Bring Your Own EDR: Peneliti Akamai Ubah SentinelOne Jadi Trojan Kuda di DEF CON 34

Pada DEF CON 34 di Las Vegas, peneliti Akamai, Shahak Morag, membeberkan teknik serangan baru bernama "Bring Your Own EDR" (BYOEDR). Metode ini mempersenjatai agen endpoint SentinelOne yang sah — mengubah alat yang dirancang untuk melindungi endpoint menjadi Trojan kuda yang memiliki hak istimewa, mampu mengeksekusi kode tanpa tanda tangan dan melindungi malware dari penghapusan .

Ini bukan sekadar latihan teoretis. Serangan ini mengeksploitasi antarmuka COM SentinelOne yang terekspos dan biner installer bertanda tangan untuk melewati Windows Protected Process Light (PPL), mekanisme keamanan yang biasanya mencegah proses mode pengguna mengakses proses sistem yang dilindungi. SentinelOne telah menambal masalah ini di Agent versi 26.1.1 .

Bagaimana Serangan BYOEDR Bekerja

Rantai serangan dijalankan dalam tiga tahap, masing-masing menyalahgunakan komponen SentinelOne yang berbeda :

1. Mendump Memori Proses yang Dilindungi PPL

Administrator lokal menggunakan metode Dump dari objek COM SentinelHelper.1 untuk mendump memori proses Protected Process Light (PPL) mana pun. Antarmuka SentinelHelper.1 adalah alat administratif yang sah, tetapi terekspos tanpa kontrol akses yang memadai. Ini memungkinkan penyerang dengan hak admin lokal untuk mengalahkan perlindungan PPL sepenuhnya, membaca konten memori proses seperti Windows Defender .

2. Menyuntikkan Kode Tanpa Tanda Tangan ke Proses yang Ditinggikan

Setelah mendump proses yang dilindungi PPL, penyerang menyuntikkan kode tanpa tanda tangan ke dalam proses yang ditinggikan tersebut. Yang penting, injeksi kode ini berasal dari komponen bertanda tangan SentinelOne — sistem operasi mempercayai kode yang ditandatangani oleh SentinelOne. Kode tanpa tanda tangan yang disuntikkan, dibungkus dalam pembawa tepercaya, melewati pemeriksaan integritas kode Windows .

3. Melindungi Malware dari Deteksi dan Penghapusan

Terakhir, penyerang memanfaatkan proses dan antarmuka SentinelOne tepercaya yang sama untuk mencegah EDR mendeteksi atau menghapus malware yang disuntikkan. Karena malware berjalan di dalam atau bersama proses tepercaya SentinelOne sendiri, mekanisme anti-tamper dan perlindungan diri EDR secara efektif melindungi malware dari dirinya sendiri .

Penyerang juga dapat menginstal agen SentinelOne nakal tanpa lisensi yang valid dan memblokir telemetri manajemen melalui manipulasi DNS lokal, mengisolasi sistem yang dikompromikan dari konsol manajemen pusat .

Celah Apa yang Dieksploitasi?

Masalah utamanya adalah SentinelOne mengekspos antarmuka Component Object Model (COM) yang kuat — khususnya SentinelHelper.1 — kepada administrator lokal tanpa kontrol akses yang memadai. Selain itu, biner installer bertanda tangannya dapat digunakan kembali untuk melakukan tindakan istimewa yang tidak dapat dilakukan oleh biner tanpa tanda tangan biasa .

Hingga tanggal pengungkapan, tidak ada identifier CVE publik yang dilaporkan secara luas untuk masalah spesifik ini .

Penting untuk dicatat bahwa serangan ini membutuhkan hak administrator lokal pada mesin target. Ini bukan kerentanan eksekusi kode jarak jauh. Namun, begitu penyerang mendapatkan akses admin lokal melalui kompromi awal yang terpisah (seperti mengeksploitasi aplikasi yang rentan atau menggunakan kredensial yang dicuri), BYOEDR memungkinkan mereka melewati perlindungan PPL yang dimaksudkan untuk membendung kompromi semacam itu .

