitettu komponentti (kuten EDR) altistaa muistin kopiointi- tai koodinruiskutusprimitiivin paikallisille käyttäjille .
Allekirjoitetut tiedostot ovat kaksiteräinen miekka. Koodin allekirjoitus takaa alkuperän, ei turvallisuutta. Hyökkääjät voivat hyödyntää "living-off-the-land" -tietoturvatuotteita (LOLSP) samalla tavalla kuin he käyttävät väärin luotettuja käyttöjärjestelmätiedostoja .
Toimittajan vastuu on ensiarvoisen tärkeää. Tietoturvatoimittajien on auditoitava omat COM-rajapintansa, ajurien kulunvalvontansa ja asennuksen validointilogiikkansa yhtä perusteellisesti kuin he etsivät vikoja kolmannen osapuolen ohjelmistoista .
Suojautumistoimenpiteet organisaatioille
Suojautuakseen BYOEDR-hyökkäyksiltä organisaatioiden tulisi ryhtyä seuraaviin toimenpiteisiin:
Päivitä heti – Varmista, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan .
Tiukenna paikallisia ylläpitäjätunnuksia – Koska hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, rajoita ja hallitse tarkasti järjestelmänvalvojatunnuksia. Ota käyttöön JIT (Just-In-Time) -ylläpitotunnukset ja seuraa epätavallisia oikeuksien korotuksia .
Seuraa COM-rajapintojen väärinkäyttöä – Ota käyttöön tunnistussäännöt, jotka havaitsevat SentinelOnen COM-rajapintojen (kuten SentinelHelper.1 tai odottamattomat Dump-metodikutsut) epäilyttävän käytön muiden kuin SentinelOne-prosessien toimesta .
Sovella vähimmäisoikeuksia laajasti – Käsittele kaikkia tietoturva-agentteja mahdollisina hyökkäyspintoina. Rajoita vuorovaikutteisia kirjautumisia, ota käyttöön sovellusten hallinta (esim. WDAC tai AppLocker) ja eriyttäkää hallinnolliset työnkulut .
Arvioi toimittajan suojaustoimenpiteitä – Arvioidessasi EDR/XDR-tuotteita kysy toimittajilta, miten he suojaavat omat etuoikeutetut rajapintansa paikalliselta väärinkäytöltä, ei vain etähyökkäyksiltä .
Kasvava luottamuksen väärinkäyttöön perustuvien hyökkäysten perhe
BYOEDR ei ole yksittäistapaus. Vastaava tekniikka nimeltä "Bring Your Own Installer" (BYOI), jonka Aonin Stroz Friedberg löysi vuonna 2025, hyödyntää SentinelOnen päivitys-/palautusprosessia peukalointiestosuojausten ohittamiseksi, jolloin päätepisteet jäävät suojaamattomiksi haittaohjelmille . BYOI:tä on havaittu käytettävän todellisissa hyökkäyksissä Babuk-kiristyshaittaohjelman levittämiseksi .
BYOEDR:n ja BYOI:n yhdistelmä osoittaa, että hyökkääjät kohdistavat iskunsa yhä useammin tietoturvaohjelmistoihin itseensä kohdistuvaan luottamukseen, eivät vain niiden suojaamissa sovelluksissa oleviin haavoittuvuuksiin.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
Hyökkäysketju koostuu kolmesta vaiheesta, joista jokainen väärinkäyttää eri SentinelOne-komponenttia :
1. PPL-suojatun prosessin muistin kopiointi
Paikallinen järjestelmänvalvoja käyttää SentinelHelper.1 COM-olion Dump-metodia kopioidakseen minkä tahansa Protected Process Light (PPL) -prosessin muistin. SentinelHelper.1 on aito hallintatyökalu, mutta se oli altistettu ilman riittävää kulunvalvontaa. Tämä antaa paikalliselle järjestelmänvalvojalle mahdollisuuden kiertää PPL-suojaukset kokonaan ja lukea esimerkiksi Windows Defenderin muistin sisältöä .
PPL-suojatun prosessin muistin kopioinnin jälkeen hyökkääjä ruiskuttaa allekirjoittamatonta koodia tuohon korotettuun prosessiin. Oleellista on, että tämä koodinruiskutus lähtee SentinelOnen allekirjoittamasta komponentista – käyttöjärjestelmä luottaa SentinelOnen allekirjoittamaan koodiin. Ruiskutettu allekirjoittamaton koodi, joka on kääritty luotettuun kantajaan, ohittaa Windowsin koodin eheystarkistukset .
3. Haittaohjelman suojaaminen tunnistukselta ja poistolta
Lopuksi hyökkääjä hyödyntää samoja luotettuja SentinelOne-prosesseja ja -rajapintoja estääkseen EDR:ää tunnistamasta tai poistamasta ruiskutettua haittaohjelmaa. Koska haittaohjelma toimii SentinelOnen omien luotettujen prosessien sisällä tai rinnalla, EDR:n omat suoja- ja peukalointiestomekanismit suojaavat käytännössä haittaohjelmaa itseltään .
Hyökkääjä voi myös asentaa roistoversion SentinelOne-agentista ilman voimassa olevaa lisenssiä ja estää hallintatelemetrian paikallisen DNS-manipulaation avulla, mikä eristää vaarantuneen järjestelmän keskitetystä hallintakonsolista .
Mitä haavoittuvuutta se hyödyntää?
