新たに実証された「Bring Your Own EDR」攻撃は、正規のSentinelOneエンドポイントエージェントをWindows上で特権を持つトロイの木馬に変えてしまうものです。
Akamaiが報告したこの手法は、EDRスタック内部で公開されている管理インターフェースと信頼関係を悪用し、Protected Process Light（PPL）プロセスにアクセスした上で、カーネルエクスプロイトや脆弱なドライバーを使わずに未署名コードを実行するというものです。
DEF CON 34で発表されたこの調査結果は、防御側にとって厄介な現実を浮き彫りにしています。それは、エンドポイントセキュリティツールが極めて高い権限で動作しているため、安全性の低いローカルインターフェースやインストール時の甘い前提条件が、非常に影響の大きい攻撃対象領域になり得るという点です。
Akamaiによると、報告されたSentinelOneの問題はエージェントバージョン26.1.1で修正済みです。Windows Protected Process Lightは、一般のプロセスがセキュリティ上重要なプロセスを読み取ったり、改変・デバッグ・終了させたりできないようにするための仕組みです。
アンチウイルスやEDR製品の多くはAntimalware-Lightという署名者レベルを使用しており、LSASSなどのコンポーネントも関連するPPL保護に依存しています。
今回の調査は、SentinelOneのコンポーネントオブジェクトモデル（COM）で公開されているインターフェースに焦点を当てたものです。Shahak Morag氏は、SentinelHelper.1インターフェースと、指定したプロセスIDに対してプロセスダンプを作成できるDumpメソッドを特定しました。
このアクセスにはローカル管理者権限が必要でしたが、この操作はSentinelOneの保護されたコンテキストを通じて実行されるため、管理者であればSentinelOneのコンポーネントやMicrosoft DefenderのMsMpEng.exeを含む、PPLで保護されたプロセスをダンプできてしまいます。
ここで注目すべき違いがあります。管理者権限によるアクセスはそれ自体すでに深刻な事態ですが、PPLはローカルでの改ざんの多くの手口から重要なセキュリティプロセスを保護し続けることを目的とした仕組みです。今回公開されていた診断機能は、事実上そのセキュリティ境界を突破する橋渡し役となってしまっていました。
Akamaiは、このダンプ機能を既存の公開済みPPL研究と組み合わせることで、保護対象からCOM関連のプロセス機密情報を抽出しました。研究チームはさらに、PPLプロセスにマップされたコードが単にメモリ上に存在するだけでなく、実際に実行されるようにインジェクションの手順を改良しました。
この作業では、メモリ保護設定、リロケーション処理、シェルコードのマッピング欠如、未署名の依存関係の読み込みなど、複数の技術的な障壁への対処が必要でした。
研究チームはペイロードを静的コンパイルし、未署名のランタイムDLL依存関係の読み込みを回避することで、Microsoft DefenderなどのPPLコンテキスト内で未署名コードの実行に成功したと報告しています。
この攻撃チェーンは、悪意あるカーネルドライバーやWindowsカーネルの脆弱性、従来型のメモリ破壊エクスプロイトに依存していません。その代わりに、管理者がアクセス可能なCOMインターフェースと、特権を持つEDRの実行権限、Windowsの信頼境界を組み合わせたものです。
この研究では、偽造した登録データを使ってSentinelOneエージェントをインストールするケースについても検証されています。Akamaiが確認したところによると、検証した条件下ではインストーラーの検証プロセスが細工されたトークンデータを受け入れてしまい、見た目は「安全」に見えるものの、実際には管理機能との接続性を欠くエージェントが生成される結果となりました。
報告によれば、それ以降のバージョンでは特定のステータスAPIリクエストに対してローカルでホストされたエンドポイントが必要になったとのことですが、より大きな懸念は残ったままです。つまり、インストールや登録処理そのものがエンドポイントの攻撃対象領域の一部になり得るということです。
Shahak Morag氏はさらに、ローカルの名前解決を利用して設定済みの管理ホスト名をローカルホストにリダイレクトすることで、管理通信を妨害できることも示しました。
これにより、エージェントは見かけ上のローカル動作状態を保ったまま、クラウドのテレメトリから切り離されてしまう可能性があり、侵害の検知が遅れる恐れがあります。
セキュリティチームは、SentinelOneエージェントをバージョン26.1.1以降にアップグレードし、自社環境向けのベンダーガイダンスを確認する必要があります。また、組織は以下の対策も講じるべきです。
今回の調査結果は、信頼されているセキュリティ製品が単なる防御用の制御機構にとどまらないことを改めて示すものです。特権を持つインターフェースやインストーラー、テレメトリ経路の堅牢化が不十分な場合、それらは攻撃者にとって最も強力な武器になり得ます。
ANY.RUNのブラウザ内データ解析で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/bring-your-own-edr-attack-weaponizes-sentinelone/
