Bring Your Own EDR: Slik gjorde Akamai SentinelOne til en trojansk hest på DEF CON 34
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL). Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskytted...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL).
Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskyttede prosesser og injisere usignert kode via SentinelOnes pålitelige komponenter.
Organisasjoner bør umiddelbart oppdatere SentinelOne klienter til versjon 26.1.1 eller nyere, begrense lokal administrator tilgang og overvåke misbruk av COM grensesnitt.
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
På DEF CON 34 i Las Vegas avslørte Akamai-forsker Shahak Morag en ny angrepsteknikk kalt «Bring Your Own EDR» (BYOEDR). Metoden gjør et legitimt SentinelOne-klientprogram om til en privilegert trojansk hest – et verktøy som egentlig skal beskytte datamaskiner, blir i stedet brukt til å kjøre usignert kode og skjule skadevare mot fjerning .
Dette er ikke bare en teoretisk øvelse. Angrepet utnytter SentinelOnes eksponerte COM-grensesnitt og signerte installasjonsfiler for å omgå Windows Protected Process Light (PPL) – en sikkerhetsmekanisme som normalt hindrer brukerprosesser i å få tilgang til beskyttede systemprosesser. SentinelOne har lukket hullet i Agent versjon 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Bring Your Own EDR: Slik gjorde Akamai SentinelOne til en trojansk hest på DEF CON 34"?
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL).
What are the key points to validate first?
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL). Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskyttede prosesser og injisere usignert kode via SentinelOnes pålitelige komponenter.
What should I do next in practice?
Organisasjoner bør umiddelbart oppdatere SentinelOne klienter til versjon 26.1.1 eller nyere, begrense lokal administrator tilgang og overvåke misbruk av COM grensesnitt.
Bring Your Own EDR: Slik gjorde Akamai SentinelOne til en trojansk hest på DEF CON 34
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL). Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskytted...
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL).
Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskyttede prosesser og injisere usignert kode via SentinelOnes pålitelige komponenter.
Organisasjoner bør umiddelbart oppdatere SentinelOne klienter til versjon 26.1.1 eller nyere, begrense lokal administrator tilgang og overvåke misbruk av COM grensesnitt.
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
På DEF CON 34 i Las Vegas avslørte Akamai-forsker Shahak Morag en ny angrepsteknikk kalt «Bring Your Own EDR» (BYOEDR). Metoden gjør et legitimt SentinelOne-klientprogram om til en privilegert trojansk hest – et verktøy som egentlig skal beskytte datamaskiner, blir i stedet brukt til å kjøre usignert kode og skjule skadevare mot fjerning .
Dette er ikke bare en teoretisk øvelse. Angrepet utnytter SentinelOnes eksponerte COM-grensesnitt og signerte installasjonsfiler for å omgå Windows Protected Process Light (PPL) – en sikkerhetsmekanisme som normalt hindrer brukerprosesser i å få tilgang til beskyttede systemprosesser. SentinelOne har lukket hullet i Agent versjon 26.1.1 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Bring Your Own EDR: Slik gjorde Akamai SentinelOne til en trojansk hest på DEF CON 34"?
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL).
What are the key points to validate first?
Akamai forsker Shahak Morag presenterte «Bring Your Own EDR» (BYOEDR) på DEF CON 34 – en teknikk som utnytter SentinelOnes COM grensesnitt og signerte installasjonsfiler til å omgå Windows Protected Process Light (PPL). Angrepet krever lokale administratorrettigheter, men lar angripere dumpe minnet til PPL beskyttede prosesser og injisere usignert kode via SentinelOnes pålitelige komponenter.
What should I do next in practice?
Organisasjoner bør umiddelbart oppdatere SentinelOne klienter til versjon 26.1.1 eller nyere, begrense lokal administrator tilgang og overvåke misbruk av COM grensesnitt.
