El ataque "Bring Your Own EDR" convierte a SentinelOne en un caballo de Troya protegido por PPL para blindar malware

Un ataque "Bring Your Own EDR" abusa de los componentes confiables de SentinelOne para convertir la protección de endpoints en un poderoso escudo contra malware. Este modelo de seguridad de Windows está destinado a evitar que los procesos ordinarios lean, modifiquen, depuren o finalicen servicios de seguridad protegidos.

Al mismo tiempo, otros servicios protegidos incluyen componentes LSASS y Windows Defender. Traiga su propio ataque EDR Los investigadores de Akamai descubrieron que SentinelOne expuso varias interfaces del modelo de objetos componentes, incluido un objeto SentinelHelper. Esto le dio a un atacante de nivel administrador una forma de volcar procesos protegidos por PPL, incluido el propio agente de SentinelOne y Microsoft Defender. Ataque a SentinelOne (Fuente: Akamai) La técnica no requería un controlador vulnerable, un exploit del kernel ni una vulnerabilidad tradicional de escalación de privilegios de Windows.

Un atacante podría colocar una payload maliciosa en el directorio de instalación de EDR, volver a habilitar la protección contra manipulaciones y permitir que SentinelOne bloquee otros procesos para que no modifiquen o accedan al malware. La publicación Bring Your Own EDR Attack convierte a SentinelOne en un caballo de Troya protegido por PPL para proteger el malware apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