Patch: SentinelOne Agent 26.1.1

SentinelOne memperbaiki masalah yang dilaporkan di Agent versi 26.1.1. Perbaikan tersebut melibatkan penguatan antarmuka COM yang terekspos dan membatasi bagaimana biner installer dan komponen tepercaya dapat digunakan . Organisasi harus memastikan semua agen SentinelOne ditingkatkan ke versi 26.1.1 atau lebih baru segera .

Implikasi yang Lebih Luas untuk Perangkat Lunak Keamanan Tepercaya

Teknik BYOEDR menyoroti masalah kepercayaan mendasar: perangkat lunak keamanan diberikan hak istimewa tinggi dan akses sistem yang dalam secara desain. Ketika kemampuan tersebut terekspos melalui antarmuka yang dapat diakses atau biner bertanda tangan, penyerang dapat menggunakannya kembali sebagai alat ofensif .

• PPL bukanlah pertahanan absolut. Perlindungan PPL dapat dilewati jika komponen bertanda tangan PPL (seperti EDR) mengekspos primitif dump memori atau injeksi kode kepada pengguna lokal .
• Biner bertanda tangan adalah pedang bermata dua. Penandatanganan kode menjamin asal, bukan keamanan. Penyerang dapat memanfaatkan produk keamanan "living-off-the-land" (LOLSPs) seperti mereka menyalahgunakan biner OS tepercaya .
• Tanggung jawab vendor sangat penting. Vendor keamanan harus mengaudit antarmuka COM mereka sendiri, kontrol akses driver, dan logika validasi installer dengan ketelitian yang sama seperti yang mereka terapkan untuk menemukan celah di perangkat lunak pihak ketiga .

Langkah Mitigasi untuk Organisasi

Untuk bertahan dari serangan BYOEDR, organisasi harus melakukan langkah-langkah berikut:

1. Perbarui segera — Pastikan semua agen SentinelOne ditingkatkan ke versi 26.1.1 atau lebih baru .
2. Perketat akses admin lokal — Karena serangan membutuhkan hak admin lokal, batasi dan kendalikan dengan ketat akun administratif. Terapkan akses admin just-in-time (JIT) dan pantau peningkatan hak istimewa yang tidak biasa .
3. Pantau penyalahgunaan COM — Terapkan aturan deteksi untuk penggunaan mencurigakan antarmuka COM SentinelOne (mis., SentinelHelper.1 atau panggilan tak terduga ke metode Dump) oleh proses non-SentinelOne .
4. Terapkan hak istimewa paling rendah secara luas — Perlakukan semua agen keamanan sebagai permukaan serangan potensial. Batasi login interaktif, terapkan kontrol aplikasi (mis., WDAC atau AppLocker), dan segmentasi alur kerja administratif .
5. Tinjau praktik pengamanan vendor — Saat mengevaluasi produk EDR/XDR, tanyakan kepada vendor bagaimana mereka melindungi antarmuka istimewa mereka sendiri dari penyalahgunaan lokal, tidak hanya dari eksploitasi jarak jauh .

Keluarga Serangan Penyalahgunaan Kepercayaan yang Berkembang

BYOEDR bukanlah insiden yang terisolasi. Teknik serupa bernama "Bring Your Own Installer" (BYOI), ditemukan oleh Stroz Friedberg milik Aon pada tahun 2025, mengeksploitasi proses upgrade/downgrade SentinelOne untuk menonaktifkan perlindungan anti-tamper, meninggalkan endpoint tidak terlindungi untuk eksekusi malware . BYOI diamati dalam serangan dunia nyata yang menyebarkan ransomware Babuk .

Kombinasi BYOEDR dan BYOI menunjukkan bahwa penyerang semakin menargetkan kepercayaan yang ditempatkan pada perangkat lunak keamanan itu sendiri, bukan hanya kerentanan dalam aplikasi yang dilindunginya.