Bring Your Own EDR (BYOEDR): จากเครื่องมือรักษาความปลอดภัย กลายเป็นม้าโทรจันที่ DEF CON 34

ที่งาน DEF CON 34 ในลาสเวกัส Shahak Morag นักวิจัยจาก Akamai ได้เปิดตัวเทคนิคการโจมตีรูปแบบใหม่ที่เรียกว่า "Bring Your Own EDR" (BYOEDR) เทคนิคนี้เปลี่ยนเครื่องมือรักษาความปลอดภัย SentinelOne ให้กลายเป็นม้าโทรจันที่มีสิทธิพิเศษสูง สามารถรันโค้ดที่ไม่ได้เซ็นชื่อและป้องกันการลบมัลแวร์ได้

นี่ไม่ใช่แค่ทฤษฎี การโจมตีใช้ประโยชน์จาก COM interfaces ที่ถูกเปิดเผยและไฟล์ installer ที่เซ็นชื่อของ SentinelOne เพื่อเลี่ยงระบบ Windows Protected Process Light (PPL) ซึ่งเป็นกลไกความปลอดภัยที่ป้องกันไม่ให้กระบวนการระดับ user-mode เข้าถึงกระบวนการระบบที่ได้รับการป้องกัน SentinelOne ได้แก้ไขช่องโหว่ดังกล่าวใน Agent เวอร์ชัน 26.1.1

ขั้นตอนการโจมตี BYOEDR

การโจมตีแบ่งเป็น 3 ขั้นตอน โดยแต่ละขั้นตอนใช้ประโยชน์จากส่วนประกอบที่ได้รับความเชื่อถือของ SentinelOne :

1. ดัมพ์หน่วยความจำของกระบวนการที่ป้องกันด้วย PPL

ผู้ดูแลระบบในเครื่องใช้อ็อบเจกต์ COM SentinelHelper.1 และเมธอด Dump เพื่อดัมพ์หน่วยความจำของกระบวนการ PPL ใดๆ อินเทอร์เฟซนี้เป็นเครื่องมือการดูแลระบบที่ถูกต้องตามกฎหมาย แต่ถูกเปิดเผยโดยไม่มีข้อจำกัดการเข้าถึงที่เหมาะสม ทำให้ผู้โจมตีสามารถเจาะการป้องกัน PPL และอ่านหน่วยความจำของกระบวนการอย่าง Windows Defender

2. ฉีดโค้ดที่ไม่ได้เซ็นชื่อเข้าสู่กระบวนการที่มีสิทธิสูง

หลังจากดัมพ์หน่วยความจำของกระบวนการที่ป้องกันด้วย PPL ผู้โจมตีจะฉีดโค้ดที่ไม่ได้เซ็นชื่อเข้าไปในกระบวนการที่มีสิทธิสูงนั้น จุดสำคัญคือ โค้ดที่ถูกฉีดนั้นมาจากส่วนประกอบที่เซ็นชื่อโดย SentinelOne ซึ่งระบบปฏิบัติการจะเชื่อถือ โค้ดที่ไม่ได้เซ็นชื่อนี้ถูกหุ้มด้วยพาหะที่ได้รับการเชื่อถือ ทำให้เลี่ยงการตรวจสอบความสมบูรณ์ของโค้ดใน Windows

3. ปกป้องมัลแวร์จากการตรวจจับและการลบ

สุดท้าย ผู้โจมตีใช้กระบวนการและอินเทอร์เฟซที่ได้รับความเชื่อถือของ SentinelOne เพื่อป้องกันไม่ให้ EDR ตรวจจับหรือลบมัลแวร์ที่ถูกฉีดเข้าไป เนื่องจากมัลแวร์ทำงานภายในหรือเคียงข้างกับกระบวนการที่เชื่อถือของ SentinelOne กลไกต่อต้านการดัดแปลงและการป้องกันตัวเองของ EDR จึงกลายเป็นเกราะป้องกันมัลแวร์จากการถูกตรวจจับ

นอกจากนี้ ผู้โจมตียังสามารถติดตั้ง SentinelOne เอเยนต์ปลอมโดยไม่ต้องมีใบอนุญาตและปิดกั้นการส่งข้อมูลผ่าน DNS ในเครื่อง ทำให้ระบบที่ถูกโจมตีแยกตัวจากศูนย์จัดการ

ช่องโหว่ที่ถูกใช้คืออะไร?

