Bring Your Own EDR: Як Akamai перетворила SentinelOne на троянського коня на DEF CON 34

На конференції DEF CON 34 у Лас-Вегасі дослідник Akamai Shahak Morag представив нову техніку атаки під назвою «Bring Your Own EDR» (BYOEDR). Цей метод перетворює легітимний агент端点 виявлення та реагування (EDR) SentinelOne на привілейованого троянського коня, здатного виконувати непідписаний код та захищати шкідливе програмне забезпечення від видалення .

Це не просто теоретична вправа. Атака використовує відкриті COM-інтерфейси SentinelOne та підписані бінарні файли інсталятора для обходу Windows Protected Process Light (PPL) — механізму безпеки, який зазвичай запобігає доступу процесів у режимі користувача до захищених системних процесів. SentinelOne виправила цю проблему у версії агента 26.1.1 .

Як працює атака BYOEDR

Ланцюг атаки складається з трьох етапів, кожен з яких зловживає різним довіреним компонентом SentinelOne :

1. Вивантаження пам'яті PPL-захищеного процесу

Локальний адміністратор використовує метод Dump COM-об'єкта SentinelHelper.1 для вивантаження пам'яті будь-якого процесу, захищеного Protected Process Light (PPL). Інтерфейс SentinelHelper.1 є легітимним адміністративним інструментом, але він був відкритий без належного контролю доступу. Це дозволяє атакуючому з правами локального адміністратора повністю обійти захист PPL, читаючи вміст пам'яті таких процесів, як Windows Defender .

2. Впровадження непідписаного коду в підвищений процес

Після вивантаження пам'яті PPL-захищеного процесу, атакуючий впроваджує непідписаний код у цей підвищений процес. Важливо, що це впровадження коду походить від компонента, підписаного SentinelOne, — операційна система довіряє коду, підписаному SentinelOne. Впроваджений непідписаний код, загорнутий у довірений носій, обходить перевірки цілісності коду Windows .

3. Захист шкідливого ПЗ від виявлення та видалення

Нарешті, атакуючий використовує ті самі довірені процеси та інтерфейси SentinelOne, щоб запобігти виявленню або видаленню впровадженого шкідливого ПЗ. Оскільки шкідливе ПЗ працює всередині або поруч із власними довіреними процесами SentinelOne, механізми захисту від втручання та самозахисту EDR фактично захищають шкідливе ПЗ від самого себе .

Атакуючий також може встановити шахрайський агент SentinelOne без дійсної ліцензії та заблокувати телеметрію керування через локальні маніпуляції з DNS, ізолюючи скомпрометовану систему від центральної консолі керування .

Яку вразливість це експлуатує?

Основна проблема полягає в тому, що SentinelOne відкрила потужні інтерфейси Component Object Model (COM), зокрема SentinelHelper.1, для локальних адміністраторів без належного контролю доступу. Крім того, її підписані бінарні файли інсталятора можна було використовувати для виконання привілейованих дій, які звичайні непідписані бінарні файли виконати не можуть .

Станом на дату оприлюднення, загальнодоступний ідентифікатор CVE для цієї конкретної проблеми широко не повідомлявся .

Важливо зазначити, що атака вимагає прав локального адміністратора на цільовій машині. Це не вразливість віддаленого виконання коду. Однак, коли атакуючий отримує локальний адміністративний доступ через окрему початкову компрометацію (наприклад, експлуатуючи вразливу програму або використовуючи вкрадені облікові дані), BYOEDR дозволяє йому обійти захист PPL, призначений для стримування таких компрометацій .

Виправлення: Агент SentinelOne 26.1.1

SentinelOne виправила повідомлену проблему у версії агента 26.1.1. Виправлення передбачало посилення відкритих COM-інтерфейсів та обмеження того, як можна використовувати бінарні файли інсталятора та довірені компоненти . Організації повинні негайно оновити всі агенти SentinelOne до версії 26.1.1 або новішої .

Ширші наслідки для довіреного програмного забезпечення безпеки

Техніка BYOEDR висвітлює фундаментальну проблему довіри: програмне забезпечення безпеки за своєю конструкцією отримує високі привілеї та глибокий доступ до системи. Коли ці можливості стають доступними через відкриті інтерфейси або підписані бінарні файли, атакуючі можуть використовувати їх як наступальні інструменти .

• PPL не є абсолютним захистом. Захист PPL можна обійти, якщо компонент, підписаний PPL (наприклад, EDR), надає локальним користувачам примітиви для вивантаження пам'яті або впровадження коду .
• Підписані бінарні файли — це палиця з двома кінцями. Підпис коду гарантує походження, але не безпеку. Атакуючі можуть використовувати «життя за рахунок продуктів безпеки» (LOLSPs) так само, як вони зловживають довіреними бінарними файлами ОС .
• Відповідальність постачальника є найважливішою. Постачальники програмного забезпечення безпеки повинні перевіряти власні COM-інтерфейси, контроль доступу до драйверів та логіку перевірки інсталятора з такою ж ретельністю, з якою вони шукають недоліки в сторонньому програмному забезпеченні .

Кроки для пом'якшення наслідків для організацій

Для захисту від атак BYOEDR організаціям слід вжити наступних заходів:

1. Негайно оновитися — переконайтеся, що всі агенти SentinelOne оновлені до версії 26.1.1 або новішої .
2. Посиліть контроль над локальними адміністраторами — оскільки атака вимагає прав локального адміністратора, обмежте та ретельно контролюйте адміністративні облікові записи. Впровадьте адміністративний доступ «на вимогу» (JIT) та відстежуйте незвичайне підвищення привілеїв .
3. Відстежуйте зловживання COM — розгорніть правила виявлення підозрілого використання COM-інтерфейсів SentinelOne (наприклад, SentinelHelper.1 або неочікуваних викликів методів Dump) процесами, які не належать SentinelOne .
4. Широко застосовуйте принцип найменших привілеїв — розглядайте всі агенти безпеки як потенційні поверхні атаки. Обмежте інтерактивні входи, застосовуйте контроль програм (наприклад, WDAC або AppLocker) та сегментуйте адміністративні робочі процеси .
5. Перевірте практики посилення захисту постачальника — оцінюючи продукти EDR/XDR, запитуйте у постачальників, як вони захищають власні привілейовані інтерфейси від локального зловживання, а не лише від віддалених експлойтів .

Зростаюча родина атак на довіру

BYOEDR — не ізольований інцидент. Подібна техніка під назвою «Bring Your Own Installer» (BYOI), виявлена компанією Stroz Friedberg (Aon) у 2025 році, використовує процес оновлення/пониження версії SentinelOne для вимкнення захисту від втручання, залишаючи кінцеві точки незахищеними для виконання шкідливого ПЗ . BYOI спостерігалася в реальних атаках з використанням програми-вимагача Babuk .

Поєднання BYOEDR та BYOI демонструє, що атакуючі все частіше націлюються на довіру, яку покладають на саме програмне забезпечення безпеки, а не лише на вразливості в програмах, які воно захищає.