Angrepskjeden utføres i tre trinn, der hvert trinn misbruker en annen pålitelig SentinelOne-komponent :
1. Tømming av minnet til PPL-beskyttede prosesser
En lokal administrator bruker SentinelHelper.1 COM-objektets Dump-metode for å dumpe minnet til enhver PPL-beskyttet prosess. SentinelHelper.1 er et legitimt administrasjonsverktøy, men det ble eksponert uten tilstrekkelig tilgangskontroll. Dette lar en angriper med lokale admin-rettigheter omgå PPL fullstendig og lese minneinnholdet i for eksempel Windows Defender .
2. Injisering av usignert kode i den forhøyede prosessen
Etter å ha dumpet den PPL-beskyttede prosessen, injiserer angriperen usignert kode inn i den forhøyede prosessen. Selve kodeinjiseringen kommer fra en SentinelOne-signert komponent – operativsystemet stoler på kode signert av SentinelOne. Den injiserte usignerte koden, pakket inn i en pålitelig «bærer», omgår Windows’ kontroll av kodeintegritet .
3. Skjerming av skadevare mot oppdagelse og fjerning
Til slutt utnytter angriperen de samme pålitelige SentinelOne-prosessene og -grensesnittene for å hindre EDR-systemet i å oppdage eller fjerne den injiserte skadevaren. Fordi skadevaren kjører innenfor eller sammen med SentinelOnes egne pålitelige prosesser, beskytter EDR-ens egen manipulasjonssikring og selvbeskyttelsesmekanismer skadevaren – mot seg selv .
Angriperen kan også installere en falsk SentinelOne-klient uten gyldig lisens og blokkere administrasjonstelemetri via lokal DNS-manipulasjon, og dermed isolere den kompromitterte datamaskinen fra den sentrale administrasjonskonsollen .
Hvilken sårbarhet utnytter dette?
Roten til problemet er at SentinelOne eksponerte kraftige COM-grensesnitt – spesielt SentinelHelper.1 – for lokale administratorer uten tilstrekkelig tilgangskontroll. I tillegg kunne de signerte installasjonsbinærfilene brukes til å utføre privilegerte handlinger som vanlige usignerte binærfiler ikke kan .
Per lanseringsdatoen har ingen offentlig CVE-ID blitt rapportert for dette spesifikke problemet .
Det er viktig å merke seg at angrepet krever lokale administratorrettigheter på målmaskinen. Det er ikke en sårbarhet for ekstern kjøring av kode. Men når en angriper først har fått lokal admin-tilgang via et annet kompromitterende angrep (for eksempel å utnytte en sårbar applikasjon eller bruke stjålne legitimasjon), kan BYOEDR omgå PPL-beskyttelser som er ment å begrense slike kompromitteringer .
Patchen: SentinelOne Agent 26.1.1
SentinelOne fikset det rapporterte problemet i Agent versjon 26.1.1. Fiksen innebar å herde de eksponerte COM-grensesnittene og begrense hvordan installasjonsbinærfilene og de pålitelige komponentene kan brukes . Organisasjoner bør umiddelbart sørge for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .
Bredere konsekvenser for pålitelig sikkerhetsprogramvare
BYOEDR-teknikken belyser et grunnleggende tillitsproblem: Sikkerhetsprogramvare får høye rettigheter og dyp systemtilgang av design. Når disse egenskapene eksponeres via tilgjengelige grensesnitt eller signerte binærfiler, kan angripere gjøre dem om til offensive verktøy .
PPL er ikke en absolutt forsvarslinje. PPL-beskyttelser kan omgås dersom en PPL-signert komponent (som en EDR) eksponerer et minne-dump eller kodeinjiserings-primitiv for lokale brukere .
Signerte binærfiler er et tveegget sverd. Kodesignering garanterer opprinnelse, ikke sikkerhet. Angripere kan utnytte sikkerhetsprodukter på samme måte som de misbruker pålitelige OS-binærfiler (living-off-the-land) .
Leverandøransvaret er avgjørende. Sikkerhetsleverandører må revidere sine egne COM-grensesnitt, drivertilgangskontroller og installasjonsvalideringslogikk med samme grundighet som de bruker på å finne feil i tredjepartsprogramvare .
