BYOEDR : L'attaque qui retourne SentinelOne contre ses propres défenses

1. Extraction de la mémoire des processus protégés par PPL

Un administrateur local utilise la méthode Dump de l'objet COM SentinelHelper.1 pour extraire la mémoire de n'importe quel processus Protected Process Light (PPL). L'interface SentinelHelper.1 est un outil d'administration légitime, mais elle a été exposée sans contrôle d'accès adéquat. Cela permet à un attaquant disposant de droits d'administration locaux de contourner entièrement les protections PPL, en lisant le contenu mémoire de processus comme Windows Defender .

2. Injection de code non signé dans le processus élevé

Après avoir extrait la mémoire du processus protégé par PPL, l'attaquant injecte du code non signé dans ce processus élevé. Crucialement, cette injection de code provient d'un composant signé par SentinelOne — le système d'exploitation fait confiance au code signé par SentinelOne. Le code non signé injecté, enveloppé dans un transporteur de confiance, contourne les vérifications d'intégrité du code de Windows .

3. Protection du malware contre la détection et la suppression

Enfin, l'attaquant exploite les mêmes processus et interfaces SentinelOne de confiance pour empêcher l'EDR de détecter ou de supprimer le malware injecté. Parce que le malware s'exécute à l'intérieur ou aux côtés des propres processus de confiance de SentinelOne, les mécanismes d'anti-altération et d'auto-protection de l'EDR protègent efficacement le malware contre lui-même .

L'attaquant peut également installer un agent SentinelOne frauduleux sans licence valide et bloquer la télémétrie de gestion via une manipulation DNS locale, isolant ainsi le système compromis de la console de gestion centrale .

Quelle vulnérabilité est exploitée ?

Le problème fondamental est que SentinelOne a exposé des interfaces Component Object Model (COM) puissantes — spécifiquement SentinelHelper.1 — aux administrateurs locaux sans contrôle d'accès adéquat. De plus, ses binaires d'installation signés pouvaient être détournés pour effectuer des actions privilégiées que des binaires normaux non signés ne peuvent pas accomplir .

À la date de la divulgation, aucun identifiant CVE public n'a été largement rapporté pour ce problème spécifique .

Il est important de noter que l'attaque nécessite des privilèges d'administrateur local sur la machine cible. Il ne s'agit pas d'une vulnérabilité d'exécution de code à distance. Cependant, une fois qu'un attaquant obtient un accès administrateur local via une compromission initiale distincte (comme l'exploitation d'une application vulnérable ou l'utilisation d'identifiants volés), BYOEDR lui permet de contourner les protections PPL qui sont censées contenir de telles compromissions .

Le correctif : Agent SentinelOne 26.1.1

SentinelOne a corrigé le problème signalé dans l'Agent version 26.1.1. Le correctif a consisté à durcir les interfaces COM exposées et à restreindre la manière dont les binaires d'installation et les composants de confiance peuvent être utilisés . Les organisations doivent s'assurer que tous les agents SentinelOne sont mis à niveau vers la version 26.1.1 ou une version ultérieure immédiatement .

Implications plus larges pour les logiciels de sécurité de confiance

La technique BYOEDR met en lumière un problème de confiance fondamental : les logiciels de sécurité se voient accorder des privilèges élevés et un accès système profond par conception. Lorsque ces capacités sont exposées via des interfaces accessibles ou des binaires signés, les attaquants peuvent les détourner comme des outils offensifs .

• PPL n'est pas une défense absolue. Les protections PPL peuvent être contournées si un composant signé PPL (comme un EDR) expose une primitive d'extraction de mémoire ou d'injection de code aux utilisateurs locaux .
• Les binaires signés sont une arme à double tranchant. La signature de code garantit l'origine, pas la sécurité. Les attaquants peuvent exploiter les produits de sécurité « living-off-the-land » (LOLSP) de la même manière qu'ils abusent des binaires de confiance du système d'exploitation .
• La responsabilité du fournisseur est primordiale. Les fournisseurs de sécurité doivent auditer leurs propres interfaces COM, contrôles d'accès aux pilotes et logique de validation des installateurs avec la même rigueur qu'ils appliquent à la recherche de failles dans les logiciels tiers .

Mesures d'atténuation pour les organisations

Pour se défendre contre les attaques BYOEDR, les organisations devraient prendre les mesures suivantes :

1. Mettre à jour immédiatement — Assurez-vous que tous les agents SentinelOne sont mis à niveau vers la version 26.1.1 ou une version ultérieure .
2. Renforcer le contrôle des accès administrateur local — Étant donné que l'attaque nécessite des privilèges d'administrateur local, limitez et contrôlez strictement les comptes administratifs. Mettez en œuvre un accès administrateur juste-à-temps (JIT) et surveillez les élévations de privilèges inhabituelles .
3. Surveiller les abus COM — Déployez des règles de détection pour les utilisations suspectes des interfaces COM de SentinelOne (par exemple, SentinelHelper.1 ou des appels inattendus aux méthodes Dump) par des processus non-SentinelOne .
4. Appliquer le moindre privilège de manière large — Traitez tous les agents de sécurité comme des surfaces d'attaque potentielles. Restreignez les connexions interactives, appliquez le contrôle d'application (par exemple, WDAC ou AppLocker) et segmentez les flux de travail administratifs .
5. Examiner les pratiques de durcissement des fournisseurs — Lors de l'évaluation des produits EDR/XDR, demandez aux fournisseurs comment ils protègent leurs propres interfaces privilégiées contre les abus locaux, et pas seulement contre les exploits à distance .

Une famille croissante d'attaques par abus de confiance

BYOEDR n'est pas un incident isolé. Une technique similaire appelée « Bring Your Own Installer » (BYOI), découverte par Stroz Friedberg (Aon) en 2025, exploite le processus de mise à niveau/rétrogradation de SentinelOne pour désactiver les protections anti-altération, laissant les terminaux sans protection pour l'exécution de malwares . BYOI a été observée dans des attaques réelles déployant le rançongiciel Babuk .

La combinaison de BYOEDR et BYOI démontre que les attaquants ciblent de plus en plus la confiance placée dans les logiciels de sécurité eux-mêmes, et pas seulement les vulnérabilités des applications qu'ils protègent.