ปัญหาหลักคือ SentinelOne เปิดเผยอินเทอร์เฟซ Component Object Model (COM) — โดยเฉพาะ SentinelHelper.1 — ให้ผู้ดูแลระบบในเครื่องเข้าถึงได้โดยไม่มีข้อจำกัดที่เหมาะสม นอกจากนี้ ไฟล์ installer ที่เซ็นชื่อยังถูกนำไปใช้ในทางที่ผิดเพื่อดำเนินการที่มีสิทธิสูงซึ่งไฟล์ปกติทั่วไปไม่สามารถทำได้

ณ วันที่เปิดเผย ยังไม่มีหมายเลข CVE สาธารณะสำหรับช่องโหว่นี้

ข้อควรจำ: การโจมตีนี้ ต้องมีสิทธิ์ผู้ดูแลระบบในเครื่อง มันไม่ใช่ช่องโหว่รันโค้ดจากระยะไกล แต่เมื่อผู้โจมตีได้สิทธิ์ผู้ดูแลระบบจากการโจมตีอื่นก่อน (เช่น ใช้ช่องโหว่ของแอปพลิเคชันหรือข้อมูลประจำตัวที่ถูกขโมย) BYOEDR จะช่วยให้พวกเขาสามารถเจาะการป้องกัน PPL ที่ควรจะจำกัดการโจมตีไว้ได้

การแก้ไข: SentinelOne Agent 26.1.1

SentinelOne ได้แก้ไขปัญหานี้ใน Agent เวอร์ชัน 26.1.1 โดยการเพิ่มความแข็งแกร่งให้กับอินเทอร์เฟซ COM ที่ถูกเปิดเผยและจำกัดวิธีการใช้ไฟล์ installer และส่วนประกอบที่เชื่อถือ องค์กรควรอัปเดต SentinelOne agent ทั้งหมดเป็นเวอร์ชัน 26.1.1 หรือสูงกว่าทันที

ผลกระทบในวงกว้างต่อซอฟต์แวร์รักษาความปลอดภัยที่เชื่อถือ

เทคนิค BYOEDR ชี้ให้เห็นถึงปัญหาความไว้วางใจพื้นฐาน: ซอฟต์แวร์รักษาความปลอดภัยได้รับสิทธิพิเศษสูงและการเข้าถึงระบบอย่างลึกโดยการออกแบบ เมื่อความสามารถเหล่านั้นถูกเปิดเผยผ่านอินเทอร์เฟซหรือไฟล์ไบนารีที่เซ็นชื่อ ผู้โจมตีสามารถนำกลับมาใช้เป็นเครื่องมือโจมตีได้

• PPL ไม่ใช่แนวป้องกันที่สมบูรณ์แบบ การป้องกัน PPL สามารถหลีกเลี่ยงได้หากส่วนประกอบที่เซ็นชื่อ PPL (เช่น EDR) แสดงความสามารถในการดัมพ์หน่วยความจำหรือฉีดโค้ดให้ผู้ใช้ในเครื่องเข้าถึงได้
• ไฟล์ที่เซ็นชื่อเป็นดาบสองคม การเซ็นชื่อโค้ดรับประกันที่มา แต่ไม่ใช่ความปลอดภัย ผู้โจมตีสามารถใช้ประโยชน์จากผลิตภัณฑ์รักษาความปลอดภัยที่มีอยู่ (Living-off-the-Land Security Products - LOLSPs) เช่นเดียวกับที่พวกเขาใช้โปรแกรมระบบที่เชื่อถือได้
• ความรับผิดชอบของผู้ผลิตเป็นสิ่งสำคัญ ผู้ผลิตซอฟต์แวร์รักษาความปลอดภัยต้องตรวจสอบอินเทอร์เฟซ COM ของตนเอง, การควบคุมการเข้าถึงไดรเวอร์, และตรรกะการตรวจสอบ installer ด้วยความเข้มงวดเดียวกับที่ใช้ในการค้นหาจุดบกพร่องในซอฟต์แวร์ของบริษัทอื่น

