Bring Your Own EDR: quando il tuo antimalware diventa un'arma a doppio taglio

1. Dump della memoria di un processo protetto da PPL

Un amministratore locale utilizza il metodo Dump dell'oggetto COM SentinelHelper.1 per scaricare la memoria di qualsiasi processo Protected Process Light (PPL). L'interfaccia SentinelHelper.1 è uno strumento amministrativo legittimo, ma è stata esposta senza un adeguato controllo degli accessi. Ciò consente a un utente malintenzionato con diritti di amministratore locale di aggirare completamente le protezioni PPL, leggendo il contenuto della memoria di processi come Windows Defender .

2. Iniezione di codice non firmato nel processo elevato

Dopo aver scaricato la memoria del processo protetto da PPL, l'attaccante inietta codice non firmato in quel processo elevato. Fondamentalmente, questa iniezione di codice proviene da un componente firmato da SentinelOne – il sistema operativo si fida del codice firmato da SentinelOne. Il codice non firmato, trasportato da un vettore fidato, bypassa i controlli di integrità del codice di Windows .

3. Protezione del malware dal rilevamento e dalla rimozione

Infine, l'attaccante sfrutta gli stessi processi e le stesse interfacce fidate di SentinelOne per impedire all'EDR di rilevare o rimuovere il malware iniettato. Poiché il malware viene eseguito all'interno o insieme ai processi fidati di SentinelOne, i meccanismi anti-manomissione e di auto-protezione dell'EDR proteggono efficacemente il malware da se stesso .

L'attaccante può anche installare un agente SentinelOne fraudolento senza una licenza valida e bloccare la telemetria di gestione tramite manipolazione DNS locale, isolando il sistema compromesso dalla console di gestione centrale .

Quale vulnerabilità viene sfruttata?

Il problema principale è che SentinelOne ha esposto potenti interfacce COM (Component Object Model) – in particolare SentinelHelper.1 – agli amministratori locali senza un adeguato controllo degli accessi. Inoltre, i suoi binari installer firmati potevano essere riutilizzati per eseguire azioni privilegiate che i normali binari non firmati non possono .

Alla data della divulgazione, non è stato ampiamente segnalato un identificatore CVE pubblico per questo specifico problema .

È importante notare che l'attacco richiede privilegi di amministratore locale sul computer di destinazione. Non si tratta di una vulnerabilità di esecuzione remota di codice. Tuttavia, una volta che un attaccante ottiene l'accesso come amministratore locale tramite un compromesso iniziale separato (come lo sfruttamento di un'applicazione vulnerabile o l'uso di credenziali rubate), BYOEDR consente di aggirare le protezioni PPL che dovrebbero contenere tali compromissioni .

La patch: SentinelOne Agent 26.1.1

SentinelOne ha risolto il problema segnalato nella versione 26.1.1 dell'Agent. La correzione ha comportato l'indurimento delle interfacce COM esposte e la restrizione dell'uso dei binari installer e dei componenti fidati . Le organizzazioni dovrebbero assicurarsi che tutti gli agent SentinelOne siano aggiornati alla versione 26.1.1 o successiva immediatamente .

Implicazioni più ampie per il software di sicurezza fidato

La tecnica BYOEDR evidenzia un problema di fiducia fondamentale: il software di sicurezza riceve per progettazione privilegi elevati e un accesso profondo al sistema. Quando queste capacità vengono esposte tramite interfacce accessibili o binari firmati, gli attaccanti possono riutilizzarle come strumenti offensivi .

• PPL non è una difesa assoluta. Le protezioni PPL possono essere aggirate se un componente firmato PPL (come un EDR) espone una primitiva di dump della memoria o di iniezione di codice agli utenti locali .
• I binari firmati sono un'arma a doppio taglio. La firma del codice garantisce l'origine, non la sicurezza. Gli attaccanti possono sfruttare i prodotti di sicurezza "living-off-the-land" (LOLSP) allo stesso modo in cui abusano dei binari fidati del sistema operativo .
• La responsabilità del vendor è fondamentale. I vendor di sicurezza devono verificare le proprie interfacce COM, i controlli di accesso ai driver e la logica di validazione degli installer con lo stesso rigore che applicano alla ricerca di vulnerabilità in software di terze parti .

Passi di mitigazione per le organizzazioni

Per difendersi dagli attacchi BYOEDR, le organizzazioni dovrebbero intraprendere le seguenti azioni:

1. Aggiornare immediatamente – Assicurarsi che tutti gli agent SentinelOne siano aggiornati alla versione 26.1.1 o successiva .
2. Rafforzare l'accesso amministrativo locale – Poiché l'attacco richiede privilegi di amministratore locale, limitare e controllare rigorosamente gli account amministrativi. Implementare l'accesso amministrativo just-in-time (JIT) e monitorare le elevazioni di privilegio insolite .
3. Monitorare l'abuso di COM – Implementare regole di rilevamento per l'uso sospetto delle interfacce COM di SentinelOne (ad esempio, SentinelHelper.1 o chiamate inaspettate ai metodi Dump) da parte di processi non SentinelOne .
4. Applicare il principio del privilegio minimo in modo esteso – Trattare tutti gli agent di sicurezza come potenziali superfici d'attacco. Limitare gli accessi interattivi, applicare il controllo delle applicazioni (ad esempio, WDAC o AppLocker) e segmentare i flussi di lavoro amministrativi .
5. Rivedere le pratiche di indurimento dei vendor – Quando si valutano prodotti EDR/XDR, chiedere ai vendor come proteggono le proprie interfacce privilegiate dall'abuso locale, non solo dagli exploit remoti .

Una famiglia crescente di attacchi di abuso di fiducia

BYOEDR non è un caso isolato. Una tecnica simile chiamata "Bring Your Own Installer" (BYOI), scoperta da Aon's Stroz Friedberg nel 2025, sfrutta il processo di upgrade/downgrade di SentinelOne per disabilitare le protezioni anti-manomissione, lasciando gli endpoint non protetti per l'esecuzione di malware . BYOI è stata osservata in attacchi reali che distribuivano il ransomware Babuk .

La combinazione di BYOEDR e BYOI dimostra che gli attaccanti stanno sempre più prendendo di mira la fiducia riposta nel software di sicurezza stesso, non solo le vulnerabilità nelle applicazioni che esso protegge.