BYOEDR: Hyökkääjä aseistaa SentinelOne-päätepistesuojauksen troijalaiseksi hevoseksi

Las Vegasin DEF CON 34 -tietoturvakonferenssissa Akamai-tutkija Shahak Morag esitteli uuden hyökkäystekniikan, joka on saanut nimekseen "Bring Your Own EDR" (BYOEDR). Menetelmä aseistaa aidon SentinelOne-päätepisteagentin etuoikeutetuksi troijalaiseksi hevoseksi, jonka avulla voidaan suorittaa allekirjoittamatonta koodia ja suojata haittaohjelmia poistamiselta .

Kyse ei ole pelkästään teoreettisesta harjoituksesta. Hyökkäys käyttää hyväksi SentinelOnen paljastettuja COM-rajapintoja ja allekirjoitettuja asennustiedostoja ohittaakseen Windowsin Protected Process Light (PPL) -mekanismin, joka normaalisti estää käyttäjätason prosesseja pääsemästä käsiksi suojattuihin järjestelmäprosesseihin. SentinelOne on julkaissut korjauksen Agent-versiossa 26.1.1 .

Miten BYOEDR-hyökkäys toimii?

Hyökkäysketju koostuu kolmesta vaiheesta, joista jokainen väärinkäyttää eri SentinelOne-komponenttia :

1. PPL-suojatun prosessin muistin kopiointi

Paikallinen järjestelmänvalvoja käyttää SentinelHelper.1 COM-olion Dump-metodia kopioidakseen minkä tahansa Protected Process Light (PPL) -prosessin muistin. SentinelHelper.1 on aito hallintatyökalu, mutta se oli altistettu ilman riittävää kulunvalvontaa. Tämä antaa paikalliselle järjestelmänvalvojalle mahdollisuuden kiertää PPL-suojaukset kokonaan ja lukea esimerkiksi Windows Defenderin muistin sisältöä .

2. Allekirjoittamattoman koodin ruiskutus korotettuun prosessiin

PPL-suojatun prosessin muistin kopioinnin jälkeen hyökkääjä ruiskuttaa allekirjoittamatonta koodia tuohon korotettuun prosessiin. Oleellista on, että tämä koodinruiskutus lähtee SentinelOnen allekirjoittamasta komponentista – käyttöjärjestelmä luottaa SentinelOnen allekirjoittamaan koodiin. Ruiskutettu allekirjoittamaton koodi, joka on kääritty luotettuun kantajaan, ohittaa Windowsin koodin eheystarkistukset .

3. Haittaohjelman suojaaminen tunnistukselta ja poistolta

Lopuksi hyökkääjä hyödyntää samoja luotettuja SentinelOne-prosesseja ja -rajapintoja estääkseen EDR:ää tunnistamasta tai poistamasta ruiskutettua haittaohjelmaa. Koska haittaohjelma toimii SentinelOnen omien luotettujen prosessien sisällä tai rinnalla, EDR:n omat suoja- ja peukalointiestomekanismit suojaavat käytännössä haittaohjelmaa itseltään .

Hyökkääjä voi myös asentaa roistoversion SentinelOne-agentista ilman voimassa olevaa lisenssiä ja estää hallintatelemetrian paikallisen DNS-manipulaation avulla, mikä eristää vaarantuneen järjestelmän keskitetystä hallintakonsolista .

Mitä haavoittuvuutta se hyödyntää?

Perimmäinen ongelma on, että SentinelOne altisti tehokkaat COM-rajapinnat – erityisesti SentinelHelper.1 – paikallisille järjestelmänvalvojille ilman riittävää kulunvalvontaa. Lisäksi sen allekirjoitettuja asennustiedostoja voitiin käyttää uudelleen etuoikeutettujen toimintojen suorittamiseen, joihin tavalliset allekirjoittamattomat tiedostot eivät pysty .

Tämän tiedon julkistamisen aikaan tälle ongelmalle ei ole raportoitu julkista CVE-tunnistetta .

On tärkeää huomata, että hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet kohdekoneella. Kyse ei ole etäkoodin suoritus -haavoittuvuudesta. Kuitenkin, kun hyökkääjä on saanut paikalliset järjestelmänvalvojan oikeudet erillisen alkuperäisen kompromissin kautta (kuten haavoittuvan sovelluksen hyödyntäminen tai varastetut tunnukset), BYOEDR mahdollistaa PPL-suojausten kiertämisen, joiden tarkoitus on rajoittaa tällaisten kompromissien vaikutuksia .

