Bring Your Own EDR – när säkerhetsverktyget blir ett vapen

Under DEF CON 34 i Las Vegas presenterade Akamai-forskaren Shahak Morag en ny attackteknik som kallas 'Bring Your Own EDR' (BYOEDR). Metoden beväpnar en legitim SentinelOne-agent – och förvandlar det verktyg som är designat för att skydda enheter till en privilegierad trojansk häst som kan exekvera osignerad kod och skydda skadlig programvara från borttagning .

Detta är ingen teoretisk övning. Attacken utnyttjar SentinelOnes exponerade COM-gränssnitt och signerade installationsbinärer för att kringgå Windows Protected Process Light (PPL), en säkerhetsmekanism som normalt förhindrar användarlägesprocesser från att komma åt skyddade systemprocesser. SentinelOne har åtgärdat problemet i Agent version 26.1.1 .

Hur BYOEDR-attacken fungerar

Attackkedjan utförs i tre steg, där varje steg missbrukar en annan betrodd SentinelOne-komponent :

1. Avläsning av PPL-skyddat processminne

En lokal administratör använder COM-objektet SentinelHelper.1:s Dump-metod för att läsa minnet i vilken PPL-skyddad process som helst. Gränssnittet SentinelHelper.1 är ett legitimt administrationsverktyg, men det exponerades utan tillräcklig åtkomstkontroll. Detta gör att en angripare med lokala adminrättigheter helt kan kringgå PPL-skyddet och läsa minnesinnehållet i processer som Windows Defender .

2. Injicering av osignerad kod i den förhöjda processen

Efter att ha läst minnet från den PPL-skyddade processen injicerar angriparen osignerad kod i den förhöjda processen. Avgörande är att denna kod injiceras från en SentinelOne-signerad komponent – operativsystemet litar på kod som är signerad av SentinelOne. Den injicerade osignerade koden, insvept i en betrodd bärare, kringgår Windows kodintegritetskontroller .

3. Skydd av skadlig programvara från upptäckt och borttagning

Slutligen utnyttjar angriparen samma betrodda SentinelOne-processer och gränssnitt för att förhindra att EDR:n upptäcker eller tar bort den injicerade skadliga programvaran. Eftersom den skadliga programvaran körs inom eller bredvid SentinelOnes egna betrodda processer, skyddar EDR:ns anti-tamper- och självskyddsmekanismer skadlig programvara mot sig själv .

Angriparen kan också installera en falsk SentinelOne-agent utan giltig licens och blockera hanteringstelemetri via lokal DNS-manipulation, vilket isolerar det komprometterade systemet från den centrala hanteringskonsolen .

Vilken sårbarhet utnyttjar den?

Grundproblemet är att SentinelOne exponerade kraftfulla COM-gränssnitt – specifikt SentinelHelper.1 – för lokala administratörer utan tillräcklig åtkomstkontroll. Dessutom kunde dess signerade installationsbinärer återanvändas för att utföra privilegierade åtgärder som vanliga osignerade binärer inte kan .

Från och med offentliggörandet har ingen offentlig CVE-identifierare rapporterats brett för detta specifika problem .

Det är viktigt att notera att attacken kräver lokala administratörsrättigheter på måldatorn. Det är ingen sårbarhet för fjärrexekvering av kod. Men när en angripare väl får lokal adminåtkomst genom en separat initial kompromettering (som att utnyttja en sårbar applikation eller använda stulna inloggningsuppgifter), gör BYOEDR det möjligt för dem att kringgå PPL-skydd som är avsedda att begränsa sådana komprometteringar .

Korrigeringen: SentinelOne Agent 26.1.1

SentinelOne åtgärdade det rapporterade problemet i Agent version 26.1.1. Korrigeringen innebar att de exponerade COM-gränssnitten härdades och att användningen av installationsbinärerna och betrodda komponenter begränsades . Organisationer bör omedelbart se till att alla SentinelOne-agenter uppgraderas till version 26.1.1 eller senare .

Bredare implikationer för betrodd säkerhetsprogramvara

BYOEDR-tekniken belyser ett grundläggande förtroendeproblem: säkerhetsprogramvara ges höga privilegier och djup systemåtkomst av design. När dessa funktioner exponeras genom tillgängliga gränssnitt eller signerade binärer kan angripare återanvända dem som offensiva verktyg .

• PPL är inget absolut försvar. PPL-skydd kan kringgås om en PPL-signerad komponent (som en EDR) exponerar en minnesdumpnings- eller kod-injiceringsmekanism för lokala användare .
• Signerade binärer är ett tveeggat svärd. Kodsignering garanterar ursprung, inte säkerhet. Angripare kan utnyttja 'living-off-the-land' säkerhetsprodukter (LOLSPs) på samma sätt som de missbrukar betrodda OS-binärer .
• Leverantörens ansvar är avgörande. Säkerhetsleverantörer måste granska sina egna COM-gränssnitt, drivrutiners åtkomstkontroller och installationsvalideringslogik med samma rigor som de tillämpar för att hitta brister i tredjepartsprogramvara .

Åtgärdssteg för organisationer

För att försvara sig mot BYOEDR-attacker bör organisationer vidta följande åtgärder:

1. Uppdatera omedelbart – Se till att alla SentinelOne-agenter uppgraderas till version 26.1.1 eller senare .
2. Begränsa lokal adminåtkomst – Eftersom attacken kräver lokala administratörsrättigheter, begränsa och kontrollera administrativa konton strikt. Implementera just-in-time (JIT)-administration och övervaka ovanlig behörighetshöjning .
3. Övervaka missbruk av COM – Inför detekteringsregler för misstänkt användning av SentinelOnes COM-gränssnitt (t.ex. SentinelHelper.1 eller oväntade anrop till Dump-metoder) från processer som inte är SentinelOne .
4. Tillämpa minsta privilegium brett – Behandla alla säkerhetsagenter som potentiella attackytor. Begränsa interaktiva inloggningar, tillämpa applikationskontroll (t.ex. WDAC eller AppLocker) och segmentera administrativa arbetsflöden .
5. Granska leverantörers säkerhetsarbete – När du utvärderar EDR/XDR-produkter, fråga leverantörer hur de skyddar sina egna privilegierade gränssnitt från lokalt missbruk, inte bara från fjärrexploateringar .

En växande familj av förtroendemissbruksattacker

BYOEDR är inte en isolerad händelse. En liknande teknik som kallas 'Bring Your Own Installer' (BYOI), upptäckt av Aons Stroz Friedberg 2025, utnyttjar SentinelOnes uppgraderings-/nedgraderingsprocess för att inaktivera anti-tamper-skydd, vilket lämnar enheter oskyddade för skadlig programvara . BYOI observerades i verkliga attacker som distribuerade Babuk ransomware .

Kombinationen av BYOEDR och BYOI visar att angripare alltmer riktar in sig på det förtroende som placeras i själva säkerhetsprogramvaran, inte bara sårbarheterna i de applikationer den skyddar.