Tiltak for å redusere risikoen
For å forsvare seg mot BYOEDR-angrep bør organisasjoner gjøre følgende:
Oppdater umiddelbart – Sørg for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .
Begrens lokal admin-tilgang – Siden angrepet krever lokale administratorrettigheter, bør administrative kontoer begrenses og kontrolleres strengt. Implementer just-in-time (JIT) admin-tilgang og overvåk uvanlig privilegieheving .
Overvåk for COM-misbruk – Utplasser deteksjonsregler for mistenkelig bruk av SentinelOnes COM-grensesnitt (f.eks. SentinelHelper.1 eller uventede kall til Dump-metoder) fra ikke-SentinelOne-prosesser .
Bruk minste privilegium bredt – Behandle alle sikkerhetsagenter som potensielle angrepsoverflater. Begrens interaktive pålogginger, håndhev applikasjonskontroll (f.eks. WDAC eller AppLocker), og segmenter administrative arbeidsflyter .
Gjennomgå leverandørens herdingspraksis – Når du evaluerer EDR/XDR-produkter, spør leverandørene hvordan de beskytter sine egne privilegerte grensesnitt mot lokalt misbruk, ikke bare mot eksterne angrep .
En voksende familie av tillitsmisbrukende angrep
BYOEDR er ikke en isolert hendelse. En lignende teknikk kalt «Bring Your Own Installer» (BYOI), oppdaget av Aons Stroz Friedberg i 2025, utnytter SentinelOnes oppgraderings-/nedgraderingsprosess for å deaktivere manipulasjonssikring, slik at endepunkter står ubeskyttet for kjøring av skadevare . BYOI ble observert i virkelige angrep der Babuk løsepengevirus ble distribuert .
Kombinasjonen av BYOEDR og BYOI viser at angripere i økende grad retter seg mot tilliten som legges i selve sikkerhetsprogramvaren – ikke bare sårbarhetene i applikasjonene den beskytter.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
Angrepskjeden utføres i tre trinn, der hvert trinn misbruker en annen pålitelig SentinelOne-komponent :
1. Tømming av minnet til PPL-beskyttede prosesser
En lokal administrator bruker SentinelHelper.1 COM-objektets Dump-metode for å dumpe minnet til enhver PPL-beskyttet prosess. SentinelHelper.1 er et legitimt administrasjonsverktøy, men det ble eksponert uten tilstrekkelig tilgangskontroll. Dette lar en angriper med lokale admin-rettigheter omgå PPL fullstendig og lese minneinnholdet i for eksempel Windows Defender .
2. Injisering av usignert kode i den forhøyede prosessen
Etter å ha dumpet den PPL-beskyttede prosessen, injiserer angriperen usignert kode inn i den forhøyede prosessen. Selve kodeinjiseringen kommer fra en SentinelOne-signert komponent – operativsystemet stoler på kode signert av SentinelOne. Den injiserte usignerte koden, pakket inn i en pålitelig «bærer», omgår Windows’ kontroll av kodeintegritet .
3. Skjerming av skadevare mot oppdagelse og fjerning
Til slutt utnytter angriperen de samme pålitelige SentinelOne-prosessene og -grensesnittene for å hindre EDR-systemet i å oppdage eller fjerne den injiserte skadevaren. Fordi skadevaren kjører innenfor eller sammen med SentinelOnes egne pålitelige prosesser, beskytter EDR-ens egen manipulasjonssikring og selvbeskyttelsesmekanismer skadevaren – mot seg selv .
Angriperen kan også installere en falsk SentinelOne-klient uten gyldig lisens og blokkere administrasjonstelemetri via lokal DNS-manipulasjon, og dermed isolere den kompromitterte datamaskinen fra den sentrale administrasjonskonsollen .
Hvilken sårbarhet utnytter dette?
Roten til problemet er at SentinelOne eksponerte kraftige COM-grensesnitt – spesielt SentinelHelper.1 – for lokale administratorer uten tilstrekkelig tilgangskontroll. I tillegg kunne de signerte installasjonsbinærfilene brukes til å utføre privilegerte handlinger som vanlige usignerte binærfiler ikke kan .
