セキュリティ研究者らは、SentinelOneの正規コンポーネントを悪用してWindowsのProtected Process Light(PPL)保護を回避し、高度に保護されたプロセス内で未署名コードを実行できる新たな手法「Bring Your Own EDR」(BYOEDR)を発表しました。
この研究はAkamaiがDEF CON 34で発表したもので、信頼されたエンドポイント検知・対応(EDR)ソフトウェアが、ローカルからアクセス可能なインターフェースやインストーラーのロジック、自己防御機能の堅牢性不足によって、攻撃側のツールへと転用されうることを示しています。SentinelOneは報告された問題をAgentバージョン26.1.1で修正しました。
EDRの権限を悪用
Windows PPLは、アンチウイルスエンジンやEDRエージェント、LSASSといった重要なプロセスを、メモリアクセスやデバッグ、強制終了、信頼できないコードの読み込みから保護することを目的としています。
セキュリティ製品は多くの場合、PsProtectedSignerAntimalware-Lightレベルを使用して、攻撃者がこれらのプロセスを操作できないような境界を構築しています。
Cloudsecurity services
Akamaiの研究者らは、SentinelOneのSentinelHelper COMインターフェースが、任意のプロセスのメモリダンプを作成できる診断用のDumpメソッドを提供していることを発見しました。
このメソッドはローカル管理者権限を必要とするものの、他の複数のインターフェースメソッドに存在する呼び出し元パスの検証機能を欠いていました。
このヘルパーサービスはPPLで保護されたプロセスとして動作するため、管理者権限を持つ者であれば、悪意のあるドライバやカーネルの脆弱性、従来型のエクスプロイトチェーンを必要とせずに、この機能を悪用して他の保護対象プロセスをダンプできてしまいます。
この機能により、攻撃者は保護対象プロセスから機密情報を抽出でき、それがさらなる攻撃に利用される恐れがあります。
研究者らは、未署名モジュールを保護対象プロセスにマッピングできるものの実行はできないことを示していた、PPLSystemに関する過去の研究を土台にしています。
Akamaiの研究は、位置独立コードのペイロードを用意し、必要なPEデータのマッピングを確保し、リロケーションおよびメモリ保護に関する問題を解決し、未署名のランタイムライブラリへの依存を回避することで、実行の壁を乗り越えることに焦点を当てました。
このPoC(概念実証)は、Microsoft DefenderのMsMpEng.exeを含むPPLコンテキスト内で、未署名コードの実行に成功したと報告されています。この研究は、PPL保護の堅牢性が、それらの保護対象プロセスと連携する特権コンポーネントおよびインターフェースの堅牢性に左右されることを浮き彫りにしています。
BYOEDRという概念は、既存のSentinelOne導入環境にとどまらない射程を持っています。Akamaiは、旧バージョンにおいて正規のインストーラーを操作し、偽造した登録情報を使って機能しないエージェントを展開できることを指摘しました。
これにより、競合するエンドポイント製品を実質的に無効化しながら、誤解を招く「SECURE(安全)」というステータスを表示させることが可能になります。
さらに研究者らは、ローカルのホスト名解決の仕組みを介して、設定済みの管理用ホスト名をリダイレクトすることで、管理通信を妨害できることも発見しました。
この手法により、エンドポイント保護が引き続き有効であるかのような見せかけを維持しつつ、エージェントをクラウド上のテレメトリから切り離すことができます。
防御上の含意
今回の調査結果は、EDRに関するより広範なセキュリティ上の課題を浮き彫りにしています。エンドポイント製品は広範な権限を持つため、それ自体が大きな攻撃対象領域を生み出してしまうのです。
Cloudsecurity services
自己防御機構がローカル管理者からアクセス可能な状態にあったり、信頼性検証が不十分な状態と組み合わさったりすると、それらの機構はエンドポイントを守るどころか、意図せず悪意のあるファイルやプロセスを保護してしまう可能性があります。
組織は速やかにSentinelOneエージェントをバージョン26.1.1以降に更新し、不正なローカル管理者権限による活動がないか調査するとともに、予期しないEDRのインストールやエージェントの状態変化を監視し、EDRの管理ドメインに影響を与えるホスト名解決設定の変更に対してアラートを設定する必要があります。
また、セキュリティチームは、ローカルの「正常」ステータス表示のみに頼るのではなく、エンドポイントエージェントが実際に管理コンソールへ報告を行っているかどうかを確認することも重要です。
新たなフィッシングやマルウェアが被害をもたらす前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/new-bring-your-own-edr-attack/
