Bring Your Own EDR: Hoe Akamai SentinelOne veranderde in een Trojaans paard op DEF CON 34

Op DEF CON 34 in Las Vegas onthulde Akamai-onderzoeker Shahak Morag een nieuwe aanvalstechniek genaamd 'Bring Your Own EDR' (BYOEDR). De methode bewapent een legitieme SentinelOne-endpoint-agent – en verandert het hulpmiddel dat bedoeld is om endpoints te beschermen in een bevoorrecht Trojaans paard dat ongecodeerde code kan uitvoeren en malware kan afschermen tegen verwijdering .

Dit is geen theoretische oefening. De aanval maakt misbruik van de blootgestelde COM-interfaces en ondertekende installatiebinary's van SentinelOne om Windows Protected Process Light (PPL) te omzeilen, een beveiligingsmechanisme dat normaal gesproken voorkomt dat user-mode-processen toegang krijgen tot beveiligde systeemprocessen. SentinelOne heeft het probleem verholpen in Agent-versie 26.1.1 .

Hoe de BYOEDR-aanval werkt

De aanvalsketen wordt in drie fasen uitgevoerd, waarbij elke fase een ander vertrouwd SentinelOne-onderdeel misbruikt :

1. Dumpen van PPL-beschermd procesgeheugen

Een lokale beheerder gebruikt de Dump-methode van het SentinelHelper.1-COM-object om het geheugen van elk Protected Process Light (PPL)-proces te dumpen. De SentinelHelper.1-interface is een legitiem beheerhulpmiddel, maar was blootgesteld zonder adequate toegangscontrole. Hierdoor kan een aanvaller met lokale beheerdersrechten PPL-beschermingen volledig omzeilen en de geheugeninhoud van processen zoals Windows Defender uitlezen .

2. Injecteren van ongecodeerde code in het verhoogde proces

Na het dumpen van het PPL-beschermde proces, injecteert de aanvaller ongecodeerde code in dat verhoogde proces. Cruciaal is dat deze code-injectie afkomstig is van een door SentinelOne ondertekend onderdeel – het besturingssysteem vertrouwt code die door SentinelOne is ondertekend. De geïnjecteerde ongecodeerde code, verpakt in een vertrouwde drager, omzeilt de Windows-code-integriteitscontroles .

3. Afschermen van malware tegen detectie en verwijdering

Ten slotte maakt de aanvaller gebruik van dezelfde vertrouwde SentinelOne-processen en -interfaces om te voorkomen dat de EDR de geïnjecteerde malware detecteert of verwijdert. Omdat de malware binnen of naast de eigen vertrouwde processen van SentinelOne draait, beschermen de anti-knoei- en zelfbeschermingsmechanismen van de EDR de malware effectief tegen zichzelf .

De aanvaller kan ook een rogue SentinelOne-agent installeren zonder geldige licentie en managementtelemetrie blokkeren via lokale DNS-manipulatie, waardoor het gecompromitteerde systeem wordt geïsoleerd van de centrale beheerconsole .

Welke kwetsbaarheid wordt misbruikt?

De kern van het probleem is dat SentinelOne krachtige Component Object Model (COM)-interfaces – met name SentinelHelper.1 – heeft blootgesteld aan lokale beheerders zonder adequate toegangscontrole. Bovendien konden de ondertekende installatiebinary's worden misbruikt om bevoorrechte acties uit te voeren die normale, niet-ondertekende binary's niet kunnen .

Op de datum van openbaarmaking is er geen publiek CVE-identificatienummer wijdverspreid gerapporteerd voor dit specifieke probleem .

Het is belangrijk op te merken dat de aanval lokale beheerdersrechten vereist op de doelcomputer. Het is geen kwetsbaarheid voor externe code-uitvoering. Zodra een aanvaller echter via een afzonderlijke eerste compromittering (zoals het misbruiken van een kwetsbare applicatie of het gebruik van gestolen inloggegevens) lokale beheerdersrechten verkrijgt, stelt BYOEDR hen in staat om PPL-beschermingen te omzeilen die bedoeld zijn om dergelijke compromitteringen in te dammen .

