BYOEDR हमला: SentinelOne का इस्तेमाल कर मालवेयर को PPL सुरक्षा से बचाने की नई तकनीक

BYOEDR हमला कैसे काम करता है

हमले की श्रृंखला तीन चरणों में निष्पादित होती है, और प्रत्येक चरण SentinelOne के किसी न किसी भरोसेमंद घटक का दुरुपयोग करता है :

1. PPL-संरक्षित प्रोसेस मेमोरी डंप करना

एक स्थानीय एडमिनिस्ट्रेटर SentinelHelper.1 COM ऑब्जेक्ट की Dump विधि का उपयोग करके किसी भी Protected Process Light (PPL) प्रक्रिया की मेमोरी डंप कर सकता है । SentinelHelper.1 इंटरफ़ेस एक वैध प्रशासनिक उपकरण है, लेकिन इसे पर्याप्त एक्सेस कंट्रोल के बिना खोल दिया गया था । यह स्थानीय एडमिन अधिकारों वाले हमलावर को PPL सुरक्षा को पूरी तरह से बायपास करने की अनुमति देता है, और Windows Defender जैसी प्रक्रियाओं की मेमोरी पढ़ सकता है ।

2. एलिवेटेड प्रोसेस में अनसाइन कोड इंजेक्ट करना

PPL-संरक्षित प्रक्रिया को डंप करने के बाद, हमलावर उस एलिवेटेड प्रक्रिया में अनसाइन कोड इंजेक्ट करता है । यह कोड इंजेक्शन एक SentinelOne-साइन किए गए घटक से शुरू होता है, और ऑपरेटिंग सिस्टम SentinelOne द्वारा हस्ताक्षरित कोड पर भरोसा करता है । इस तरह, इंजेक्ट किया गया अनसाइन कोड, एक भरोसेमंद वाहक में लिपटा हुआ, Windows कोड इंटीग्रिटी चेक को बायपास कर देता है ।

3. मालवेयर को पहचान और हटाने से बचाना

अंत में, हमलावर उन्हीं भरोसेमंद SentinelOne प्रक्रियाओं और इंटरफेस का लाभ उठाता है ताकि EDR को इंजेक्ट किए गए मालवेयर का पता लगाने या उसे हटाने से रोका जा सके । क्योंकि मालवेयर SentinelOne की अपनी भरोसेमंद प्रक्रियाओं के भीतर या उनके साथ चलता है, EDR के एंटी-टैम्परिंग और सेल्फ-प्रोटेक्शन तंत्र प्रभावी रूप से मालवेयर को उसी से बचाते हैं ।

हमलावर बिना वैध लाइसेंस के एक दुष्ट SentinelOne एजेंट भी स्थापित कर सकता है और स्थानीय DNS हेरफेर के माध्यम से प्रबंधन टेलीमेट्री को ब्लॉक कर सकता है, जिससे समझौता किया गया सिस्टम केंद्रीय प्रबंधन कंसोल से अलग हो जाता है ।

यह किस कमजोरी का शोषण करता है?

मूल समस्या यह है कि SentinelOne ने शक्तिशाली Component Object Model (COM) इंटरफेस - विशेष रूप से SentinelHelper.1 - को पर्याप्त एक्सेस कंट्रोल के बिना स्थानीय एडमिनिस्ट्रेटरों के लिए खोल दिया था । इसके अतिरिक्त, इसके साइन किए गए इंस्टॉलर बाइनरी का उपयोग उन विशेषाधिकार प्राप्त कार्यों को करने के लिए पुनर्निर्देशित किया जा सकता था जो सामान्य अनसाइन बाइनरी नहीं कर सकते ।

अभी तक इस विशिष्ट समस्या के लिए कोई सार्वजनिक CVE पहचानकर्ता व्यापक रूप से रिपोर्ट नहीं किया गया है ।

यह ध्यान रखना महत्वपूर्ण है कि इस हमले के लिए लक्ष्य मशीन पर स्थानीय एडमिनिस्ट्रेटर प्रिविलेजेज की आवश्यकता होती है । यह कोई रिमोट कोड एक्ज़ीक्यूशन वल्नरेबिलिटी नहीं है। हालांकि, एक बार जब हमलावर किसी अलग प्रारंभिक समझौते (जैसे किसी कमजोर एप्लिकेशन का शोषण करना या चुराए गए क्रेडेंशियल का उपयोग करना) के माध्यम से स्थानीय एडमिन एक्सेस प्राप्त कर लेता है, तो BYOEDR उन्हें PPL सुरक्षा को बायपास करने में सक्षम बनाता है जो ऐसे समझौतों को रोकने के लिए बनाई गई थी ।

पैच: SentinelOne Agent 26.1.1

SentinelOne ने रिपोर्ट की गई समस्या को Agent वर्जन 26.1.1 में ठीक कर दिया । फिक्स में एक्सपोज़्ड COM इंटरफेस को हार्डन करना और इंस्टॉलर बाइनरी और भरोसेमंद घटकों के उपयोग को प्रतिबंधित करना शामिल था । संगठनों को तुरंत सुनिश्चित करना चाहिए कि सभी SentinelOne एजेंट 26.1.1 या उसके बाद के वर्जन में अपग्रेड हो जाएं ।

