BYOEDR: Khi Phần Mềm Bảo Mật Biến Thành Vũ Khí Tấn Công
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (... Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (...
Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
SentinelOne đã vá lỗ hổng trong phiên bản Agent 26.1.1. Các tổ chức cần cập nhật ngay lập tức, hạn chế quyền admin, giám sát hoạt động lạm dụng giao diện COM và xem xét các biện pháp bảo vệ giao diện đặc quyền của nhà...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Tại hội nghị DEF CON 34 ở Las Vegas, nhà nghiên cứu Shahak Morag của Akamai đã trình diễn một kỹ thuật tấn công mới có tên 'Bring Your Own EDR' (BYOEDR). Phương pháp này vũ trang hóa một agent SentinelOne hợp pháp, biến công cụ được thiết kế để bảo vệ endpoint thành một 'con ngựa thành Troy' có đặc quyền, có khả năng thực thi mã không ký và bảo vệ mã độc khỏi bị phát hiện và loại bỏ .
Đây không phải là một bài tập lý thuyết. Cuộc tấn công khai thác các giao diện COM (Component Object Model) bị phơi bày và các tệp nhị phân trình cài đặt đã được ký của SentinelOne để vượt qua Windows Protected Process Light (PPL), một cơ chế bảo mật thường ngăn chặn các tiến trình ở chế độ người dùng truy cập vào các tiến trình hệ thống được bảo vệ. SentinelOne đã vá lỗ hổng này trong phiên bản Agent 26.1.1 .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "BYOEDR: Khi Phần Mềm Bảo Mật Biến Thành Vũ Khí Tấn Công" là gì?
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (...
Những điểm chính cần xác nhận đầu tiên là gì?
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (... Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
Tôi nên làm gì tiếp theo trong thực tế?
SentinelOne đã vá lỗ hổng trong phiên bản Agent 26.1.1. Các tổ chức cần cập nhật ngay lập tức, hạn chế quyền admin, giám sát hoạt động lạm dụng giao diện COM và xem xét các biện pháp bảo vệ giao diện đặc quyền của nhà...
BYOEDR: Khi Phần Mềm Bảo Mật Biến Thành Vũ Khí Tấn Công
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (... Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (...
Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
SentinelOne đã vá lỗ hổng trong phiên bản Agent 26.1.1. Các tổ chức cần cập nhật ngay lập tức, hạn chế quyền admin, giám sát hoạt động lạm dụng giao diện COM và xem xét các biện pháp bảo vệ giao diện đặc quyền của nhà...
How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and responseConceptual representation of the Bring Your Own EDR (BYOEDR) attack technique that turns trusted endpoint security software into a Trojan horse.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: How does the "Bring Your Own EDR" attack technique disclosed by Akamai at DEF CON 34 weaponize SentinelOne's endpoint detection and response. Article summary: Here is the full breakdown of the "Bring Your Own EDR" (BYOEDR) attack disclosed by Akamai researcher Shahak Morag at DEF CON 34 [1][2].. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful
openai.com
Tại hội nghị DEF CON 34 ở Las Vegas, nhà nghiên cứu Shahak Morag của Akamai đã trình diễn một kỹ thuật tấn công mới có tên 'Bring Your Own EDR' (BYOEDR). Phương pháp này vũ trang hóa một agent SentinelOne hợp pháp, biến công cụ được thiết kế để bảo vệ endpoint thành một 'con ngựa thành Troy' có đặc quyền, có khả năng thực thi mã không ký và bảo vệ mã độc khỏi bị phát hiện và loại bỏ .
Đây không phải là một bài tập lý thuyết. Cuộc tấn công khai thác các giao diện COM (Component Object Model) bị phơi bày và các tệp nhị phân trình cài đặt đã được ký của SentinelOne để vượt qua Windows Protected Process Light (PPL), một cơ chế bảo mật thường ngăn chặn các tiến trình ở chế độ người dùng truy cập vào các tiến trình hệ thống được bảo vệ. SentinelOne đã vá lỗ hổng này trong phiên bản Agent 26.1.1 .
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "BYOEDR: Khi Phần Mềm Bảo Mật Biến Thành Vũ Khí Tấn Công" là gì?
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (...
Những điểm chính cần xác nhận đầu tiên là gì?
Kỹ thuật 'Bring Your Own EDR' (BYOEDR) do nhà nghiên cứu Shahak Morag của Akamai công bố tại DEF CON 34 đã lợi dụng giao diện COM và trình cài đặt có chữ ký của SentinelOne để vượt qua cơ chế Protected Process Light (... Cuộc tấn công yêu cầu quyền quản trị viên cục bộ, không phải lỗ hổng thực thi mã từ xa.
