Bring Your Own EDR: Как Akamai превратила SentinelOne в троянского коня на DEF CON 34

На конференции DEF CON 34 в Лас-Вегасе исследователь Akamai Шахак Мораг представил новую атакующую технику под названием «Bring Your Own EDR» (BYOEDR). Этот метод превращает легитимный агент端点 SentinelOne — инструмент, предназначенный для защиты устройств, — в привилегированного троянского коня, способного выполнять неподписанный код и укрывать вредоносное ПО от удаления .

Это не просто теоретическая демонстрация. Атака эксплуатирует открытые COM-интерфейсы и подписанные бинарные файлы установщика SentinelOne для обхода механизма Windows Protected Process Light (PPL), который в обычных условиях предотвращает доступ пользовательских процессов к защищенным системным процессам. SentinelOne устранил проблему в версии агента 26.1.1 .

Как работает атака BYOEDR

Цепочка атаки состоит из трех этапов, на каждом из которых злоупотребляется разным доверенным компонентом SentinelOne :

1. Извлечение памяти PPL-защищенного процесса

Локальный администратор использует метод Dump COM-объекта SentinelHelper.1 для извлечения содержимого памяти любого процесса, защищенного с помощью Protected Process Light (PPL). Интерфейс SentinelHelper.1 является легитимным административным инструментом, но он был открыт без должного контроля доступа. Это позволяет атакующему с правами локального администратора полностью обойти защиту PPL, читая содержимое памяти таких процессов, как Windows Defender .

2. Внедрение неподписанного кода в привилегированный процесс

После извлечения памяти PPL-защищенного процесса атакующий внедряет в этот процесс неподписанный код. Ключевой момент: это внедрение кода исходит от компонента, подписанного SentinelOne. Операционная система доверяет коду, подписанному SentinelOne. Внедренный неподписанный код, «упакованный» в доверенный носитель, обходит проверки целостности кода Windows .

3. Укрывательство вредоносного ПО от обнаружения и удаления

Наконец, атакующий использует те же доверенные процессы и интерфейсы SentinelOne, чтобы предотвратить обнаружение и удаление внедренного вредоносного ПО самим EDR. Поскольку вредоносное ПО работает внутри или рядом с доверенными процессами SentinelOne, механизмы защиты от несанкционированного вмешательства и самозащиты EDR фактически укрывают вредоносное ПО от самого себя .

Атакующий также может установить мошеннический агент SentinelOne без действующей лицензии и заблокировать телеметрию управления через локальные манипуляции с DNS, изолируя скомпрометированную систему от центральной консоли управления .

Какую уязвимость это эксплуатирует?

Корень проблемы в том, что SentinelOne открыл мощные COM-интерфейсы (Component Object Model) — в частности SentinelHelper.1 — для локальных администраторов без адекватного контроля доступа. Кроме того, его подписанные бинарные файлы установщика можно было использовать для выполнения привилегированных действий, недоступных обычным неподписанным бинарным файлам .

На момент раскрытия информации не было широко опубликовано идентификатора CVE для этой конкретной проблемы .

Важно отметить, что атака требует прав локального администратора на целевой машине. Это не уязвимость удаленного выполнения кода. Однако, получив доступ с правами локального администратора через отдельную начальную компрометацию (например, эксплуатацию уязвимого приложения или использование украденных учетных данных), атакующий с помощью BYOEDR может обойти защиту PPL, которая как раз и предназначена для сдерживания таких компрометаций .

Патч: SentinelOne Agent 26.1.1

Компания SentinelOne исправила сообщенную проблему в версии агента 26.1.1. Исправление включало ужесточение открытых COM-интерфейсов и ограничение способов использования бинарных файлов установщика и доверенных компонентов . Организации должны немедленно обновить все агенты SentinelOne до версии 26.1.1 или новее .

Более широкие последствия для доверенного программного обеспечения безопасности

Техника BYOEDR подчеркивает фундаментальную проблему доверия: программное обеспечение безопасности по своей конструкции имеет высокие привилегии и глубокий доступ к системе. Когда эти возможности становятся доступны через открытые интерфейсы или подписанные бинарные файлы, атакующие могут превратить их в наступательные инструменты .

• PPL — не абсолютная защита. Защиту PPL можно обойти, если компонент, подписанный для PPL (например, EDR), предоставляет локальным пользователям примитивы для дампа памяти или внедрения кода .
• Подписанные бинарные файлы — палка о двух концах. Подпись кода гарантирует происхождение, но не безопасность. Атакующие могут использовать метод «жизни за счет продуктов безопасности» (LOLSPs — Living Off the Land Security Products) так же, как они злоупотребляют доверенными бинарными файлами ОС .
• Ответственность вендора имеет первостепенное значение. Вендоры средств безопасности должны аудировать свои собственные COM-интерфейсы, средства контроля доступа к драйверам и логику проверки установщиков с той же тщательностью, с какой они ищут уязвимости в стороннем ПО .

Шаги по снижению риска для организаций

Для защиты от атак BYOEDR организациям следует предпринять следующие действия:

1. Немедленное обновление — Убедиться, что все агенты SentinelOne обновлены до версии 26.1.1 или новее .
2. Ужесточение контроля над локальными администраторами — Поскольку атака требует прав локального администратора, ограничьте и строго контролируйте административные учетные записи. Внедрите доступ с правами администратора по принципу «точно вовремя» (JIT) и отслеживайте необычное повышение привилегий .
3. Мониторинг на предмет злоупотребления COM — Разверните правила обнаружения подозрительного использования COM-интерфейсов SentinelOne (например, SentinelHelper.1 или неожиданных вызовов методов Dump) процессами, не относящимися к SentinelOne .
4. Повсеместное применение принципа наименьших привилегий — Относитесь ко всем агентам безопасности как к потенциальным поверхностям атаки. Ограничьте интерактивные входы в систему, внедрите контроль приложений (например, WDAC или AppLocker) и сегментируйте административные рабочие процессы .
5. Проверка практик усиления защиты вендора — При оценке продуктов EDR/XDR спрашивайте вендоров, как они защищают свои собственные привилегированные интерфейсы от локального злоупотребления, а не только от удаленных эксплойтов .

Растущее семейство атак, злоупотребляющих доверием

BYOEDR — не единичный случай. Похожая техника под названием «Bring Your Own Installer» (BYOI), обнаруженная Aon's Stroz Friedberg в 2025 году, эксплуатирует процесс обновления/отката SentinelOne для отключения защиты от несанкционированного вмешательства, оставляя конечные точки незащищенными для выполнения вредоносного ПО . BYOI была замечена в реальных атаках с использованием программы-вымогателя Babuk .

Комбинация BYOEDR и BYOI демонстрирует, что атакующие все чаще нацеливаются на доверие, оказываемое самому программному обеспечению безопасности, а не только на уязвимости в защищаемых им приложениях.