भरोसेमंद सुरक्षा सॉफ्टवेयर के लिए व्यापक निहितार्थ

BYOEDR तकनीक एक मूलभूत विश्वास समस्या को उजागर करती है: सुरक्षा सॉफ्टवेयर को डिज़ाइन द्वारा उच्च विशेषाधिकार और गहरी सिस्टम पहुंच प्रदान की जाती है । जब उन क्षमताओं को सुलभ इंटरफेस या साइन किए गए बाइनरी के माध्यम से उजागर किया जाता है, तो हमलावर उन्हें आक्रामक उपकरणों के रूप में पुनर्निर्देशित कर सकते हैं ।

• PPL कोई पूर्ण सुरक्षा नहीं है। PPL सुरक्षा को बायपास किया जा सकता है यदि कोई PPL-साइन किया गया घटक (जैसे EDR) स्थानीय उपयोगकर्ताओं को मेमोरी डंप या कोड-इंजेक्शन प्रिमिटिव उजागर करता है ।
• साइन किए गए बाइनरी एक दोधारी तलवार हैं। कोड-साइनिंग मूल की गारंटी देता है, सुरक्षा की नहीं। हमलावर "living-off-the-land" सुरक्षा उत्पादों (LOLSPs) का लाभ उठा सकते हैं, ठीक वैसे ही जैसे वे भरोसेमंद OS बाइनरी का दुरुपयोग करते हैं ।
• विक्रेता की जिम्मेदारी सर्वोपरि है। सुरक्षा विक्रेताओं को अपने स्वयं के COM इंटरफेस, ड्राइवर एक्सेस कंट्रोल और इंस्टॉलर वैलिडेशन लॉजिक का ऑडिट उसी कठोरता से करना चाहिए जैसे वे तीसरे पक्ष के सॉफ्टवेयर में दोष खोजने में लगाते हैं ।

संगठनों के लिए शमन कदम

BYOEDR हमलों से बचाव के लिए, संगठनों को निम्नलिखित कार्रवाई करनी चाहिए:

1. तुरंत अपडेट करें - सुनिश्चित करें कि सभी SentinelOne एजेंट 26.1.1 या उसके बाद के वर्जन में अपग्रेड हो जाएं ।
2. लोकल एडमिन एक्सेस को सख्त करें - चूंकि हमले के लिए लोकल एडमिन प्रिविलेजेज की आवश्यकता है, इसलिए एडमिनिस्ट्रेटर अकाउंट को सीमित और सख्ती से नियंत्रित करें। जस्ट-इन-टाइम (JIT) एडमिन एक्सेस लागू करें और असामान्य प्रिविलेज एलिवेशन पर नज़र रखें ।
3. COM दुरुपयोग की निगरानी करें - गैर-SentinelOne प्रक्रियाओं द्वारा SentinelOne के COM इंटरफेस (जैसे, SentinelHelper.1 या Dump विधियों के लिए अप्रत्याशित कॉल) के संदिग्ध उपयोग के लिए डिटेक्शन नियम तैनात करें ।
4. व्यापक रूप से न्यूनतम विशेषाधिकार लागू करें - सभी सुरक्षा एजेंटों को संभावित हमले की सतह के रूप में मानें। इंटरैक्टिव लॉगिन प्रतिबंधित करें, एप्लिकेशन कंट्रोल (जैसे, WDAC या AppLocker) लागू करें, और प्रशासनिक वर्कफ़्लो को सेगमेंट करें ।
5. विक्रेता हार्डनिंग प्रथाओं की समीक्षा करें - EDR/XDR उत्पादों का मूल्यांकन करते समय, विक्रेताओं से पूछें कि वे अपने स्वयं के प्रिविलेज्ड इंटरफेस को स्थानीय दुरुपयोग से कैसे बचाते हैं, न कि केवल रिमोट एक्सप्लॉइट से ।

विश्वास दुरुपयोग हमलों का एक बढ़ता परिवार

BYOEDR कोई अलग घटना नहीं है। इससे मिलती-जुलती एक तकनीक जिसे 'Bring Your Own Installer' (BYOI) कहा जाता है, 2025 में Aon के Stroz Friedberg द्वारा खोजी गई थी । यह SentinelOne की अपग्रेड/डाउनग्रेड प्रक्रिया का शोषण करके एंटी-टैम्पर सुरक्षा को अक्षम कर देती है, जिससे मालवेयर निष्पादन के लिए एंडपॉइंट असुरक्षित रह जाते हैं । वास्तविक दुनिया के हमलों में Babuk रैनसमवेयर तैनात करने के लिए BYOI का उपयोग देखा गया है ।

BYOEDR और BYOI का संयोजन दर्शाता है कि हमलावर तेजी से सुरक्षा सॉफ्टवेयर में रखे गए भरोसे को ही निशाना बना रहे हैं, न कि केवल उन अनुप्रयोगों में कमजोरियों को जिनकी वह रक्षा करता है ।