Perimmäinen ongelma on, että SentinelOne altisti tehokkaat COM-rajapinnat – erityisesti SentinelHelper.1 – paikallisille järjestelmänvalvojille ilman riittävää kulunvalvontaa. Lisäksi sen allekirjoitettuja asennustiedostoja voitiin käyttää uudelleen etuoikeutettujen toimintojen suorittamiseen, joihin tavalliset allekirjoittamattomat tiedostot eivät pysty .
Tämän tiedon julkistamisen aikaan tälle ongelmalle ei ole raportoitu julkista CVE-tunnistetta .
On tärkeää huomata, että hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet kohdekoneella. Kyse ei ole etäkoodin suoritus -haavoittuvuudesta. Kuitenkin, kun hyökkääjä on saanut paikalliset järjestelmänvalvojan oikeudet erillisen alkuperäisen kompromissin kautta (kuten haavoittuvan sovelluksen hyödyntäminen tai varastetut tunnukset), BYOEDR mahdollistaa PPL-suojausten kiertämisen, joiden tarkoitus on rajoittaa tällaisten kompromissien vaikutuksia .
Korjaus: SentinelOne Agent 26.1.1
SentinelOne korjasi raportoidun ongelman Agent-versiossa 26.1.1. Korjaus sisältää altistettujen COM-rajapintojen vahvistamisen ja sen rajoittamisen, miten asennustiedostoja ja luotettuja komponentteja voidaan käyttää . Organisaatioiden tulisi varmistaa, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan välittömästi .
Laajemmat vaikutukset luotetulle suojaavalle ohjelmistolle
BYOEDR-tekniikka korostaa perustavanlaatuista luottamusongelmaa: tietoturvaohjelmistoille myönnetään korkeat oikeudet ja syvä pääsy järjestelmään suunnittelusta johtuen. Kun nämä ominaisuudet ovat käytettävissä avointen rajapintojen tai allekirjoitettujen tiedostojen kautta, hyökkääjät voivat muuttaa ne hyökkäystyökaluiksi .
PPL ei ole ehdoton suoja. PPL-suojaukset voidaan kiertää, jos PPL-allekirjoitettu komponentti (kuten EDR) altistaa muistin kopiointi- tai koodinruiskutusprimitiivin paikallisille käyttäjille .
Allekirjoitetut tiedostot ovat kaksiteräinen miekka. Koodin allekirjoitus takaa alkuperän, ei turvallisuutta. Hyökkääjät voivat hyödyntää "living-off-the-land" -tietoturvatuotteita (LOLSP) samalla tavalla kuin he käyttävät väärin luotettuja käyttöjärjestelmätiedostoja .
Toimittajan vastuu on ensiarvoisen tärkeää. Tietoturvatoimittajien on auditoitava omat COM-rajapintansa, ajurien kulunvalvontansa ja asennuksen validointilogiikkansa yhtä perusteellisesti kuin he etsivät vikoja kolmannen osapuolen ohjelmistoista .
Suojautumistoimenpiteet organisaatioille
Suojautuakseen BYOEDR-hyökkäyksiltä organisaatioiden tulisi ryhtyä seuraaviin toimenpiteisiin:
Päivitä heti – Varmista, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan .
Tiukenna paikallisia ylläpitäjätunnuksia – Koska hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, rajoita ja hallitse tarkasti järjestelmänvalvojatunnuksia. Ota käyttöön JIT (Just-In-Time) -ylläpitotunnukset ja seuraa epätavallisia oikeuksien korotuksia .
Seuraa COM-rajapintojen väärinkäyttöä – Ota käyttöön tunnistussäännöt, jotka havaitsevat SentinelOnen COM-rajapintojen (kuten SentinelHelper.1 tai odottamattomat Dump-metodikutsut) epäilyttävän käytön muiden kuin SentinelOne-prosessien toimesta .
Sovella vähimmäisoikeuksia laajasti – Käsittele kaikkia tietoturva-agentteja mahdollisina hyökkäyspintoina. Rajoita vuorovaikutteisia kirjautumisia, ota käyttöön sovellusten hallinta (esim. WDAC tai AppLocker) ja eriyttäkää hallinnolliset työnkulut .
Arvioi toimittajan suojaustoimenpiteitä – Arvioidessasi EDR/XDR-tuotteita kysy toimittajilta, miten he suojaavat omat etuoikeutetut rajapintansa paikalliselta väärinkäytöltä, ei vain etähyökkäyksiltä .
Kasvava luottamuksen väärinkäyttöön perustuvien hyökkäysten perhe
BYOEDR ei ole yksittäistapaus. Vastaava tekniikka nimeltä "Bring Your Own Installer" (BYOI), jonka Aonin Stroz Friedberg löysi vuonna 2025, hyödyntää SentinelOnen päivitys-/palautusprosessia peukalointiestosuojausten ohittamiseksi, jolloin päätepisteet jäävät suojaamattomiksi haittaohjelmille . BYOI:tä on havaittu käytettävän todellisissa hyökkäyksissä Babuk-kiristyshaittaohjelman levittämiseksi .
BYOEDR:n ja BYOI:n yhdistelmä osoittaa, että hyökkääjät kohdistavat iskunsa yhä useammin tietoturvaohjelmistoihin itseensä kohdistuvaan luottamukseen, eivät vain niiden suojaamissa sovelluksissa oleviin haavoittuvuuksiin.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL