BYOEDR 攻擊係點樣運作嘅？

呢個攻擊鏈分三個階段，每個階段都濫用唔同嘅受信任 SentinelOne 元件 ：

1. 倒出 PPL 保護程序記憶體

本地管理員使用 SentinelHelper.1 COM 物件嘅 Dump 方法，將任何 Protected Process Light（PPL）程序嘅記憶體倒出。SentinelHelper.1 本身係合法嘅管理工具，但開放得嚟冇足夠嘅存取控制。攻擊者只要有本地管理員權限，就可以繞過 PPL 保護，讀取諸如 Windows Defender 呢類程序嘅記憶體內容 。

2. 將未簽署程式碼注入已提升權限嘅程序

倒出 PPL 保護程序之後，攻擊者將未簽署程式碼注入該已提升權限嘅程序。關鍵係，呢個程式碼注入係由 SentinelOne 簽署嘅元件發起——操作系統會信任 SentinelOne 簽署嘅代碼。未簽署程式碼包裝喺受信任嘅載體入面，就繞過咗 Windows 嘅代碼完整性檢查 。

3. 屏蔽惡意軟件，防止偵測同移除

最後，攻擊者利用同一組受信任嘅 SentinelOne 程序同介面，阻止 EDR 偵測或移除注入嘅惡意軟件。由於惡意軟件喺 SentinelOne 自身嘅受信任程序入面或旁邊運行，EDR 嘅反篡改同自我保護機制反而保護咗個惡意軟件 。

攻擊者仲可以安裝一個冇有效授權嘅 rogue SentinelOne 代理，再透過本地 DNS 操控封鎖管理遙測，將受損系統隔離喺中央管理控制檯之外 。

佢利用咗乜嘢漏洞？

根本問題係 SentinelOne 將功能強大嘅 Component Object Model（COM）介面——尤其係 SentinelHelper.1——暴露畀本地管理員，但冇做好存取控制。另外，佢哋嘅簽署安裝二進制檔案可以被重新利用嚟執行一般未簽署二進制檔案唔可以做嘅特權操作 。

截至披露日期，業界未有廣泛報告呢個特定問題嘅公開 CVE 編號 。

要留意嘅係，呢個攻擊需要本機管理員權限。佢唔係遠端程式碼執行漏洞。不過，一旦攻擊者透過其他入侵（例如利用有漏洞嘅應用程式或竊取嘅憑證）取得本地管理員存取權，BYOEDR 就可以畀佢哋繞過 PPL 保護——呢啲保護本身係用嚟限制此類入侵嘅 。

修補：SentinelOne Agent 26.1.1

SentinelOne 喺 Agent 26.1.1 修復咗呢個問題。修補措施包括強化暴露嘅 COM 介面，同限制安裝二進制檔案同受信任元件嘅使用方式 。機構應立即確保所有 SentinelOne 代理升級至 26.1.1 或更新版本 。

對受信任安全軟件嘅更廣泛影響

BYOEDR 技術突顯咗一個根本嘅信任問題：安全軟件本身就擁有高度權限同深層系統存取權限。當呢啲能力透過開放嘅介面或簽署二進制檔案暴露出來，攻擊者就可以將佢哋變成攻擊工具 。

• PPL 唔係絕對防禦。 如果簽署咗 PPL 嘅元件（例如 EDR）將記憶體倒出或代碼注入原始碼暴露畀本地用戶，PPL 保護就可以被繞過 。
• 簽署二進制檔案係雙刃劍。 代碼簽署保證來源，但唔保證安全。攻擊者可以好似利用受信任 OS 二進制檔案噉，利用「living-off-the-land」安全產品（LOLSPs）。
• 供應商責任至關重要。 安全供應商必須用檢查第三方軟件漏洞嘅同樣嚴謹度，審計自己嘅 COM 介面、驅動程式存取控制同安裝程式驗證邏輯 。

機構嘅緩解措施

機構可以採取以下措施防禦 BYOEDR 攻擊：

1. 立即更新 —— 確保所有 SentinelOne 代理升級至 26.1.1 或更新版本 。
2. 收緊本地管理員存取 —— 由於攻擊需要本地管理員權限，應限制並嚴格控制管理帳戶。實施即時（JIT）管理員存取，並監察異常權限提升 。
3. 監察 COM 濫用 —— 部署偵測規則，審視 SentinelOne COM 介面（例如 SentinelHelper.1 或非預期呼叫 Dump 方法）嘅可疑使用情況，尤其係由非 SentinelOne 程序發起嘅 。
4. 廣泛應用最小權限原則 —— 將所有安全代理視為潛在攻擊面。限制互動式登入，強制執行應用程式控制（例如 WDAC 或 AppLocker），並分隔管理工作流程 。
5. 審視供應商嘅安全措施 —— 評估 EDR/XDR 產品時，要求供應商解釋佢哋點樣保護自己嘅特權介面免被本地濫用，而唔單止係免被遠端利用 。

不斷增長嘅信任濫用攻擊家族

BYOEDR 唔係孤立事件。另一種名爲「Bring Your Own Installer」（BYOI）嘅類似技術，由 Aon 嘅 Stroz Friedberg 喺 2025 年發現，利用 SentinelOne 嘅升級/降級過程嚟停用反篡改保護，令端點暴露喺惡意軟件執行之下 。BYOI 已被觀察到喺真實攻擊中用嚟部署 Babuk 勒索軟件 。

