ברינג יור אוון EDR: איך אקאמאי הפכה את סיינטינלואן לסוס טרויאני ב-DEF CON 34
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows. ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק.
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows.
ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק. היא מדגימה כיצד אמון בתוכנת אבטחה מהימנה עלול להפוך אותה לנשק התקפי.
ארגונים חייבים לעדכן את סוכני SentinelOne מיד לגרסה 26.1.1 ומעלה, להגביל הרשאות מנהל, לנטר שימוש חשוד בממשקי COM ולוודא שספקי EDR מגנים על הרכיבים הפריבילגיים שלהם.
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
הצגת 'ברינג יור אוון EDR' (BYOEDR)
בכנס DEF CON 34 שהתקיים בלאס וגאס, חשף חוקר אקאמאי, שחק מורג, טכניקת תקיפה חדשה בשם "Bring Your Own EDR" (BYOEDR). השיטה הופכת את סוכן ה-Endpoint Detection and Response (EDR) הלגיטימי של SentinelOne ל'סוס טרויאני' פריבילגי – כלי שנועד להגן על נקודות קצה, הופך להיות זה שמבצע קוד לא חתום ומגן על נוזקות מפני הסרה .
זו אינה הדגמה תיאורטית גרידא. ההתקפה מנצלת ממשקי COM חשופים של SentinelOne וקובצי התקנה חתומים על מנת לעקוף את מנגנון ה-Protected Process Light (PPL) של Windows, מנגנון אבטחה שנועד למנוע מתהליכי User Mode לגשת לתהליכי מערכת מוגנים. סיינטינלואן תיקנה את הבעיה בגרסת Agent 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ברינג יור אוון EDR: איך אקאמאי הפכה את סיינטינלואן לסוס טרויאני ב-DEF CON 34"?
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows.
What are the key points to validate first?
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows. ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק. היא מדגימה כיצד אמון בתוכנת אבטחה מהימנה עלול להפוך אותה לנשק התקפי.
What should I do next in practice?
ארגונים חייבים לעדכן את סוכני SentinelOne מיד לגרסה 26.1.1 ומעלה, להגביל הרשאות מנהל, לנטר שימוש חשוד בממשקי COM ולוודא שספקי EDR מגנים על הרכיבים הפריבילגיים שלהם.
ברינג יור אוון EDR: איך אקאמאי הפכה את סיינטינלואן לסוס טרויאני ב-DEF CON 34
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows. ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק.
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows.
ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק. היא מדגימה כיצד אמון בתוכנת אבטחה מהימנה עלול להפוך אותה לנשק התקפי.
ארגונים חייבים לעדכן את סוכני SentinelOne מיד לגרסה 26.1.1 ומעלה, להגביל הרשאות מנהל, לנטר שימוש חשוד בממשקי COM ולוודא שספקי EDR מגנים על הרכיבים הפריבילגיים שלהם.
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
הצגת 'ברינג יור אוון EDR' (BYOEDR)
בכנס DEF CON 34 שהתקיים בלאס וגאס, חשף חוקר אקאמאי, שחק מורג, טכניקת תקיפה חדשה בשם "Bring Your Own EDR" (BYOEDR). השיטה הופכת את סוכן ה-Endpoint Detection and Response (EDR) הלגיטימי של SentinelOne ל'סוס טרויאני' פריבילגי – כלי שנועד להגן על נקודות קצה, הופך להיות זה שמבצע קוד לא חתום ומגן על נוזקות מפני הסרה .
זו אינה הדגמה תיאורטית גרידא. ההתקפה מנצלת ממשקי COM חשופים של SentinelOne וקובצי התקנה חתומים על מנת לעקוף את מנגנון ה-Protected Process Light (PPL) של Windows, מנגנון אבטחה שנועד למנוע מתהליכי User Mode לגשת לתהליכי מערכת מוגנים. סיינטינלואן תיקנה את הבעיה בגרסת Agent 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "ברינג יור אוון EDR: איך אקאמאי הפכה את סיינטינלואן לסוס טרויאני ב-DEF CON 34"?
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows.
What are the key points to validate first?
טכניקת ה BYOEDR, שהוצגה על ידי חוקר אקאמאי שחק מורג בכנס DEF CON 34, מנצלת ממשקי COM וקובצי התקנה חתומים של SentinelOne כדי לעקוף את מנגנון ההגנה PPL של Windows. ההתקפה דורשת הרשאות מנהל מקומי במחשב היעד ואינה פרצת הרצת קוד מרחוק. היא מדגימה כיצד אמון בתוכנת אבטחה מהימנה עלול להפוך אותה לנשק התקפי.
What should I do next in practice?
ארגונים חייבים לעדכן את סוכני SentinelOne מיד לגרסה 26.1.1 ומעלה, להגביל הרשאות מנהל, לנטר שימוש חשוד בממשקי COM ולוודא שספקי EDR מגנים על הרכיבים הפריבילגיים שלהם.
