Vulnerabilidade em EDR da SentinelOne Permite Ataques Sofisticados e Desativação de Proteção

A revelação da Akamai sobre as falhas na solução EDR da SentinelOne acende um alerta sério para a segurança corporativa. A pesquisa demonstra como um invasor, com privilégios de administrador em sistemas Windows, pode ir muito além de simplesmente desativar a proteção. A vulnerabilidade permite manipular o EDR para extrair dados de processos protegidos, comprometer até o Microsoft Defender e executar código malicioso. O ponto mais crítico é a capacidade de usar o próprio EDR como escudo para o malware, fazendo-o proteger o código do atacante.

Parte dessa técnica se baseia no `PPLSystem`, uma ferramenta desenvolvida por Slowerzs. O `PPLSystem` permite mapear DLLs não assinadas em processos Protected Process Light (PPL). As soluções EDR operam sob o modelo PPL para proteger seus processos de manipulação externa, e é justamente esse mecanismo que os atacantes buscam subverter. A pesquisa da Akamai detalha como, a partir de uma vulnerabilidade na interface COM da SentinelOne (o método `Dump`), é possível encadear esses passos para uma execução de código completo, superando limitações anteriores do `PPLSystem`.

A pesquisa da Akamai representa um salto significativo em relação às técnicas de evasão de EDR, especialmente no que diz respeito ao `PPLSystem`. Enquanto o `PPLSystem`, revelado anteriormente por Slowerzs, demonstrou a capacidade de mapear DLLs não assinadas em processos PPL, ele não executava de fato o código. A grande inovação aqui é a engenharia reversa e o encadeamento de vulnerabilidades que permitiram à Akamai fazer com que esse código *realmente fosse executado* dentro de um processo protegido. Além disso, a ideia de "Bring Your Own EDR", onde um invasor instala uma versão falsa do EDR e depois o utiliza para proteger seu próprio malware, eleva o nível da ameaça de forma alarmante, algo que não havia sido detalhado na cobertura anterior sobre evasão de EDR.

A confiança nas soluções EDR como primeira linha de defesa contra ameaças avançadas é fundamental. Quando uma EDR pode ser não apenas desativada, mas transformada em uma ferramenta para proteger o malware, o impacto na postura de segurança de uma organização é devastador. Isso força as empresas a reavaliar suas estratégias de segurança, considerando que até mesmo ferramentas projetadas para proteger podem ser viradas contra elas. A capacidade de desativar a comunicação com a nuvem, por exemplo, cria um ponto cego perigoso, onde o EDR não reporta o comprometimento, dando aos atacantes tempo valioso. Essa pesquisa reforça a necessidade de uma defesa em profundidade, que não dependa exclusivamente de uma única camada de segurança.

Repositório oficial: Slowerzs/PPLSystem