Korjaus: SentinelOne Agent 26.1.1

SentinelOne korjasi raportoidun ongelman Agent-versiossa 26.1.1. Korjaus sisältää altistettujen COM-rajapintojen vahvistamisen ja sen rajoittamisen, miten asennustiedostoja ja luotettuja komponentteja voidaan käyttää . Organisaatioiden tulisi varmistaa, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan välittömästi .

Laajemmat vaikutukset luotetulle suojaavalle ohjelmistolle

BYOEDR-tekniikka korostaa perustavanlaatuista luottamusongelmaa: tietoturvaohjelmistoille myönnetään korkeat oikeudet ja syvä pääsy järjestelmään suunnittelusta johtuen. Kun nämä ominaisuudet ovat käytettävissä avointen rajapintojen tai allekirjoitettujen tiedostojen kautta, hyökkääjät voivat muuttaa ne hyökkäystyökaluiksi .

• PPL ei ole ehdoton suoja. PPL-suojaukset voidaan kiertää, jos PPL-allekirjoitettu komponentti (kuten EDR) altistaa muistin kopiointi- tai koodinruiskutusprimitiivin paikallisille käyttäjille .
• Allekirjoitetut tiedostot ovat kaksiteräinen miekka. Koodin allekirjoitus takaa alkuperän, ei turvallisuutta. Hyökkääjät voivat hyödyntää "living-off-the-land" -tietoturvatuotteita (LOLSP) samalla tavalla kuin he käyttävät väärin luotettuja käyttöjärjestelmätiedostoja .
• Toimittajan vastuu on ensiarvoisen tärkeää. Tietoturvatoimittajien on auditoitava omat COM-rajapintansa, ajurien kulunvalvontansa ja asennuksen validointilogiikkansa yhtä perusteellisesti kuin he etsivät vikoja kolmannen osapuolen ohjelmistoista .

Suojautumistoimenpiteet organisaatioille

Suojautuakseen BYOEDR-hyökkäyksiltä organisaatioiden tulisi ryhtyä seuraaviin toimenpiteisiin:

1. Päivitä heti – Varmista, että kaikki SentinelOne-agentit on päivitetty versioon 26.1.1 tai uudempaan .
2. Tiukenna paikallisia ylläpitäjätunnuksia – Koska hyökkäys vaatii paikalliset järjestelmänvalvojan oikeudet, rajoita ja hallitse tarkasti järjestelmänvalvojatunnuksia. Ota käyttöön JIT (Just-In-Time) -ylläpitotunnukset ja seuraa epätavallisia oikeuksien korotuksia .
3. Seuraa COM-rajapintojen väärinkäyttöä – Ota käyttöön tunnistussäännöt, jotka havaitsevat SentinelOnen COM-rajapintojen (kuten SentinelHelper.1 tai odottamattomat Dump-metodikutsut) epäilyttävän käytön muiden kuin SentinelOne-prosessien toimesta .
4. Sovella vähimmäisoikeuksia laajasti – Käsittele kaikkia tietoturva-agentteja mahdollisina hyökkäyspintoina. Rajoita vuorovaikutteisia kirjautumisia, ota käyttöön sovellusten hallinta (esim. WDAC tai AppLocker) ja eriyttäkää hallinnolliset työnkulut .
5. Arvioi toimittajan suojaustoimenpiteitä – Arvioidessasi EDR/XDR-tuotteita kysy toimittajilta, miten he suojaavat omat etuoikeutetut rajapintansa paikalliselta väärinkäytöltä, ei vain etähyökkäyksiltä .

Kasvava luottamuksen väärinkäyttöön perustuvien hyökkäysten perhe

BYOEDR ei ole yksittäistapaus. Vastaava tekniikka nimeltä "Bring Your Own Installer" (BYOI), jonka Aonin Stroz Friedberg löysi vuonna 2025, hyödyntää SentinelOnen päivitys-/palautusprosessia peukalointiestosuojausten ohittamiseksi, jolloin päätepisteet jäävät suojaamattomiksi haittaohjelmille . BYOI:tä on havaittu käytettävän todellisissa hyökkäyksissä Babuk-kiristyshaittaohjelman levittämiseksi .

BYOEDR:n ja BYOI:n yhdistelmä osoittaa, että hyökkääjät kohdistavat iskunsa yhä useammin tietoturvaohjelmistoihin itseensä kohdistuvaan luottamukseen, eivät vain niiden suojaamissa sovelluksissa oleviin haavoittuvuuksiin.