שרשרת התקיפה מתבצעת בשלושה שלבים, כל אחד מהם מנצל רכיב SentinelOne מהימן אחר :
1. הוצאת זיכרון מתהליך המוגן על ידי PPL
מנהל מקומי משתמש בשיטת Dump של אובייקט ה-COM SentinelHelper.1 כדי להוציא את התוכן של זיכרון תהליך המוגן על ידי PPL. ממשק SentinelHelper.1 הוא כלי ניהולי לגיטימי, אך הוא נחשף ללא בקרת גישה מתאימה. הדבר מאפשר לתוקף בעל הרשאות מנהל מקומי לעקוף לחלוטין את הגנות ה-PPL, ולקרוא את תוכן הזיכרון של תהליכים כמו Windows Defender .
2. הזרקת קוד לא חתום לתהליך המורם
לאחר הוצאת הזיכרון, התוקף מזריק קוד לא חתום לתוך התהליך המורם. קריטי לציין שהזרקת הקוד הזו נעשית מרכיב חתום של SentinelOne – מערכת ההפעלה סומכת על קוד החתום על ידי SentinelOne. הקוד הלא חתום, העטוף בנשא מהימן, עוקף את בדיקות תקינות הקוד של Windows .
3. הגנה על נוזקות מפני זיהוי והסרה
לבסוף, התוקף מנצל את אותם תהליכים וממשקים מהימנים של SentinelOne כדי למנוע מה-EDR לזהות או להסיר את הנוזקה שהוחדרה. מכיוון שהנוזקה פועלת בתוך או לצד התהליכים המהימנים של SentinelOne, מנגנוני ההגנה העצמית של ה-EDR מגנים למעשה על הנוזקה מפני עצמה .
התוקף יכול גם להתקין סוכן SentinelOne מזויף ללא רישיון תקף, ולחסום טלמטריה ניהולית באמצעות מניפולציית DNS מקומית, ובכך לבודד את המערכת הנגועה מקונסולת הניהול המרכזית .
איזו פרצה היא מנצלת?
שורש הבעיה הוא ש-SentinelOne חשפה ממשקי COM חזקים – במיוחד SentinelHelper.1 – למנהלים מקומיים ללא בקרת גישה מתאימה. בנוסף, קובצי ההתקנה החתומים שלה יכולים לשמש לביצוע פעולות פריבילגיות שקובצי binary לא חתומים אינם יכולים לבצע .
נכון למועד החשיפה, לא דווח על מזהה CVE ציבורי לבעיה הספציפית הזו .
חשוב לציין שההתקפה דורשת הרשאות מנהל מקומי במחשב היעד. זוהי אינה פרצת הרצת קוד מרחוק. עם זאת, ברגע שתוקף משיג גישת מנהל מקומי באמצעות פשרה ראשונית נפרדת (כגון ניצול פרצה ביישום או שימוש בפרטי גישה גנובים), BYOEDR מאפשרת לו לעקוף את הגנות ה-PPL שנועדו להגביל התפשרויות כאלה .
התיקון: סוכנת SentinelOne גרסה 26.1.1
סיינטינלואן תיקנה את הבעיה המדווחת ב-Agent version 26.1.1. התיקון כלל הקשחת ממשקי ה-COM החשופים והגבלת האופן שבו ניתן להשתמש בקבצי ההתקנה והרכיבים המהימנים . ארגונים צריכים לוודא כי כל סוכני SentinelOne משודרגים לגרסה 26.1.1 ומעלה באופן מיידי .
השלכות רחבות יותר על תוכנות אבטחה מהימנות
טכניקת BYOEDR מדגישה בעיית אמון בסיסית: תוכנות אבטחה מקבלות הרשאות גבוהות וגישה עמוקה למערכת על פי תכנון. כאשר היכולות הללו נחשפות דרך רכיבים נגישים או קובצי בינאריים חתומים, תוקפים יכולים להפוך אותן לכלים התקפיים .
PPL אינה הגנה מוחלטת. ניתן לעקוף את הגנות PPL אם רכיב חתום על ידי PPL (כמו EDR) חושף פרימיטיבי של הוצאת זיכרון או הזרקת קוד למשתמשים מקומיים .
קובצי binary חתומים הם חרב פיפיות. חתימת קוד מבטיחה את המקור, לא את הבטיחות. תוקפים יכולים למנף "Living-Off-the-Land Security Products" (LOLSPs) באותו אופן שבו הם מנצלים קובצי binary מהימנים של מערכת ההפעלה .
האחריות של הספק היא עליונה. ספקי אבטחה חייבים לבדוק את ממשקי ה-COM שלהם, בקרות הגישה לדרייברים ולוגיקת אימות ההתקנה בקפדנות זהה לזו שבה הם מטפלים באיתור פרצות בתוכנות של צד שלישי .