Tôi nên làm gì tiếp theo trong thực tế?
SentinelOne đã vá lỗ hổng trong phiên bản Agent 26.1.1. Các tổ chức cần cập nhật ngay lập tức, hạn chế quyền admin, giám sát hoạt động lạm dụng giao diện COM và xem xét các biện pháp bảo vệ giao diện đặc quyền của nhà...
Chuỗi tấn công được thực hiện qua ba giai đoạn, mỗi giai đoạn lạm dụng một thành phần SentinelOne đáng tin cậy khác nhau :
1. Trích xuất Bộ Nhớ của Tiến Trình Được PPL Bảo Vệ
Quản trị viên cục bộ sử dụng phương thức Dump của đối tượng COM SentinelHelper.1 để trích xuất bộ nhớ của bất kỳ tiến trình Protected Process Light (PPL) nào. Giao diện SentinelHelper.1 là một công cụ quản trị hợp pháp, nhưng nó đã bị phơi bày mà không có kiểm soát truy cập đầy đủ. Điều này cho phép kẻ tấn công với quyền admin cục bộ vô hiệu hóa hoàn toàn các biện pháp bảo vệ PPL, đọc nội dung bộ nhớ của các tiến trình như Windows Defender .
2. Tiêm Mã Không Ký vào Tiến Trình Đã Được Nâng Cao
Sau khi trích xuất tiến trình được PPL bảo vệ, kẻ tấn công tiêm mã không ký vào tiến trình đã được nâng cao đó. Điều quan trọng là việc tiêm mã này bắt nguồn từ một thành phần đã được SentinelOne ký — hệ điều hành tin tưởng mã do SentinelOne ký. Mã không ký được tiêm, nằm trong một 'vật mang' đáng tin cậy, sẽ vượt qua các kiểm tra tính toàn vẹn của Windows .
3. Bảo Vệ Mã Độc Khỏi Bị Phát Hiện và Loại Bỏ
Cuối cùng, kẻ tấn công tận dụng chính các tiến trình và giao diện SentinelOne đáng tin cậy để ngăn EDR phát hiện hoặc loại bỏ mã độc đã được tiêm. Bởi vì mã độc chạy trong hoặc song song với các tiến trình đáng tin cậy của SentinelOne, các cơ chế chống can thiệp (anti-tampering) và tự bảo vệ của chính EDR đó sẽ bảo vệ mã độc .
Kẻ tấn công cũng có thể cài đặt một agent SentinelOne giả mạo mà không cần giấy phép hợp lệ và chặn luồng telemetry quản lý thông qua thao tác DNS cục bộ, cô lập hệ thống bị xâm nhập khỏi bảng điều khiển quản lý trung tâm .
Nó Khai Thác Lỗ Hổng Gì?
Vấn đề cốt lõi là SentinelOne đã phơi bày các giao diện COM mạnh mẽ — cụ thể là SentinelHelper.1 — cho quản trị viên cục bộ mà không có kiểm soát truy cập đầy đủ. Ngoài ra, các tệp nhị phân trình cài đặt đã được ký của nó có thể bị sử dụng sai mục đích để thực hiện các hành động có đặc quyền mà các tệp nhị phân không được ký thông thường không thể làm được .
Tính đến ngày công bố, chưa có mã định danh CVE công khai nào được báo cáo rộng rãi cho vấn đề cụ thể này .
Điều quan trọng cần lưu ý là cuộc tấn công yêu cầu quyền quản trị viên cục bộ trên máy mục tiêu. Đây không phải là lỗ hổng thực thi mã từ xa. Tuy nhiên, một khi kẻ tấn công giành được quyền admin cục bộ thông qua một cuộc tấn công ban đầu riêng biệt (ví dụ: khai thác một ứng dụng dễ bị tấn công hoặc sử dụng thông tin đăng nhập bị đánh cắp), BYOEDR cho phép chúng vượt qua các biện pháp bảo vệ PPL vốn được thiết kế để ngăn chặn các hành vi xâm nhập như vậy .
Bản Vá: SentinelOne Agent 26.1.1
SentinelOne đã khắc phục sự cố được báo cáo trong Agent phiên bản 26.1.1. Bản vá liên quan đến việc củng cố các giao diện COM bị phơi bày và hạn chế cách sử dụng các tệp nhị phân trình cài đặt và các thành phần đáng tin cậy . Các tổ chức nên đảm bảo nâng cấp tất cả các agent SentinelOne lên phiên bản 26.1.1 trở lên ngay lập tức .