ขั้นตอนการลดความเสี่ยงสำหรับองค์กร

เพื่อป้องกันการโจมตี BYOEDR องค์กรควรดำเนินการดังนี้:

1. อัปเดตทันที — อัปเดต SentinelOne agent ทั้งหมดเป็นเวอร์ชัน 26.1.1 หรือสูงกว่า
2. จำกัดการเข้าถึงผู้ดูแลระบบในเครื่อง — เนื่องจากการโจมตีต้องใช้สิทธิ์ผู้ดูแลระบบในเครื่อง ให้จำกัดและควบคุมบัญชีผู้ดูแลระบบอย่างเข้มงวด ใช้สิทธิ์ผู้ดูแลระบบแบบ Just-in-Time (JIT) และติดตามการยกระดับสิทธิ์ที่ผิดปกติ
3. ตรวจจับการใช้งาน COM interface ที่ผิดปกติ — ตั้งค่ากฎการตรวจจับสำหรับการใช้งาน COM interface ของ SentinelOne ที่น่าสงสัย (เช่น SentinelHelper.1 หรือการเรียกเมธอด Dump ที่ผิดปกติ) โดยกระบวนการที่ไม่ใช่ SentinelOne
4. ใช้หลักการสิทธิ์น้อยที่สุดอย่างกว้างขวาง — ปฏิบัติต่อเอเยนต์รักษาความปลอดภัยทุกตัวในฐานะพื้นผิวการโจมตีที่อาจเกิดขึ้น จำกัดการเข้าสู่ระบบแบบโต้ตอบ, ใช้ Application Control (เช่น WDAC หรือ AppLocker), และแบ่งส่วนเวิร์กโฟลว์การดูแลระบบ
5. ตรวจสอบแนวปฏิบัติการรักษาความปลอดภัยของผู้ผลิต — เมื่อประเมินผลิตภัณฑ์ EDR/XDR ให้สอบถามผู้ผลิตว่าพวกเขาปกป้องอินเทอร์เฟซที่มีสิทธิสูงของตนเองจากการถูกใช้งานในทางที่ผิดในเครื่อง ไม่ใช่แค่จากการโจมตีจากระยะไกล

ครอบครัวของการโจมตีที่ใช้ประโยชน์จากความไว้วางใจที่กำลังเติบโต

BYOEDR ไม่ใช่เหตุการณ์เดียวที่เกิดขึ้น เทคนิคที่คล้ายกันที่เรียกว่า "Bring Your Own Installer" (BYOI) ถูกค้นพบโดย Aon's Stroz Friedberg ในปี 2025 ซึ่งใช้ประโยชน์จากกระบวนการอัปเกรด/ดาวน์เกรดของ SentinelOne เพื่อปิดการป้องกัน anti-tamper ทำให้เครื่องไม่ได้รับการป้องกันสำหรับการทำงานของมัลแวร์ BYOI ถูกสังเกตเห็นในการโจมตีจริงที่ใช้ Babuk ransomware

การรวมกันของ BYOEDR และ BYOI แสดงให้เห็นว่าผู้โจมตีกำลังให้ความสำคัญกับการใช้ประโยชน์จากความไว้วางใจในซอฟต์แวร์รักษาความปลอดภัย ไม่ใช่แค่ช่องโหว่ในแอปพลิเคชันที่ซอฟต์แวร์นั้นปกป้อง