Bring Your Own EDR: Slik gjorde Akamai SentinelOne til en trojansk hest på DEF CON 34

1. Tømming av minnet til PPL-beskyttede prosesser

En lokal administrator bruker SentinelHelper.1 COM-objektets Dump-metode for å dumpe minnet til enhver PPL-beskyttet prosess. SentinelHelper.1 er et legitimt administrasjonsverktøy, men det ble eksponert uten tilstrekkelig tilgangskontroll. Dette lar en angriper med lokale admin-rettigheter omgå PPL fullstendig og lese minneinnholdet i for eksempel Windows Defender .

2. Injisering av usignert kode i den forhøyede prosessen

Etter å ha dumpet den PPL-beskyttede prosessen, injiserer angriperen usignert kode inn i den forhøyede prosessen. Selve kodeinjiseringen kommer fra en SentinelOne-signert komponent – operativsystemet stoler på kode signert av SentinelOne. Den injiserte usignerte koden, pakket inn i en pålitelig «bærer», omgår Windows’ kontroll av kodeintegritet .

3. Skjerming av skadevare mot oppdagelse og fjerning

Til slutt utnytter angriperen de samme pålitelige SentinelOne-prosessene og -grensesnittene for å hindre EDR-systemet i å oppdage eller fjerne den injiserte skadevaren. Fordi skadevaren kjører innenfor eller sammen med SentinelOnes egne pålitelige prosesser, beskytter EDR-ens egen manipulasjonssikring og selvbeskyttelsesmekanismer skadevaren – mot seg selv .

Angriperen kan også installere en falsk SentinelOne-klient uten gyldig lisens og blokkere administrasjonstelemetri via lokal DNS-manipulasjon, og dermed isolere den kompromitterte datamaskinen fra den sentrale administrasjonskonsollen .

Hvilken sårbarhet utnytter dette?

Roten til problemet er at SentinelOne eksponerte kraftige COM-grensesnitt – spesielt SentinelHelper.1 – for lokale administratorer uten tilstrekkelig tilgangskontroll. I tillegg kunne de signerte installasjonsbinærfilene brukes til å utføre privilegerte handlinger som vanlige usignerte binærfiler ikke kan .

Per lanseringsdatoen har ingen offentlig CVE-ID blitt rapportert for dette spesifikke problemet .

Det er viktig å merke seg at angrepet krever lokale administratorrettigheter på målmaskinen. Det er ikke en sårbarhet for ekstern kjøring av kode. Men når en angriper først har fått lokal admin-tilgang via et annet kompromitterende angrep (for eksempel å utnytte en sårbar applikasjon eller bruke stjålne legitimasjon), kan BYOEDR omgå PPL-beskyttelser som er ment å begrense slike kompromitteringer .

Patchen: SentinelOne Agent 26.1.1

SentinelOne fikset det rapporterte problemet i Agent versjon 26.1.1. Fiksen innebar å herde de eksponerte COM-grensesnittene og begrense hvordan installasjonsbinærfilene og de pålitelige komponentene kan brukes . Organisasjoner bør umiddelbart sørge for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .

Bredere konsekvenser for pålitelig sikkerhetsprogramvare

BYOEDR-teknikken belyser et grunnleggende tillitsproblem: Sikkerhetsprogramvare får høye rettigheter og dyp systemtilgang av design. Når disse egenskapene eksponeres via tilgjengelige grensesnitt eller signerte binærfiler, kan angripere gjøre dem om til offensive verktøy .

• PPL er ikke en absolutt forsvarslinje. PPL-beskyttelser kan omgås dersom en PPL-signert komponent (som en EDR) eksponerer et minne-dump eller kodeinjiserings-primitiv for lokale brukere .
• Signerte binærfiler er et tveegget sverd. Kodesignering garanterer opprinnelse, ikke sikkerhet. Angripere kan utnytte sikkerhetsprodukter på samme måte som de misbruker pålitelige OS-binærfiler (living-off-the-land) .
• Leverandøransvaret er avgjørende. Sikkerhetsleverandører må revidere sine egne COM-grensesnitt, drivertilgangskontroller og installasjonsvalideringslogikk med samme grundighet som de bruker på å finne feil i tredjepartsprogramvare .

Tiltak for å redusere risikoen

For å forsvare seg mot BYOEDR-angrep bør organisasjoner gjøre følgende:

1. Oppdater umiddelbart – Sørg for at alle SentinelOne-klienter er oppgradert til versjon 26.1.1 eller nyere .
2. Begrens lokal admin-tilgang – Siden angrepet krever lokale administratorrettigheter, bør administrative kontoer begrenses og kontrolleres strengt. Implementer just-in-time (JIT) admin-tilgang og overvåk uvanlig privilegieheving .
3. Overvåk for COM-misbruk – Utplasser deteksjonsregler for mistenkelig bruk av SentinelOnes COM-grensesnitt (f.eks. SentinelHelper.1 eller uventede kall til Dump-metoder) fra ikke-SentinelOne-prosesser .
4. Bruk minste privilegium bredt – Behandle alle sikkerhetsagenter som potensielle angrepsoverflater. Begrens interaktive pålogginger, håndhev applikasjonskontroll (f.eks. WDAC eller AppLocker), og segmenter administrative arbeidsflyter .
5. Gjennomgå leverandørens herdingspraksis – Når du evaluerer EDR/XDR-produkter, spør leverandørene hvordan de beskytter sine egne privilegerte grensesnitt mot lokalt misbruk, ikke bare mot eksterne angrep .

En voksende familie av tillitsmisbrukende angrep

BYOEDR er ikke en isolert hendelse. En lignende teknikk kalt «Bring Your Own Installer» (BYOI), oppdaget av Aons Stroz Friedberg i 2025, utnytter SentinelOnes oppgraderings-/nedgraderingsprosess for å deaktivere manipulasjonssikring, slik at endepunkter står ubeskyttet for kjøring av skadevare . BYOI ble observert i virkelige angrep der Babuk løsepengevirus ble distribuert .

Kombinasjonen av BYOEDR og BYOI viser at angripere i økende grad retter seg mot tilliten som legges i selve sikkerhetsprogramvaren – ikke bare sårbarhetene i applikasjonene den beskytter.