Quando il difensore diventa il camion delle consegne: un test del trust boundary di Windows EDR
Una tecnica Windows recentemente descritta mostra come un legittimo agente di sicurezza endpoint possa essere usato come vettore privilegiato per codice non firmato, mettendo sotto pressione l'hardening dell'EDR e le ipotesi sulla protezione dei processi.
I team di sicurezza di solito distribuiscono strumenti di endpoint detection and response per ridurre le opzioni dell'attaccante. Questo caso ribalta quella logica. Una tecnica documentata di "Bring Your Own EDR" su Windows userebbe un legittimo agente SentinelOne come punto d'appoggio affidabile, per poi abusare di interfacce amministrative e relazioni di fiducia all'interno dello stack EDR per entrare in territorio protetto. La lezione non è che le protezioni di Windows siano inutili, ma che la fiducia stessa può diventare la superficie d'attacco.
Fatti rapidi
- Akamai ha documentato una tecnica "Bring Your Own EDR" che coinvolge SentinelOne su Windows.
- Il percorso riportato si basa su un agente endpoint legittimo anziché su un exploit del kernel.
- La tecnica può consentire l'accesso a processi Protected Process Light, o PPL.
- Il comportamento riportato include l'esecuzione di codice non firmato.
- Le interfacce amministrative e le relazioni di fiducia nello stack EDR sono centrali per il rischio.
La vera storia è l'inversione della fiducia
I servizi protetti di Windows e PPL sono stati progettati per difendere il software anti-malware da manomissioni, injection di codice e scritture non attendibili. Quel modello presume che il confine di protezione sia più forte degli strumenti che operano al suo interno. In pratica, gli agenti EDR eseguono con ampia autorità perché devono vedere processi, file, modifiche al registro e segnali di risposta su tutto l'host.
La tecnica riportata sfrutta proprio quella autorità. Invece di attaccare direttamente il sistema operativo, considera l'agente di sicurezza come un vettore di privilegi. Se un attaccante riesce a raggiungere interfacce amministrative esposte o ad abusare in altro modo delle relazioni di fiducia attorno all'agente, l'agente stesso può diventare il meccanismo per azioni che i difensori normalmente si aspettano che Windows blocchi. Ecco perché questa non è solo una semplice notizia sul "bypass della sicurezza di Windows". È un test di quanto bene i confini di fiducia dell'endpoint resistano quando un componente di sicurezza fidato viene trascinato nel percorso d'attacco.
Dal punto di vista difensivo, il dettaglio più importante è l'assenza di un exploit del kernel. Questo conta perché suggerisce che la superficie d'attacco possa trovarsi sopra il kernel, nel piano di controllo attorno all'agente, alla sua configurazione e ai flussi di gestione o aggiornamento. Le informazioni pubbliche non stabiliscono pienamente se la tecnica funzioni in ogni distribuzione, se sia stata usata operativamente o l'effettiva portata dell'impatto. Le prove disponibili supportano un'analisi del rischio, non un'affermazione di compromissione su larga scala.
Questo rende particolarmente importanti l'hardening e il monitoraggio dell'infrastruttura EDR. I privilegi amministrativi locali, i percorsi di aggiornamento degli agenti, le impostazioni anti-tamper e la riconfigurazione dei servizi non sono più noiose attività di manutenzione. Sono punti di controllo sensibili. Se un prodotto di sicurezza è considerato abbastanza affidabile da interagire con servizi protetti, allora il suo ciclo di vita diventa un obiettivo di alto valore.
Perché i difensori dovrebbero preoccuparsene
La lezione più ampia è che la difesa endpoint moderna non riguarda solo il blocco del malware. Riguarda la protezione della catena di fiducia che consente al software difensivo di operare con privilegi elevati fin dall'inizio. Quando quella catena è debole, gli attaccanti potrebbero non dover sconfiggere direttamente il sistema operativo. Potrebbero dover solo prendere in prestito uno strumento fidato.
Questo è il cambiamento scomodo che questa ricerca mette in evidenza: in un ambiente Windows maturo, il percorso più pericoloso potrebbe essere proprio quello che sembra più legittimo.
TECHCROOK
chiave di sicurezza hardware: Un modo pratico per proteggere gli accessi alle console EDR, agli account amministrativi di Windows e ad altri portali di gestione ad alti privilegi. Abbinare l'MFA a una chiave fisica aiuta a ridurre le probabilità che sole credenziali rubate possano aprire il piano di controllo attorno agli strumenti di sicurezza.
WIKICROOK
- Bring Your Own EDR: Una classe di tecniche che riutilizza un agente di sicurezza endpoint legittimo come parte del percorso d'attacco.
- Endpoint Detection and Response (EDR): Software di sicurezza che monitora gli host e supporta rilevamento, analisi e risposta.
- Protected Process Light (PPL): Un modello di protezione di Windows che limita le manomissioni dei processi sensibili, come i servizi anti-malware.
- Codice non firmato: Software privo di una firma digitale affidabile e che può essere bloccato dai controlli di integrità.
- Confine di fiducia: La linea tra componenti che possono fidarsi reciprocamente e quelli che non possono.