De patch: SentinelOne Agent 26.1.1

SentinelOne heeft het gerapporteerde probleem verholpen in Agent-versie 26.1.1. De oplossing omvatte het verharden van de blootgestelde COM-interfaces en het beperken van hoe de installatiebinary's en vertrouwde componenten kunnen worden gebruikt . Organisaties moeten ervoor zorgen dat alle SentinelOne-agents onmiddellijk worden geüpgraded naar versie 26.1.1 of later .

Bredere implicaties voor vertrouwde beveiligingssoftware

De BYOEDR-techniek benadrukt een fundamenteel vertrouwensprobleem: beveiligingssoftware krijgt van nature hoge privileges en diepe systeemtoegang. Wanneer die mogelijkheden worden blootgesteld via toegankelijke interfaces of ondertekende binary's, kunnen aanvallers ze hergebruiken als offensieve hulpmiddelen .

• PPL is geen absolute verdediging. PPL-beschermingen kunnen worden omzeild als een PPL-ondertekend onderdeel (zoals een EDR) een geheugendump- of code-injectie-primitief blootstelt aan lokale gebruikers .
• Ondertekende binary's zijn een tweesnijdend zwaard. Code-ondertekening garandeert herkomst, niet veiligheid. Aanvallers kunnen 'living-off-the-land' security products (LOLSP's) misbruiken, vergelijkbaar met hoe ze vertrouwde OS-binary's misbruiken .
• Verantwoordelijkheid van de leverancier is van het grootste belang. Beveiligingsleveranciers moeten hun eigen COM-interfaces, stuurprogramma-toegangscontroles en installatievalidatielogica controleren met dezelfde rigorositeit die ze toepassen bij het vinden van fouten in software van derden .

Mitigatiestappen voor organisaties

Om zich te verdedigen tegen BYOEDR-aanvallen, moeten organisaties de volgende acties ondernemen:

1. Onmiddellijk updaten – Zorg ervoor dat alle SentinelOne-agents zijn geüpgraded naar versie 26.1.1 of later .
2. Lokale beheerdersrechten beperken – Aangezien de aanval lokale beheerdersrechten vereist, beperk en controleer beheerdersaccounts strikt. Implementeer just-in-time (JIT) beheerderstoegang en monitor op ongebruikelijke privilegeverhoging .
3. Controleren op COM-misbruik – Implementeer detectieregels voor verdacht gebruik van de COM-interfaces van SentinelOne (bijv. SentinelHelper.1 of onverwachte aanroepen van Dump-methoden) door niet-SentinelOne-processen .
4. Pas 'least privilege' breed toe – Behandel alle beveiligingsagenten als potentiële aanvalsoppervlakken. Beperk interactieve aanmeldingen, dwang toepassingscontrole af (bijv. WDAC of AppLocker) en segmenteer administratieve workflows .
5. Controleer de verhardingspraktijken van de leverancier – Vraag bij het evalueren van EDR/XDR-producten aan leveranciers hoe ze hun eigen bevoorrechte interfaces beschermen tegen lokaal misbruik, niet alleen tegen externe exploits .

Een groeiende familie van vertrouwensmisbruik-aanvallen

BYOEDR is geen geïsoleerd incident. Een vergelijkbare techniek genaamd 'Bring Your Own Installer' (BYOI), ontdekt door Aon's Stroz Friedberg in 2025, maakt misbruik van het upgrade/downgrade-proces van SentinelOne om anti-knoeibeschermingen uit te schakelen, waardoor endpoints onbeschermd achterblijven voor malware-uitvoering . BYOI werd waargenomen in echte aanvallen waarbij Babuk-ransomware werd ingezet .

De combinatie van BYOEDR en BYOI laat zien dat aanvallers steeds vaker het vertrouwen in beveiligingssoftware zelf targeten, en niet alleen de kwetsbaarheden in de applicaties die het beschermt.