正規のEDRをトロイの木馬に変える「BYOEDR」攻撃――AkamaiがDEF CON 34で実証

ラスベガスで開催されたDEF CON 34において、Akamaiの研究者Shahak Morag氏は「Bring Your Own EDR（BYOEDR）」と呼ばれる新たな攻撃手法を発表しました。この手法は、本来エンドポイントを保護するためのSentinelOneのエージェントを、特権を持ったトロイの木馬に変えてしまうものです。攻撃者は、正規のSentinelOneコンポーネント――COMインターフェースと署名済みインストーラ――を武器に、WindowsのProtected Process Light（PPL）をバイパスし、未署名のコードを実行可能にするとともに、マルウェアそのものを検知や削除から保護します。

この攻撃は理論上のものに留まりません。SentinelOneが公開していたCOMインターフェースと、同社の署名済みインストーラバイナリは、本来は管理者が正規の運用のために使うツールでしたが、適切なアクセス制御が欠如していました。これにより、ローカル管理者権限を持つ攻撃者はPPLプロセス（例：Windows Defender）のメモリをダンプし、未署名コードを注入し、さらにEDR自身の自己防御機能を逆手に取って、マルウェアをあたかも「保護されたプロセス」の一部として隠蔽することが可能になります。

BYOEDR攻撃の仕組み：3段階のチェーン

BYOEDR攻撃は、以下の3つの段階で実行されます。各段階で、SentinelOneの異なる正規コンポーネントが悪用されます。

1. PPL保護プロセスのメモリダンプ

ローカル管理者は、SentinelHelper.1 COMオブジェクトのDumpメソッドを使用して、任意のProtected Process Light（PPL）プロセスのメモリをダンプします。SentinelHelper.1は本来は正規の管理ツールですが、適切なアクセス制御なしに公開されていました。これにより、ローカル管理者権限を持つ攻撃者は、PPLの保護を完全に無効化し、Windows Defenderなどのプロセスのメモリ内容を読み取ることができます。

2. 特権プロセスへの未署名コード注入

PPL保護プロセスをダンプした後、攻撃者はその特権プロセスに未署名コードを注入します。重要なのは、このコード注入がSentinelOneの署名済みコンポーネント経由で行われる点です。WindowsはSentinelOneによって署名されたコードを信頼するため、未署名コードが信頼できる「運び屋」に包まれてコード整合性チェックをバイパスします。

3. マルウェアの検知と削除からの保護

最後に、攻撃者は同じ信頼されたSentinelOneプロセスとインターフェースを利用して、EDRが注入されたマルウェアを検知したり削除したりするのを防ぎます。マルウェアはSentinelOne自身の信頼されたプロセス内またはその隣で動作するため、EDRの改ざん防止機構や自己防御機構が、結果的にマルウェアを保護するシールドとして機能します。

攻撃者はさらに、有効なライセンスなしで不正なSentinelOneエージェントをインストールし、ローカルのDNS操作で管理テレメトリをブロックすることで、システムを中央管理コンソールから隔離することも可能です。

悪用される脆弱性の本質

根本的な問題は、SentinelOneが強力なComponent Object Model（COM）インターフェース（特にSentinelHelper.1）を、適切なアクセス制御なしにローカル管理者に公開していたこと、および、その署名済みインストーラバイナリが、通常の未署名バイナリには不可能な特権アクションを実行するために流用可能だったことです。

本稿執筆時点では、この問題に対して広く報告されたCVE識別子は存在しません。

重要な注意点： この攻撃は対象マシン上でローカル管理者権限を必要とします。リモートコード実行の脆弱性ではありません。しかし、攻撃者は別途、脆弱性のあるアプリケーションの悪用や盗難した認証情報などを通じてローカル管理者権限を獲得すると、BYOEDRを使って、本来そのような侵害を封じ込めるためのPPL保護を無効化できます。

修正パッチ：SentinelOne Agent 26.1.1

SentinelOneは、報告された問題をAgentバージョン26.1.1で修正しました。修正内容は、公開されていたCOMインターフェースの堅牢化と、インストーラバイナリや信頼されたコンポーネントの使用方法の制限です。組織はすべてのSentinelOneエージェントを直ちにバージョン26.1.1以降にアップグレードする必要があります。

信頼されたセキュリティソフトウェアへの広範な影響

BYOEDRの手法は、根本的な信頼の問題を浮き彫りにします。セキュリティソフトウェアは、その設計上、高い特権と深いシステムアクセスを付与されています。この能力がアクセス可能なインターフェースや署名済みバイナリを通じて露出していると、攻撃者はこれらを攻撃ツールとして転用できてしまいます。

• PPLは絶対的な防御ではない：PPL保護は、PPL署名されたコンポーネント（例：EDR）がメモリダンプやコードインジェクションのプリミティブをローカルユーザーに公開している場合、バイパスされ得ます。
• 署名済みバイナリは諸刃の剣：コード署名は発信元を保証するものであり、安全性を保証するものではありません。攻撃者は、信頼されたOSバイナリを悪用する「Living Off the Land」のセキュリティ製品版（LOLSP）として、BYOEDRを活用できます。
• ベンダーの責任は極めて重要：セキュリティベンダーは、自社のCOMインターフェース、ドライバーのアクセス制御、インストーラの検証ロジックを、サードパーティ製ソフトウェアの欠陥を見つけるのと同じ厳格さで監査しなければなりません。

組織が取るべき対策

BYOEDR攻撃から防御するために、組織は以下の措置を講じる必要があります。

1. 直ちにアップデートする：すべてのSentinelOneエージェントをバージョン26.1.1以降にアップグレードしてください。
2. ローカル管理者アクセスを強化する：攻撃にはローカル管理者権限が必要なため、管理者アカウントを制限・厳重に管理します。Just-In-Time（JIT）管理者アクセスを導入し、不審な特権昇格を監視します。
3. COMの悪用を監視する：SentinelOneのCOMインターフェース（例：SentinelHelper.1や予期しないDumpメソッドの呼び出し）を非SentinelOneプロセスが使用していないか、検出ルールを展開します。
4. 広く最小特権の原則を適用する：すべてのセキュリティエージェントを潜在的な攻撃対象として扱います。インタラクティブログインを制限し、アプリケーション制御（例：WDACやAppLocker）を適用し、管理ワークフローをセグメント化します。
5. ベンダーのセキュリティ強化対策をレビューする：EDR/XDR製品を評価する際には、リモートエクスプロイトだけでなく、ローカルからの悪用に対して、ベンダーが自社の特権インターフェースをどのように保護しているかを質問します。

増大する信頼悪用攻撃のファミリー

BYOEDRは孤立した事例ではありません。AonのStroz Friedbergが2025年に発見した「Bring Your Own Installer（BYOI）」と呼ばれる類似の手法は、SentinelOneのアップグレード/ダウングレードプロセスを悪用して改ざん防止機能を無効化し、エンドポイントをマルウェア実行に対して無防備にします。BYOIは、実際の攻撃でBabukランサムウェアの展開に使用されたことが確認されています。

BYOEDRとBYOIの組み合わせは、攻撃者が保護対象アプリケーションの脆弱性だけでなく、セキュリティソフトウェア自体に寄せられた信頼を標的にしていることを明確に示しています。