Hàm Ý Rộng Hơn Đối Với Phần Mềm Bảo Mật Đáng Tin Cậy
Kỹ thuật BYOEDR làm nổi bật một vấn đề tin cậy cơ bản: phần mềm bảo mật được cấp các đặc quyền cao và quyền truy cập sâu vào hệ thống ngay từ khi thiết kế. Khi các khả năng đó bị phơi bày thông qua các giao diện có thể truy cập hoặc các tệp nhị phân đã được ký, kẻ tấn công có thể biến chúng thành công cụ tấn công .
PPL không phải là một biện pháp phòng thủ tuyệt đối. Các biện pháp bảo vệ PPL có thể bị vượt qua nếu một thành phần có chữ ký PPL (như EDR) phơi bày một nguyên thủy dump bộ nhớ hoặc tiêm mã cho người dùng cục bộ .
Các tệp nhị phân đã ký là con dao hai lưỡi. Chữ ký số đảm bảo nguồn gốc, không đảm bảo an toàn. Kẻ tấn công có thể tận dụng các sản phẩm bảo mật 'sống dựa vào đất' (LOLSPs - Living-off-the-land Security Products) tương tự như cách chúng lạm dụng các tệp nhị phân hệ điều hành đáng tin cậy .
Trách nhiệm của nhà cung cấp là tối quan trọng. Các nhà cung cấp bảo mật phải kiểm toán các giao diện COM, kiểm soát truy cập driver và logic xác thực trình cài đặt của chính họ với cùng mức độ nghiêm ngặt mà họ áp dụng để tìm lỗ hổng trong phần mềm của bên thứ ba .
Các Bước Giảm Thiểu Rủi Ro Cho Tổ Chức
Để phòng thủ chống lại các cuộc tấn công BYOEDR, các tổ chức nên thực hiện các hành động sau:
Cập nhật ngay lập tức — Đảm bảo tất cả các agent SentinelOne được nâng cấp lên phiên bản 26.1.1 trở lên .
Tăng cường kiểm soát quyền admin cục bộ — Vì cuộc tấn công yêu cầu quyền admin cục bộ, hãy hạn chế và kiểm soát chặt chẽ các tài khoản quản trị. Triển khai quyền truy cập admin đúng lúc (JIT) và giám sát việc nâng quyền bất thường .
Giám sát lạm dụng COM — Triển khai các quy tắc phát hiện cho việc sử dụng đáng ngờ các giao diện COM của SentinelOne (ví dụ: SentinelHelper.1 hoặc các lệnh gọi đến phương thức Dump bất ngờ) bởi các tiến trình không phải của SentinelOne .
Áp dụng nguyên tắc đặc quyền tối thiểu rộng rãi — Coi tất cả các agent bảo mật là bề mặt tấn công tiềm năng. Hạn chế đăng nhập tương tác, thực thi kiểm soát ứng dụng (ví dụ: WDAC hoặc AppLocker) và phân đoạn các quy trình quản trị .
Xem xét các biện pháp củng cố của nhà cung cấp — Khi đánh giá các sản phẩm EDR/XDR, hãy hỏi nhà cung cấp cách họ bảo vệ các giao diện đặc quyền của chính họ khỏi bị lạm dụng cục bộ, không chỉ là các cuộc khai thác từ xa .
Một Họ Ngày Càng Lớn Các Cuộc Tấn Công Lạm Dụng Lòng Tin
BYOEDR không phải là một sự cố cá biệt. Một kỹ thuật tương tự có tên 'Bring Your Own Installer' (BYOI), được phát hiện bởi Stroz Friedberg của Aon vào năm 2025, khai thác quá trình nâng cấp/hạ cấp của SentinelOne để vô hiệu hóa các biện pháp bảo vệ chống can thiệp, để lại các endpoint không được bảo vệ cho việc thực thi mã độc . BYOI đã được quan sát thấy trong các cuộc tấn công thực tế triển khai ransomware Babuk .
Sự kết hợp giữa BYOEDR và BYOI chứng minh rằng những kẻ tấn công ngày càng nhắm mục tiêu vào lòng tin đặt vào chính phần mềm bảo mật, chứ không chỉ các lỗ hổng trong các ứng dụng mà nó bảo vệ.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
Chuỗi tấn công được thực hiện qua ba giai đoạn, mỗi giai đoạn lạm dụng một thành phần SentinelOne đáng tin cậy khác nhau :
1. Trích xuất Bộ Nhớ của Tiến Trình Được PPL Bảo Vệ
Quản trị viên cục bộ sử dụng phương thức Dump của đối tượng COM SentinelHelper.1 để trích xuất bộ nhớ của bất kỳ tiến trình Protected Process Light (PPL) nào. Giao diện SentinelHelper.1 là một công cụ quản trị hợp pháp, nhưng nó đã bị phơi bày mà không có kiểm soát truy cập đầy đủ. Điều này cho phép kẻ tấn công với quyền admin cục bộ vô hiệu hóa hoàn toàn các biện pháp bảo vệ PPL, đọc nội dung bộ nhớ của các tiến trình như Windows Defender .
2. Tiêm Mã Không Ký vào Tiến Trình Đã Được Nâng Cao
Sau khi trích xuất tiến trình được PPL bảo vệ, kẻ tấn công tiêm mã không ký vào tiến trình đã được nâng cao đó. Điều quan trọng là việc tiêm mã này bắt nguồn từ một thành phần đã được SentinelOne ký — hệ điều hành tin tưởng mã do SentinelOne ký. Mã không ký được tiêm, nằm trong một 'vật mang' đáng tin cậy, sẽ vượt qua các kiểm tra tính toàn vẹn của Windows .
3. Bảo Vệ Mã Độc Khỏi Bị Phát Hiện và Loại Bỏ
Cuối cùng, kẻ tấn công tận dụng chính các tiến trình và giao diện SentinelOne đáng tin cậy để ngăn EDR phát hiện hoặc loại bỏ mã độc đã được tiêm. Bởi vì mã độc chạy trong hoặc song song với các tiến trình đáng tin cậy của SentinelOne, các cơ chế chống can thiệp (anti-tampering) và tự bảo vệ của chính EDR đó sẽ bảo vệ mã độc .
Kẻ tấn công cũng có thể cài đặt một agent SentinelOne giả mạo mà không cần giấy phép hợp lệ và chặn luồng telemetry quản lý thông qua thao tác DNS cục bộ, cô lập hệ thống bị xâm nhập khỏi bảng điều khiển quản lý trung tâm .
Nó Khai Thác Lỗ Hổng Gì?
Vấn đề cốt lõi là SentinelOne đã phơi bày các giao diện COM mạnh mẽ — cụ thể là SentinelHelper.1 — cho quản trị viên cục bộ mà không có kiểm soát truy cập đầy đủ. Ngoài ra, các tệp nhị phân trình cài đặt đã được ký của nó có thể bị sử dụng sai mục đích để thực hiện các hành động có đặc quyền mà các tệp nhị phân không được ký thông thường không thể làm được .
Tính đến ngày công bố, chưa có mã định danh CVE công khai nào được báo cáo rộng rãi cho vấn đề cụ thể này .
Điều quan trọng cần lưu ý là cuộc tấn công yêu cầu quyền quản trị viên cục bộ trên máy mục tiêu. Đây không phải là lỗ hổng thực thi mã từ xa. Tuy nhiên, một khi kẻ tấn công giành được quyền admin cục bộ thông qua một cuộc tấn công ban đầu riêng biệt (ví dụ: khai thác một ứng dụng dễ bị tấn công hoặc sử dụng thông tin đăng nhập bị đánh cắp), BYOEDR cho phép chúng vượt qua các biện pháp bảo vệ PPL vốn được thiết kế để ngăn chặn các hành vi xâm nhập như vậy .
Bản Vá: SentinelOne Agent 26.1.1
SentinelOne đã khắc phục sự cố được báo cáo trong Agent phiên bản 26.1.1. Bản vá liên quan đến việc củng cố các giao diện COM bị phơi bày và hạn chế cách sử dụng các tệp nhị phân trình cài đặt và các thành phần đáng tin cậy . Các tổ chức nên đảm bảo nâng cấp tất cả các agent SentinelOne lên phiên bản 26.1.1 trở lên ngay lập tức .
Hàm Ý Rộng Hơn Đối Với Phần Mềm Bảo Mật Đáng Tin Cậy
Kỹ thuật BYOEDR làm nổi bật một vấn đề tin cậy cơ bản: phần mềm bảo mật được cấp các đặc quyền cao và quyền truy cập sâu vào hệ thống ngay từ khi thiết kế. Khi các khả năng đó bị phơi bày thông qua các giao diện có thể truy cập hoặc các tệp nhị phân đã được ký, kẻ tấn công có thể biến chúng thành công cụ tấn công .
