Bring Your Own EDR：Akamai 研究員揭露如何將 SentinelOne 端點防護武器化，繞過 Windows 核心安全機制

2. 將未簽署的程式碼注入高權限程序

在傾印了 PPL 保護程序的記憶體後，攻擊者將未簽署的程式碼注入這個高權限的程序中。關鍵在於，此程式碼注入行為是透過一個由 SentinelOne 簽署的元件來發動的，由於作業系統信任 SentinelOne 簽署的程式碼，因此這個包裹在信任載體中的未簽署程式碼得以繞過 Windows 的程式碼完整性檢查 。

3. 為惡意軟體提供偵測與移除的保護傘

最後，攻擊者利用同樣受信任的 SentinelOne 程序和介面，阻止 EDR 系統偵測或移除已注入的惡意軟體。由於惡意軟體運行在 SentinelOne 自身受信任的程序內部或與其共存，EDR 自身的防篡改和自我保護機制反而成了惡意軟體的護身符 。

攻擊者還能在沒有有效授權的情況下安裝一個 rogue SentinelOne 代理程式，並透過修改本機 DNS 設定來封鎖管理遙測資料，從而使受感染的系統與中央管理主控台隔離 。

它利用了什麼漏洞？

問題的根本在於，SentinelOne 向本機管理員開放了功能強大的元件物件模型（COM）介面，特別是 SentinelHelper.1，但卻沒有提供足夠的存取控制。此外，其簽署過的安裝程式二進位檔可能被用於執行一般未簽署二進位檔無法執行的特權操作 。

截至本文發布時，尚無公開的 CVE 編號廣泛與此特定問題相關聯 。

需要特別強調的是，此攻擊需要攻擊者已取得目標機器的本機管理員權限。它並非一個可直接遠端利用的程式碼執行漏洞。然而，一旦攻擊者透過其他初始入侵方式（例如利用有漏洞的應用程式或竊取憑證）取得了本機管理員權限，BYOEDR 就能讓他們繞過本應限制此類權限遭濫用的 PPL 保護機制 。

修補程式：SentinelOne Agent 26.1.1

SentinelOne 已在 Agent 26.1.1 版本中修復了此問題。修復方式包括強化暴露的 COM 介面，並限制了安裝程式和受信任元件的使用方式 。各組織應立即確認所有 SentinelOne 代理程式都已更新至 26.1.1 或更高版本 。

對信任安全軟體的更深層影響

BYOEDR 手法凸顯了一個根本的信任問題：安全軟體因其設計而擁有極高的權限和深層的系統存取能力。但當這些能力經由可存取的介面或簽署過的二進位檔暴露出來時，攻擊者就能將其轉變為攻擊工具 。

• PPL 並非絕對的防禦：如果一個經 PPL 簽署的元件（例如 EDR）向本機使用者暴露了記憶體傾印或程式碼注入功能，那麼 PPL 保護是可以被繞過的 。
• 簽署過的二進位檔是一把雙面刃：程式碼簽署能保證來源，但不能保證安全。攻擊者可以像利用受信任的作業系統二進位檔一樣，來「靠地存活」地利用安全產品（LOLSPs）。
• 供應商責任至關重要：安全軟體廠商應該以審查第三方軟體漏洞時同樣嚴謹的態度，來審計自家的 COM 介面、驅動程式存取控制和安裝程式驗證邏輯 。

組織該如何緩解風險

為了防禦 BYOEDR 攻擊，組織應採取以下措施：

1. 立即更新 — 確保所有 SentinelOne 代理程式升級至 26.1.1 或更高版本 。
2. 強化本機管理員存取控制 — 由於此攻擊需要本機管理員權限，因此應嚴格限制並嚴密控管管理員帳戶。實施即時（JIT）管理員存取，並監控異常的權限提升行為 。
3. 監控 COM 濫用行為 — 部署偵測規則，以監控非 SentinelOne 程序對其 COM 介面（例如 SentinelHelper.1 或非預期的 Dump 方法呼叫）的可疑使用行為 。
4. 廣泛應用最小權限原則 — 將所有安全代理程式視為潛在的攻擊面。限制互動式登入、強制執行應用程式控制（例如 WDAC 或 AppLocker），並對管理工作進行分段 。
5. 審查供應商的安全強化措施 — 在評估 EDR/XDR 產品時，詢問供應商他們如何保護自身的高權限介面免於被本機濫用，而不僅僅是防止遠端漏洞 。

日益壯大的信任濫用攻擊家族

BYOEDR 並非單一事件。類似的「Bring Your Own Installer」（BYOI）手法，由 Aon 旗下 Stroz Friedberg 於 2025 年發現，它利用了 SentinelOne 的升級/降級過程來停用其防篡改保護，使端點暴露在惡意軟體的攻擊之下 。BYOI 已在真實攻擊中被觀察到，用於部署 Babuk 勒索軟體 。

BYOEDR 與 BYOI 的結合顯示，攻擊者正日益將目標轉向對安全軟體本身的信任，而不僅僅是其所保護的應用程式的漏洞。