Atak BYOEDR: Oprogramowanie ochronne SentinelOne użyte jako koń trojański

1. Zrzucenie pamięci procesu chronionego przez PPL

Lokalny administrator używa metody Dump obiektu COM SentinelHelper.1 do zrzucenia pamięci dowolnego procesu Protected Process Light (PPL). Interfejs SentinelHelper.1 to legalne narzędzie administracyjne, ale zostało odsłonięte bez odpowiedniej kontroli dostępu. Dzięki temu atakujący z prawami lokalnego administratora może całkowicie ominąć zabezpieczenia PPL, odczytując zawartość pamięci procesów takich jak Windows Defender .

2. Wstrzyknięcie niepodpisanego kodu do podniesionego procesu

Po zrzuceniu pamięci procesu chronionego przez PPL atakujący wstrzykuje niepodpisany kod do tego procesu. Co kluczowe, wstrzyknięcie pochodzi z komponentu podpisanego przez SentinelOne – system Windows ufa kodowi podpisanemu przez SentinelOne. Wstrzyknięty, niepodpisany kod, opakowany w zaufany nośnik, omija sprawdzanie integralności kodu Windows .

3. Ochrona malware'u przed wykryciem i usunięciem

Na koniec atakujący wykorzystuje te same zaufane procesy i interfejsy SentinelOne, aby uniemożliwić EDR wykrycie lub usunięcie wstrzykniętego malware'u. Ponieważ malware działa wewnątrz lub obok zaufanych procesów SentinelOne, mechanizmy anty-naruszeniowe i samoobrony EDR skutecznie chronią malware przed samym sobą .

Atakujący może również zainstalować fałszywego agenta SentinelOne bez ważnej licencji i zablokować telemetrię zarządzania poprzez lokalną manipulację DNS, izolując skompromitowany system od centralnej konsoli zarządzania .

Jaką podatność wykorzystuje?

Głównym problemem jest to, że SentinelOne udostępnił potężne interfejsy Component Object Model (COM) – a konkretnie SentinelHelper.1 – lokalnym administratorom bez odpowiedniej kontroli dostępu. Ponadto podpisane binarne instalatory mogły być wykorzystywane do wykonywania uprzywilejowanych działań, które normalnie nie są dostępne dla niepodpisanych plików binarnych .

Na dzień ujawnienia nie zgłoszono publicznie żadnego identyfikatora CVE dla tego konkretnego problemu .

Należy podkreślić, że atak wymaga uprawnień lokalnego administratora na docelowym komputerze. Nie jest to podatność na zdalne wykonanie kodu. Jednak gdy atakujący zdobędzie lokalny dostęp administracyjny poprzez oddzielny, początkowy atak (np. wykorzystując podatną aplikację lub kradnąc dane logowania), BYOEDR pozwala mu ominąć zabezpieczenia PPL, które miały ograniczać skutki takiego włamania .

Łatka: Agent SentinelOne 26.1.1

SentinelOne naprawił zgłoszony problem w wersji agenta 26.1.1. Poprawka obejmowała wzmocnienie odsłoniętych interfejsów COM oraz ograniczenie możliwości wykorzystania instalatorów i zaufanych komponentów . Organizacje powinny niezwłocznie zaktualizować wszystkich agentów SentinelOne do wersji 26.1.1 lub nowszej .

Szersze implikacje dla zaufanego oprogramowania zabezpieczającego

Technika BYOEDR uwydatnia fundamentalny problem zaufania: oprogramowanie zabezpieczające z założenia otrzymuje wysokie uprawnienia i głęboki dostęp do systemu. Gdy te możliwości są udostępniane przez dostępne interfejsy lub podpisane pliki binarne, atakujący mogą przekształcić je w narzędzia ofensywne .

• PPL nie jest absolutną obroną – Zabezpieczenia PPL można ominąć, jeśli komponent podpisany przez PPL (np. EDR) udostępnia lokalnym użytkownikom prymityw zrzutu pamięci lub wstrzykiwania kodu .
• Podpisane pliki binarne to miecz obosieczny – Podpisywanie kodu gwarantuje pochodzenie, ale nie bezpieczeństwo. Atakujący mogą wykorzystywać „żyjące z ziemi” produkty zabezpieczające (LOLSP) podobnie jak nadużywają zaufanych plików binarnych systemu operacyjnego .
• Odpowiedzialność dostawcy jest kluczowa – Producenci zabezpieczeń muszą audytować swoje własne interfejsy COM, kontrolę dostępu do sterowników i logikę walidacji instalatorów z taką samą rygorystycznością, z jaką szukają luk w oprogramowaniu innych firm .

Kroki łagodzące dla organizacji

Aby bronić się przed atakami BYOEDR, organizacje powinny podjąć następujące działania:

1. Natychmiast zaktualizować – Upewnić się, że wszyscy agenci SentinelOne zostali zaktualizowani do wersji 26.1.1 lub nowszej .
2. Ograniczyć dostęp lokalny administracyjny – Ponieważ atak wymaga uprawnień lokalnego administratora, należy ograniczyć i ściśle kontrolować konta administracyjne. Wdrożyć dostęp administracyjny just-in-time (JIT) i monitorować nietypowe podnoszenie uprawnień .
3. Monitorować nadużycia COM – Wdrożyć reguły wykrywania podejrzanego użycia interfejsów COM SentinelOne (np. SentinelHelper.1 lub nieoczekiwane wywołania metod Dump) przez procesy niebędące SentinelOne .
4. Stosować zasadę najmniejszych uprawnień – Traktować wszystkich agentów zabezpieczeń jako potencjalne powierzchnie ataku. Ograniczyć logowania interaktywne, wdrożyć kontrolę aplikacji (np. WDAC lub AppLocker) i segmentować przepływy pracy administracyjnej .
5. Przeglądać praktyki wzmacniania dostawców – Przy ocenie produktów EDR/XDR pytać dostawców, w jaki sposób chronią swoje uprzywilejowane interfejsy przed lokalnym nadużyciem, a nie tylko przed zdalnymi exploitami .

Rosnąca rodzina ataków nadużywających zaufania

BYOEDR nie jest odosobnionym przypadkiem. Podobna technika, nazwana „Bring Your Own Installer” (BYOI), odkryta przez Aon's Stroz Friedberg w 2025 roku, wykorzystuje proces aktualizacji/degradacji SentinelOne do wyłączenia ochrony anty-naruszeniowej, pozostawiając punkty końcowe bez ochrony przed wykonaniem malware'u . BYOI zaobserwowano w rzeczywistych atakach wdrażających ransomware Babuk .

Połączenie BYOEDR i BYOI pokazuje, że atakujący coraz częściej celują w zaufanie pokładane w oprogramowaniu zabezpieczającym, a nie tylko w luki w chronionych przez nie aplikacjach.