צעדים להפחתת סיכון לארגונים
כדי להתגונן מפני התקפות BYOEDR, ארגונים צריכים לבצע את הפעולות הבאות:
עדכון מיידי – יש לוודא כי כל סוכני SentinelOne משודרגים לגרסה 26.1.1 ומעלה .
הקשיחו גישת מנהל מקומי – מכיוון שההתקפה דורשת הרשאות מנהל מקומי, הגבילו ושלוטו בחשבונות אדמיניסטרטיביים בצורה הדוקה. הטמיעו גישת Just-in-Time (JIT) לגישת מנהל ונטרו אחר הרמות הרשאה חריגות .
נטרו ניצול לרעה של COM – פרוסו כללי זיהוי לשימוש חשוד בממשקי COM של SentinelOne (למשל SentinelHelper.1 או שיחות לא צפויות ל-Dump) על ידי תהליכים שאינם של SentinelOne .
ישימו עקרון הרשאות מינימליות באופן נרחב – התייחסו לכל סוכני האבטחה כאל משטח תקיפה פוטנציאלי. הגבילו כניסות אינטראקטיביות, אכפו בקרת יישומים (כמו WDAC או AppLocker), ובצעו segmentation של זרימות עבודה ניהוליות .
בחנו את נוהלי ההקשחה של הספק – בעת הערכת מוצרי EDR/XDR, שאלו ספקים כיצד הם מגנים על הממשקים הפריבילגיים שלהם מפני ניצול מקומי, לא רק מפני ניצול מרחוק .
משפחה הולכת וגדלה של התקפות ניצול אמון
BYOEDR אינה אירוע בודד. טכניקה דומה בשם "Bring Your Own Installer" (BYOI), שהתגלתה על ידי חברת המודיעין Aon's Stroz Friedberg ב-2025, מנצלת את תהליך השדרוג/השדרוג לאחור של SentinelOne כדי להשבית את הגנות ה-Anti-Tamper, ומותירה נקודות קצה לא מוגנות להרצת נוזקות. BYOI נצפתה בהתקפות בעולם האמיתי שפרסו את נוזקת הכופר Babuk .
השילוב של BYOEDR ו-BYOI מדגים כי תוקפים מכוונים יותר ויותר לאמון שניתן בתוכנות האבטחה עצמן, ולא רק לפרצות ביישומים שהן מגינות עליהם.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
שרשרת התקיפה מתבצעת בשלושה שלבים, כל אחד מהם מנצל רכיב SentinelOne מהימן אחר :
1. הוצאת זיכרון מתהליך המוגן על ידי PPL
מנהל מקומי משתמש בשיטת Dump של אובייקט ה-COM SentinelHelper.1 כדי להוציא את התוכן של זיכרון תהליך המוגן על ידי PPL. ממשק SentinelHelper.1 הוא כלי ניהולי לגיטימי, אך הוא נחשף ללא בקרת גישה מתאימה. הדבר מאפשר לתוקף בעל הרשאות מנהל מקומי לעקוף לחלוטין את הגנות ה-PPL, ולקרוא את תוכן הזיכרון של תהליכים כמו Windows Defender .
2. הזרקת קוד לא חתום לתהליך המורם
לאחר הוצאת הזיכרון, התוקף מזריק קוד לא חתום לתוך התהליך המורם. קריטי לציין שהזרקת הקוד הזו נעשית מרכיב חתום של SentinelOne – מערכת ההפעלה סומכת על קוד החתום על ידי SentinelOne. הקוד הלא חתום, העטוף בנשא מהימן, עוקף את בדיקות תקינות הקוד של Windows .
3. הגנה על נוזקות מפני זיהוי והסרה
לבסוף, התוקף מנצל את אותם תהליכים וממשקים מהימנים של SentinelOne כדי למנוע מה-EDR לזהות או להסיר את הנוזקה שהוחדרה. מכיוון שהנוזקה פועלת בתוך או לצד התהליכים המהימנים של SentinelOne, מנגנוני ההגנה העצמית של ה-EDR מגנים למעשה על הנוזקה מפני עצמה .
התוקף יכול גם להתקין סוכן SentinelOne מזויף ללא רישיון תקף, ולחסום טלמטריה ניהולית באמצעות מניפולציית DNS מקומית, ובכך לבודד את המערכת הנגועה מקונסולת הניהול המרכזית .
איזו פרצה היא מנצלת?
שורש הבעיה הוא ש-SentinelOne חשפה ממשקי COM חזקים – במיוחד SentinelHelper.1 – למנהלים מקומיים ללא בקרת גישה מתאימה. בנוסף, קובצי ההתקנה החתומים שלה יכולים לשמש לביצוע פעולות פריבילגיות שקובצי binary לא חתומים אינם יכולים לבצע .