Per lanseringsdatoen har ingen offentlig CVE-ID blitt rapportert for dette spesifikke problemet .
Det er viktig å merke seg at angrepet krever lokale administratorrettigheter på målmaskinen. Det er ikke en sårbarhet for ekstern kjøring av kode. Men når en angriper først har fått lokal admin-tilgang via et annet kompromitterende angrep (for eksempel å utnytte en sårbar applikasjon eller bruke stjålne legitimasjon), kan BYOEDR omgå PPL-beskyttelser som er ment å begrense slike kompromitteringer .
Patchen: SentinelOne Agent 26.1.1
SentinelOne fikset det rapporterte problemet i Agent versjon 26.1.1. Fiksen innebar å herde de eksponerte COM-grensesnittene og begrense hvordan installasjonsbinærfilene og de pålitelige komponentene kan brukes . Organisasjoner bør umiddelbart sørge for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .
Bredere konsekvenser for pålitelig sikkerhetsprogramvare
BYOEDR-teknikken belyser et grunnleggende tillitsproblem: Sikkerhetsprogramvare får høye rettigheter og dyp systemtilgang av design. Når disse egenskapene eksponeres via tilgjengelige grensesnitt eller signerte binærfiler, kan angripere gjøre dem om til offensive verktøy .
PPL er ikke en absolutt forsvarslinje. PPL-beskyttelser kan omgås dersom en PPL-signert komponent (som en EDR) eksponerer et minne-dump eller kodeinjiserings-primitiv for lokale brukere .
Signerte binærfiler er et tveegget sverd. Kodesignering garanterer opprinnelse, ikke sikkerhet. Angripere kan utnytte sikkerhetsprodukter på samme måte som de misbruker pålitelige OS-binærfiler (living-off-the-land) .
Leverandøransvaret er avgjørende. Sikkerhetsleverandører må revidere sine egne COM-grensesnitt, drivertilgangskontroller og installasjonsvalideringslogikk med samme grundighet som de bruker på å finne feil i tredjepartsprogramvare .
Tiltak for å redusere risikoen
For å forsvare seg mot BYOEDR-angrep bør organisasjoner gjøre følgende:
Oppdater umiddelbart – Sørg for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .
Begrens lokal admin-tilgang – Siden angrepet krever lokale administratorrettigheter, bør administrative kontoer begrenses og kontrolleres strengt. Implementer just-in-time (JIT) admin-tilgang og overvåk uvanlig privilegieheving .
Overvåk for COM-misbruk – Utplasser deteksjonsregler for mistenkelig bruk av SentinelOnes COM-grensesnitt (f.eks. SentinelHelper.1 eller uventede kall til Dump-metoder) fra ikke-SentinelOne-prosesser .
Bruk minste privilegium bredt – Behandle alle sikkerhetsagenter som potensielle angrepsoverflater. Begrens interaktive pålogginger, håndhev applikasjonskontroll (f.eks. WDAC eller AppLocker), og segmenter administrative arbeidsflyter .
Gjennomgå leverandørens herdingspraksis – Når du evaluerer EDR/XDR-produkter, spør leverandørene hvordan de beskytter sine egne privilegerte grensesnitt mot lokalt misbruk, ikke bare mot eksterne angrep .
En voksende familie av tillitsmisbrukende angrep
BYOEDR er ikke en isolert hendelse. En lignende teknikk kalt «Bring Your Own Installer» (BYOI), oppdaget av Aons Stroz Friedberg i 2025, utnytter SentinelOnes oppgraderings-/nedgraderingsprosess for å deaktivere manipulasjonssikring, slik at endepunkter står ubeskyttet for kjøring av skadevare . BYOI ble observert i virkelige angrep der Babuk løsepengevirus ble distribuert .
Kombinasjonen av BYOEDR og BYOI viser at angripere i økende grad retter seg mot tilliten som legges i selve sikkerhetsprogramvaren – ikke bare sårbarhetene i applikasjonene den beskytter.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL