BYOEDR攻击的工作原理

攻击链条分三个阶段执行，每个阶段都滥用了不同的可信SentinelOne组件 ：

1. 转储受PPL保护的进程内存

本地管理员利用 SentinelHelper.1 COM 对象的 Dump 方法，转储任何受受保护进程轻量级（PPL）保护的进程内存。SentinelHelper.1 接口本是一个合法的管理工具，但其暴露时未设置足够的访问控制。这允许拥有本地管理员权限的攻击者彻底瓦解PPL保护，读取如Windows Defender等进程的内存内容 。

2. 向提权后的进程注入未签名代码

转储受PPL保护的进程后，攻击者向该提权后的进程注入未签名代码。关键在于，此代码注入操作源自一个由SentinelOne签名的组件——操作系统信任由SentinelOne签名的代码。被注入的未签名代码，因为包裹在可信的“载体”中，从而绕过了Windows的代码完整性检查 。

3. 为恶意软件提供检测与清除的“免死金牌”

最后，攻击者利用相同的可信SentinelOne进程和接口，阻止EDR检测或移除被注入的恶意软件。由于恶意软件运行在SentinelOne自有可信进程的内部或旁边，EDR自身的防篡改和自我保护机制反而为恶意软件提供了庇护 。

攻击者还可以在无有效许可证的情况下安装一个恶意的SentinelOne代理，并通过本地DNS操纵来阻止管理遥测，从而将受感染系统与中央管理控制台隔离开来 。

利用了何种漏洞？

根本问题在于，SentinelOne向本地管理员暴露了功能强大的组件对象模型（COM）接口——特别是 SentinelHelper.1——且未设置充分的访问控制。此外，其签名的安装程序二进制文件可以被重新利用来执行普通未签名二进制文件无法完成的高权限操作 。

截至披露日，尚无公开的CVE标识符与此特定问题广泛关联 。

需要特别指出的是，该攻击需要在目标机器上拥有本地管理员权限。它不是一个远程代码执行漏洞。然而，一旦攻击者通过其他方式（例如利用易受攻击的应用程序或使用窃取的凭证）获得本地管理员访问权限，BYOEDR就能让他们绕过本应遏制此类入侵的PPL保护 。

修复补丁：SentinelOne Agent 26.1.1

SentinelOne已在Agent版本26.1.1中修复了此问题。修复措施包括加固已暴露的COM接口，并限制安装程序二进制文件和可信组件的使用方式 。各组织应立即确保所有SentinelOne代理升级到26.1.1或更高版本 。

对可信安全软件的深远影响

BYOEDR技术揭示了一个根本性的信任问题：安全软件因其设计而被赋予了高权限和深层次的系统访问能力。当这些能力通过可访问的接口或签名二进制文件暴露出来时，攻击者便可将其改造成攻击工具 。

• PPL并非绝对防御。 如果某个PPL签名组件（如EDR）向本地用户暴露了内存转储或代码注入的原语，那么PPL保护就可能被绕过 。
• 签名二进制文件是一把双刃剑。 代码签名保证的是来源，而非安全性。攻击者可以像滥用可信操作系统二进制文件一样，利用“从安全产品中觅食”（LOLSP）的技术 。
• 供应商责任至关重要。 安全供应商必须以审查第三方软件漏洞时同样的严谨态度，审计自身的COM接口、驱动程序访问控制和安装程序验证逻辑 。

组织缓解措施

为防御BYOEDR攻击，组织应采取以下行动：

1. 立即更新 — 确保所有SentinelOne代理升级到版本26.1.1或更高 。
2. 加固本地管理员访问 — 由于攻击需要本地管理员权限，应限制并严格控制管理账户。实施即时（JIT）管理员访问，并监控异常的特权提升行为 。
3. 监控COM滥用行为 — 部署检测规则，监控非SentinelOne进程对SentinelOne的COM接口（例如 SentinelHelper.1 或异常的 Dump 方法调用）的可疑使用 。
4. 广泛实施最小权限原则 — 将所有安全代理视为潜在的攻击面。限制交互式登录，强制实施应用程序控制（例如WDAC或AppLocker），并隔离管理工作流 。
5. 审查供应商的加固实践 — 在评估EDR/XDR产品时，向供应商询问他们如何保护自身特权接口免受本地滥用，而不仅仅是远程利用 。

不断增长的信任滥用攻击家族

BYOEDR并非孤立事件。2025年，Aon旗下Stroz Friedberg公司发现了一种名为“Bring Your Own Installer”（BYOI）的类似技术，该技术利用SentinelOne的升级/降级过程来禁用防篡改保护，使终端在恶意软件执行时处于无保护状态 。BYOI已在部署Babuk勒索软件的真实攻击中被观察到 。

BYOEDR与BYOI的结合表明，攻击者正越来越多地将目标对准安全软件本身所承载的信任，而不仅仅是它所保护的应用中的漏洞。

BYOEDR攻击的工作原理

攻击链条分三个阶段执行，每个阶段都滥用了不同的可信SentinelOne组件 ：

1. 转储受PPL保护的进程内存

本地管理员利用 SentinelHelper.1 COM 对象的 Dump 方法，转储任何受受保护进程轻量级（PPL）保护的进程内存。SentinelHelper.1 接口本是一个合法的管理工具，但其暴露时未设置足够的访问控制。这允许拥有本地管理员权限的攻击者彻底瓦解PPL保护，读取如Windows Defender等进程的内存内容 。

2. 向提权后的进程注入未签名代码

转储受PPL保护的进程后，攻击者向该提权后的进程注入未签名代码。关键在于，此代码注入操作源自一个由SentinelOne签名的组件——操作系统信任由SentinelOne签名的代码。被注入的未签名代码，因为包裹在可信的“载体”中，从而绕过了Windows的代码完整性检查 。

3. 为恶意软件提供检测与清除的“免死金牌”

最后，攻击者利用相同的可信SentinelOne进程和接口，阻止EDR检测或移除被注入的恶意软件。由于恶意软件运行在SentinelOne自有可信进程的内部或旁边，EDR自身的防篡改和自我保护机制反而为恶意软件提供了庇护 。

攻击者还可以在无有效许可证的情况下安装一个恶意的SentinelOne代理，并通过本地DNS操纵来阻止管理遥测，从而将受感染系统与中央管理控制台隔离开来 。

利用了何种漏洞？

根本问题在于，SentinelOne向本地管理员暴露了功能强大的组件对象模型（COM）接口——特别是 SentinelHelper.1——且未设置充分的访问控制。此外，其签名的安装程序二进制文件可以被重新利用来执行普通未签名二进制文件无法完成的高权限操作 。

截至披露日，尚无公开的CVE标识符与此特定问题广泛关联 。

需要特别指出的是，该攻击需要在目标机器上拥有本地管理员权限。它不是一个远程代码执行漏洞。然而，一旦攻击者通过其他方式（例如利用易受攻击的应用程序或使用窃取的凭证）获得本地管理员访问权限，BYOEDR就能让他们绕过本应遏制此类入侵的PPL保护 。

修复补丁：SentinelOne Agent 26.1.1

SentinelOne已在Agent版本26.1.1中修复了此问题。修复措施包括加固已暴露的COM接口，并限制安装程序二进制文件和可信组件的使用方式 。各组织应立即确保所有SentinelOne代理升级到26.1.1或更高版本 。

对可信安全软件的深远影响

BYOEDR技术揭示了一个根本性的信任问题：安全软件因其设计而被赋予了高权限和深层次的系统访问能力。当这些能力通过可访问的接口或签名二进制文件暴露出来时，攻击者便可将其改造成攻击工具 。

• PPL并非绝对防御。 如果某个PPL签名组件（如EDR）向本地用户暴露了内存转储或代码注入的原语，那么PPL保护就可能被绕过 。
• 签名二进制文件是一把双刃剑。 代码签名保证的是来源，而非安全性。攻击者可以像滥用可信操作系统二进制文件一样，利用“从安全产品中觅食”（LOLSP）的技术 。
• 供应商责任至关重要。 安全供应商必须以审查第三方软件漏洞时同样的严谨态度，审计自身的COM接口、驱动程序访问控制和安装程序验证逻辑 。

组织缓解措施

为防御BYOEDR攻击，组织应采取以下行动：

1. 立即更新 — 确保所有SentinelOne代理升级到版本26.1.1或更高 。
2. 加固本地管理员访问 — 由于攻击需要本地管理员权限，应限制并严格控制管理账户。实施即时（JIT）管理员访问，并监控异常的特权提升行为 。
3. 监控COM滥用行为 — 部署检测规则，监控非SentinelOne进程对SentinelOne的COM接口（例如 SentinelHelper.1 或异常的 Dump 方法调用）的可疑使用 。
4. 广泛实施最小权限原则 — 将所有安全代理视为潜在的攻击面。限制交互式登录，强制实施应用程序控制（例如WDAC或AppLocker），并隔离管理工作流 。
5. 审查供应商的加固实践 — 在评估EDR/XDR产品时，向供应商询问他们如何保护自身特权接口免受本地滥用，而不仅仅是远程利用 。

不断增长的信任滥用攻击家族

BYOEDR并非孤立事件。2025年，Aon旗下Stroz Friedberg公司发现了一种名为“Bring Your Own Installer”（BYOI）的类似技术，该技术利用SentinelOne的升级/降级过程来禁用防篡改保护，使终端在恶意软件执行时处于无保护状态 。BYOI已在部署Babuk勒索软件的真实攻击中被观察到 。

BYOEDR与BYOI的结合表明，攻击者正越来越多地将目标对准安全软件本身所承载的信任，而不仅仅是它所保护的应用中的漏洞。