נכון למועד החשיפה, לא דווח על מזהה CVE ציבורי לבעיה הספציפית הזו .
חשוב לציין שההתקפה דורשת הרשאות מנהל מקומי במחשב היעד. זוהי אינה פרצת הרצת קוד מרחוק. עם זאת, ברגע שתוקף משיג גישת מנהל מקומי באמצעות פשרה ראשונית נפרדת (כגון ניצול פרצה ביישום או שימוש בפרטי גישה גנובים), BYOEDR מאפשרת לו לעקוף את הגנות ה-PPL שנועדו להגביל התפשרויות כאלה .
התיקון: סוכנת SentinelOne גרסה 26.1.1
סיינטינלואן תיקנה את הבעיה המדווחת ב-Agent version 26.1.1. התיקון כלל הקשחת ממשקי ה-COM החשופים והגבלת האופן שבו ניתן להשתמש בקבצי ההתקנה והרכיבים המהימנים . ארגונים צריכים לוודא כי כל סוכני SentinelOne משודרגים לגרסה 26.1.1 ומעלה באופן מיידי .
השלכות רחבות יותר על תוכנות אבטחה מהימנות
טכניקת BYOEDR מדגישה בעיית אמון בסיסית: תוכנות אבטחה מקבלות הרשאות גבוהות וגישה עמוקה למערכת על פי תכנון. כאשר היכולות הללו נחשפות דרך רכיבים נגישים או קובצי בינאריים חתומים, תוקפים יכולים להפוך אותן לכלים התקפיים .
PPL אינה הגנה מוחלטת. ניתן לעקוף את הגנות PPL אם רכיב חתום על ידי PPL (כמו EDR) חושף פרימיטיבי של הוצאת זיכרון או הזרקת קוד למשתמשים מקומיים .
קובצי binary חתומים הם חרב פיפיות. חתימת קוד מבטיחה את המקור, לא את הבטיחות. תוקפים יכולים למנף "Living-Off-the-Land Security Products" (LOLSPs) באותו אופן שבו הם מנצלים קובצי binary מהימנים של מערכת ההפעלה .
האחריות של הספק היא עליונה. ספקי אבטחה חייבים לבדוק את ממשקי ה-COM שלהם, בקרות הגישה לדרייברים ולוגיקת אימות ההתקנה בקפדנות זהה לזו שבה הם מטפלים באיתור פרצות בתוכנות של צד שלישי .
צעדים להפחתת סיכון לארגונים
כדי להתגונן מפני התקפות BYOEDR, ארגונים צריכים לבצע את הפעולות הבאות:
עדכון מיידי – יש לוודא כי כל סוכני SentinelOne משודרגים לגרסה 26.1.1 ומעלה .
הקשיחו גישת מנהל מקומי – מכיוון שההתקפה דורשת הרשאות מנהל מקומי, הגבילו ושלוטו בחשבונות אדמיניסטרטיביים בצורה הדוקה. הטמיעו גישת Just-in-Time (JIT) לגישת מנהל ונטרו אחר הרמות הרשאה חריגות .
נטרו ניצול לרעה של COM – פרוסו כללי זיהוי לשימוש חשוד בממשקי COM של SentinelOne (למשל SentinelHelper.1 או שיחות לא צפויות ל-Dump) על ידי תהליכים שאינם של SentinelOne .
ישימו עקרון הרשאות מינימליות באופן נרחב – התייחסו לכל סוכני האבטחה כאל משטח תקיפה פוטנציאלי. הגבילו כניסות אינטראקטיביות, אכפו בקרת יישומים (כמו WDAC או AppLocker), ובצעו segmentation של זרימות עבודה ניהוליות .
בחנו את נוהלי ההקשחה של הספק – בעת הערכת מוצרי EDR/XDR, שאלו ספקים כיצד הם מגנים על הממשקים הפריבילגיים שלהם מפני ניצול מקומי, לא רק מפני ניצול מרחוק .
משפחה הולכת וגדלה של התקפות ניצול אמון
BYOEDR אינה אירוע בודד. טכניקה דומה בשם "Bring Your Own Installer" (BYOI), שהתגלתה על ידי חברת המודיעין Aon's Stroz Friedberg ב-2025, מנצלת את תהליך השדרוג/השדרוג לאחור של SentinelOne כדי להשבית את הגנות ה-Anti-Tamper, ומותירה נקודות קצה לא מוגנות להרצת נוזקות. BYOI נצפתה בהתקפות בעולם האמיתי שפרסו את נוזקת הכופר Babuk .
השילוב של BYOEDR ו-BYOI מדגים כי תוקפים מכוונים יותר ויותר לאמון שניתן בתוכנות האבטחה עצמן, ולא רק לפרצות ביישומים שהן מגינות עליהם.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL