BYOEDR: Khi Phần Mềm Bảo Mật Biến Thành Vũ Khí Tấn Công

1. Trích xuất Bộ Nhớ của Tiến Trình Được PPL Bảo Vệ

Quản trị viên cục bộ sử dụng phương thức Dump của đối tượng COM SentinelHelper.1 để trích xuất bộ nhớ của bất kỳ tiến trình Protected Process Light (PPL) nào. Giao diện SentinelHelper.1 là một công cụ quản trị hợp pháp, nhưng nó đã bị phơi bày mà không có kiểm soát truy cập đầy đủ. Điều này cho phép kẻ tấn công với quyền admin cục bộ vô hiệu hóa hoàn toàn các biện pháp bảo vệ PPL, đọc nội dung bộ nhớ của các tiến trình như Windows Defender .

2. Tiêm Mã Không Ký vào Tiến Trình Đã Được Nâng Cao

Sau khi trích xuất tiến trình được PPL bảo vệ, kẻ tấn công tiêm mã không ký vào tiến trình đã được nâng cao đó. Điều quan trọng là việc tiêm mã này bắt nguồn từ một thành phần đã được SentinelOne ký — hệ điều hành tin tưởng mã do SentinelOne ký. Mã không ký được tiêm, nằm trong một 'vật mang' đáng tin cậy, sẽ vượt qua các kiểm tra tính toàn vẹn của Windows .

3. Bảo Vệ Mã Độc Khỏi Bị Phát Hiện và Loại Bỏ

Cuối cùng, kẻ tấn công tận dụng chính các tiến trình và giao diện SentinelOne đáng tin cậy để ngăn EDR phát hiện hoặc loại bỏ mã độc đã được tiêm. Bởi vì mã độc chạy trong hoặc song song với các tiến trình đáng tin cậy của SentinelOne, các cơ chế chống can thiệp (anti-tampering) và tự bảo vệ của chính EDR đó sẽ bảo vệ mã độc .

Kẻ tấn công cũng có thể cài đặt một agent SentinelOne giả mạo mà không cần giấy phép hợp lệ và chặn luồng telemetry quản lý thông qua thao tác DNS cục bộ, cô lập hệ thống bị xâm nhập khỏi bảng điều khiển quản lý trung tâm .

Nó Khai Thác Lỗ Hổng Gì?

Vấn đề cốt lõi là SentinelOne đã phơi bày các giao diện COM mạnh mẽ — cụ thể là SentinelHelper.1 — cho quản trị viên cục bộ mà không có kiểm soát truy cập đầy đủ. Ngoài ra, các tệp nhị phân trình cài đặt đã được ký của nó có thể bị sử dụng sai mục đích để thực hiện các hành động có đặc quyền mà các tệp nhị phân không được ký thông thường không thể làm được .

Tính đến ngày công bố, chưa có mã định danh CVE công khai nào được báo cáo rộng rãi cho vấn đề cụ thể này .

Điều quan trọng cần lưu ý là cuộc tấn công yêu cầu quyền quản trị viên cục bộ trên máy mục tiêu. Đây không phải là lỗ hổng thực thi mã từ xa. Tuy nhiên, một khi kẻ tấn công giành được quyền admin cục bộ thông qua một cuộc tấn công ban đầu riêng biệt (ví dụ: khai thác một ứng dụng dễ bị tấn công hoặc sử dụng thông tin đăng nhập bị đánh cắp), BYOEDR cho phép chúng vượt qua các biện pháp bảo vệ PPL vốn được thiết kế để ngăn chặn các hành vi xâm nhập như vậy .

Bản Vá: SentinelOne Agent 26.1.1

SentinelOne đã khắc phục sự cố được báo cáo trong Agent phiên bản 26.1.1. Bản vá liên quan đến việc củng cố các giao diện COM bị phơi bày và hạn chế cách sử dụng các tệp nhị phân trình cài đặt và các thành phần đáng tin cậy . Các tổ chức nên đảm bảo nâng cấp tất cả các agent SentinelOne lên phiên bản 26.1.1 trở lên ngay lập tức .

Hàm Ý Rộng Hơn Đối Với Phần Mềm Bảo Mật Đáng Tin Cậy

Kỹ thuật BYOEDR làm nổi bật một vấn đề tin cậy cơ bản: phần mềm bảo mật được cấp các đặc quyền cao và quyền truy cập sâu vào hệ thống ngay từ khi thiết kế. Khi các khả năng đó bị phơi bày thông qua các giao diện có thể truy cập hoặc các tệp nhị phân đã được ký, kẻ tấn công có thể biến chúng thành công cụ tấn công .

• PPL không phải là một biện pháp phòng thủ tuyệt đối. Các biện pháp bảo vệ PPL có thể bị vượt qua nếu một thành phần có chữ ký PPL (như EDR) phơi bày một nguyên thủy dump bộ nhớ hoặc tiêm mã cho người dùng cục bộ .
• Các tệp nhị phân đã ký là con dao hai lưỡi. Chữ ký số đảm bảo nguồn gốc, không đảm bảo an toàn. Kẻ tấn công có thể tận dụng các sản phẩm bảo mật 'sống dựa vào đất' (LOLSPs - Living-off-the-land Security Products) tương tự như cách chúng lạm dụng các tệp nhị phân hệ điều hành đáng tin cậy .
• Trách nhiệm của nhà cung cấp là tối quan trọng. Các nhà cung cấp bảo mật phải kiểm toán các giao diện COM, kiểm soát truy cập driver và logic xác thực trình cài đặt của chính họ với cùng mức độ nghiêm ngặt mà họ áp dụng để tìm lỗ hổng trong phần mềm của bên thứ ba .

Các Bước Giảm Thiểu Rủi Ro Cho Tổ Chức

Để phòng thủ chống lại các cuộc tấn công BYOEDR, các tổ chức nên thực hiện các hành động sau:

1. Cập nhật ngay lập tức — Đảm bảo tất cả các agent SentinelOne được nâng cấp lên phiên bản 26.1.1 trở lên .
2. Tăng cường kiểm soát quyền admin cục bộ — Vì cuộc tấn công yêu cầu quyền admin cục bộ, hãy hạn chế và kiểm soát chặt chẽ các tài khoản quản trị. Triển khai quyền truy cập admin đúng lúc (JIT) và giám sát việc nâng quyền bất thường .
3. Giám sát lạm dụng COM — Triển khai các quy tắc phát hiện cho việc sử dụng đáng ngờ các giao diện COM của SentinelOne (ví dụ: SentinelHelper.1 hoặc các lệnh gọi đến phương thức Dump bất ngờ) bởi các tiến trình không phải của SentinelOne .
4. Áp dụng nguyên tắc đặc quyền tối thiểu rộng rãi — Coi tất cả các agent bảo mật là bề mặt tấn công tiềm năng. Hạn chế đăng nhập tương tác, thực thi kiểm soát ứng dụng (ví dụ: WDAC hoặc AppLocker) và phân đoạn các quy trình quản trị .
5. Xem xét các biện pháp củng cố của nhà cung cấp — Khi đánh giá các sản phẩm EDR/XDR, hãy hỏi nhà cung cấp cách họ bảo vệ các giao diện đặc quyền của chính họ khỏi bị lạm dụng cục bộ, không chỉ là các cuộc khai thác từ xa .

Một Họ Ngày Càng Lớn Các Cuộc Tấn Công Lạm Dụng Lòng Tin

BYOEDR không phải là một sự cố cá biệt. Một kỹ thuật tương tự có tên 'Bring Your Own Installer' (BYOI), được phát hiện bởi Stroz Friedberg của Aon vào năm 2025, khai thác quá trình nâng cấp/hạ cấp của SentinelOne để vô hiệu hóa các biện pháp bảo vệ chống can thiệp, để lại các endpoint không được bảo vệ cho việc thực thi mã độc . BYOI đã được quan sát thấy trong các cuộc tấn công thực tế triển khai ransomware Babuk .

Sự kết hợp giữa BYOEDR và BYOI chứng minh rằng những kẻ tấn công ngày càng nhắm mục tiêu vào lòng tin đặt vào chính phần mềm bảo mật, chứ không chỉ các lỗ hổng trong các ứng dụng mà nó bảo vệ.