PPL không phải là một biện pháp phòng thủ tuyệt đối. Các biện pháp bảo vệ PPL có thể bị vượt qua nếu một thành phần có chữ ký PPL (như EDR) phơi bày một nguyên thủy dump bộ nhớ hoặc tiêm mã cho người dùng cục bộ .
Các tệp nhị phân đã ký là con dao hai lưỡi. Chữ ký số đảm bảo nguồn gốc, không đảm bảo an toàn. Kẻ tấn công có thể tận dụng các sản phẩm bảo mật 'sống dựa vào đất' (LOLSPs - Living-off-the-land Security Products) tương tự như cách chúng lạm dụng các tệp nhị phân hệ điều hành đáng tin cậy .
Trách nhiệm của nhà cung cấp là tối quan trọng. Các nhà cung cấp bảo mật phải kiểm toán các giao diện COM, kiểm soát truy cập driver và logic xác thực trình cài đặt của chính họ với cùng mức độ nghiêm ngặt mà họ áp dụng để tìm lỗ hổng trong phần mềm của bên thứ ba .
Các Bước Giảm Thiểu Rủi Ro Cho Tổ Chức
Để phòng thủ chống lại các cuộc tấn công BYOEDR, các tổ chức nên thực hiện các hành động sau:
Cập nhật ngay lập tức — Đảm bảo tất cả các agent SentinelOne được nâng cấp lên phiên bản 26.1.1 trở lên .
Tăng cường kiểm soát quyền admin cục bộ — Vì cuộc tấn công yêu cầu quyền admin cục bộ, hãy hạn chế và kiểm soát chặt chẽ các tài khoản quản trị. Triển khai quyền truy cập admin đúng lúc (JIT) và giám sát việc nâng quyền bất thường .
Giám sát lạm dụng COM — Triển khai các quy tắc phát hiện cho việc sử dụng đáng ngờ các giao diện COM của SentinelOne (ví dụ: SentinelHelper.1 hoặc các lệnh gọi đến phương thức Dump bất ngờ) bởi các tiến trình không phải của SentinelOne .
Áp dụng nguyên tắc đặc quyền tối thiểu rộng rãi — Coi tất cả các agent bảo mật là bề mặt tấn công tiềm năng. Hạn chế đăng nhập tương tác, thực thi kiểm soát ứng dụng (ví dụ: WDAC hoặc AppLocker) và phân đoạn các quy trình quản trị .
Xem xét các biện pháp củng cố của nhà cung cấp — Khi đánh giá các sản phẩm EDR/XDR, hãy hỏi nhà cung cấp cách họ bảo vệ các giao diện đặc quyền của chính họ khỏi bị lạm dụng cục bộ, không chỉ là các cuộc khai thác từ xa .
Một Họ Ngày Càng Lớn Các Cuộc Tấn Công Lạm Dụng Lòng Tin
BYOEDR không phải là một sự cố cá biệt. Một kỹ thuật tương tự có tên 'Bring Your Own Installer' (BYOI), được phát hiện bởi Stroz Friedberg của Aon vào năm 2025, khai thác quá trình nâng cấp/hạ cấp của SentinelOne để vô hiệu hóa các biện pháp bảo vệ chống can thiệp, để lại các endpoint không được bảo vệ cho việc thực thi mã độc . BYOI đã được quan sát thấy trong các cuộc tấn công thực tế triển khai ransomware Babuk .
Sự kết hợp giữa BYOEDR và BYOI chứng minh rằng những kẻ tấn công ngày càng nhắm mục tiêu vào lòng tin đặt vào chính phần mềm bảo mật, chứ không chỉ các lỗ hổng trong các ứng dụng mà nó bảo vệ.
cyberpress.org
Bring Your Own EDR Attack Weaponizes SentinelOne to Bypass Windows Security
akamai.comBring Your Own EDR: How to Turn a Commercial EDR into a Trojan Horse | Akamai
cyfar.caTag: SentinelOne · cyfar.ca
cybersecuritynews.comBring Your Own EDR Attack Turns SentinelOne Into PPL-Protected Trojan Horse to Shield Malware
gbhackers.comNew Bring Your Own EDR Attack Turns SentinelOne Into Trojan Horse to Bypass Windows PPL