BYOEDR 同 BYOI 嘅結合顯示，攻擊者越嚟越多針對安全軟件本身嘅信任，而唔單止係佢哋保護嘅應用程式嘅漏洞。

BYOEDR 攻擊係點樣運作嘅？

呢個攻擊鏈分三個階段，每個階段都濫用唔同嘅受信任 SentinelOne 元件 ：

1. 倒出 PPL 保護程序記憶體

本地管理員使用 SentinelHelper.1 COM 物件嘅 Dump 方法，將任何 Protected Process Light（PPL）程序嘅記憶體倒出。SentinelHelper.1 本身係合法嘅管理工具，但開放得嚟冇足夠嘅存取控制。攻擊者只要有本地管理員權限，就可以繞過 PPL 保護，讀取諸如 Windows Defender 呢類程序嘅記憶體內容 。

2. 將未簽署程式碼注入已提升權限嘅程序

倒出 PPL 保護程序之後，攻擊者將未簽署程式碼注入該已提升權限嘅程序。關鍵係，呢個程式碼注入係由 SentinelOne 簽署嘅元件發起——操作系統會信任 SentinelOne 簽署嘅代碼。未簽署程式碼包裝喺受信任嘅載體入面，就繞過咗 Windows 嘅代碼完整性檢查 。

3. 屏蔽惡意軟件，防止偵測同移除

最後，攻擊者利用同一組受信任嘅 SentinelOne 程序同介面，阻止 EDR 偵測或移除注入嘅惡意軟件。由於惡意軟件喺 SentinelOne 自身嘅受信任程序入面或旁邊運行，EDR 嘅反篡改同自我保護機制反而保護咗個惡意軟件 。

攻擊者仲可以安裝一個冇有效授權嘅 rogue SentinelOne 代理，再透過本地 DNS 操控封鎖管理遙測，將受損系統隔離喺中央管理控制檯之外 。

佢利用咗乜嘢漏洞？

根本問題係 SentinelOne 將功能強大嘅 Component Object Model（COM）介面——尤其係 SentinelHelper.1——暴露畀本地管理員，但冇做好存取控制。另外，佢哋嘅簽署安裝二進制檔案可以被重新利用嚟執行一般未簽署二進制檔案唔可以做嘅特權操作 。

截至披露日期，業界未有廣泛報告呢個特定問題嘅公開 CVE 編號 。

要留意嘅係，呢個攻擊需要本機管理員權限。佢唔係遠端程式碼執行漏洞。不過，一旦攻擊者透過其他入侵（例如利用有漏洞嘅應用程式或竊取嘅憑證）取得本地管理員存取權，BYOEDR 就可以畀佢哋繞過 PPL 保護——呢啲保護本身係用嚟限制此類入侵嘅 。

修補：SentinelOne Agent 26.1.1

SentinelOne 喺 Agent 26.1.1 修復咗呢個問題。修補措施包括強化暴露嘅 COM 介面，同限制安裝二進制檔案同受信任元件嘅使用方式 。機構應立即確保所有 SentinelOne 代理升級至 26.1.1 或更新版本 。

對受信任安全軟件嘅更廣泛影響

BYOEDR 技術突顯咗一個根本嘅信任問題：安全軟件本身就擁有高度權限同深層系統存取權限。當呢啲能力透過開放嘅介面或簽署二進制檔案暴露出來，攻擊者就可以將佢哋變成攻擊工具 。

• PPL 唔係絕對防禦。 如果簽署咗 PPL 嘅元件（例如 EDR）將記憶體倒出或代碼注入原始碼暴露畀本地用戶，PPL 保護就可以被繞過 。
• 簽署二進制檔案係雙刃劍。 代碼簽署保證來源，但唔保證安全。攻擊者可以好似利用受信任 OS 二進制檔案噉，利用「living-off-the-land」安全產品（LOLSPs）。
• 供應商責任至關重要。 安全供應商必須用檢查第三方軟件漏洞嘅同樣嚴謹度，審計自己嘅 COM 介面、驅動程式存取控制同安裝程式驗證邏輯 。

機構嘅緩解措施

機構可以採取以下措施防禦 BYOEDR 攻擊：

1. 立即更新 —— 確保所有 SentinelOne 代理升級至 26.1.1 或更新版本 。
2. 收緊本地管理員存取 —— 由於攻擊需要本地管理員權限，應限制並嚴格控制管理帳戶。實施即時（JIT）管理員存取，並監察異常權限提升 。
3. 監察 COM 濫用 —— 部署偵測規則，審視 SentinelOne COM 介面（例如 SentinelHelper.1 或非預期呼叫 Dump 方法）嘅可疑使用情況，尤其係由非 SentinelOne 程序發起嘅 。
4. 廣泛應用最小權限原則 —— 將所有安全代理視為潛在攻擊面。限制互動式登入，強制執行應用程式控制（例如 WDAC 或 AppLocker），並分隔管理工作流程 。
5. 審視供應商嘅安全措施 —— 評估 EDR/XDR 產品時，要求供應商解釋佢哋點樣保護自己嘅特權介面免被本地濫用，而唔單止係免被遠端利用 。

不斷增長嘅信任濫用攻擊家族

BYOEDR 唔係孤立事件。另一種名爲「Bring Your Own Installer」（BYOI）嘅類似技術，由 Aon 嘅 Stroz Friedberg 喺 2025 年發現，利用 SentinelOne 嘅升級/降級過程嚟停用反篡改保護，令端點暴露喺惡意軟件執行之下 。BYOI 已被觀察到喺真實攻擊中用嚟部署 Babuk 勒索軟件 。

BYOEDR 同 BYOI 嘅結合顯示，攻擊者越嚟越多針對安全軟件本身嘅信任，而唔單止係佢哋保護嘅應用程式嘅漏洞。