Schwachstelle im SentinelOne-Agenten ermöglicht Umgehung des EDR-Schutzes

14. Mai 2025

Ein Sicherheitsforscher hat eine neue Technik identifiziert, mit der sich der Schutzmechanismus der Endpoint-Detection-and-Response-Lösung (EDR) SentinelOne aushebeln lässt. Die Methode nutzt den sogenannten „Bring Your Own Installer“-Ansatz und setzt gezielt am Update-Prozess des EDR-Agents an.

Durch eine präzise gesteuerte Unterbrechung des Versionswechsels kann der Angreifer bei unsachgemäßer Systemkonfiguration den Agent außer Kraft setzen – und so unbemerkt Schutzmechanismen umgehen.

Schwachstelle im SentinelOne-Agenten ermöglicht Umgehung des EDR-Schutzes

Die Incident-Response-Spezialisten von Stroz Friedberg, einer Cybersecurity-Einheit des Beratungsunternehmens Aon, haben eine Angriffsmethode identifiziert, mit der sich SentinelOnes Endpoint Detection and Response (EDR)-System aushebeln lässt. Die Technik nutzt eine Schwachstelle im Upgrade- und Downgrade-Prozess des SentinelOne-Agenten aus, wodurch sich der integrierte Manipulationsschutz umgehen lässt – mit potenziell gravierenden Folgen für die Systemsicherheit.

Laut Stroz Friedberg kann ein Angreifer mit lokalem Administratorzugriff den EDR-Agenten deaktivieren, ohne den normalerweise erforderlichen Manipulationsschutzcode einzugeben. In einem dokumentierten Vorfall nutzte ein Angreifer diese Schwachstelle aus, um anschließend eine Variante der Babuk-Ransomware zu installieren.

SentinelOne hat nach Bekanntwerden des Angriffs zeitnah reagiert und seinen Kunden Maßnahmen zur Risikominderung zur Verfügung gestellt. Zudem unterstützte das Unternehmen Stroz Friedberg bei der Weitergabe der Erkenntnisse an andere EDR-Anbieter, um eine breitere Sicherheitsreaktion zu ermöglichen.

EDR-Systeme wie SentinelOne spielen eine zentrale Rolle in der Cyberabwehr, da sie kontinuierlich das Verhalten von Endpunkten analysieren, um Bedrohungen frühzeitig zu erkennen und zu blockieren. Der eingebaute Manipulationsschutz soll verhindern, dass unautorisierte Akteure Schutzfunktionen deaktivieren oder schädliche Prozesse unbemerkt beenden können.

Kunden von SentinelOne sind dringend aufgerufen, die veröffentlichten Hinweise zur Absicherung ihrer Systeme zu prüfen und umzusetzen.

SentinelOne-Agent: Forscher demonstrieren Angriffsmöglichkeit während Update-Fenster

Die Sicherheitsanalysten von Stroz Friedberg haben im Rahmen eines Proof-of-Concepts eine Schwachstelle im Update-Mechanismus der SentinelOne EDR-Software nachgestellt und erfolgreich ausgenutzt. Der Fokus lag auf einer spezifischen Phase im Upgrade-/Downgrade-Prozess, in der der Agent vorübergehend inaktiv ist – ein potenziell kritisches Angriffsfeld für Threat Actor mit administrativem Zugriff.

Das Experiment wurde in einer virtuellen Umgebung mit Windows Server 2022 durchgeführt, auf der SentinelOne Version 23.4.6.223 installiert war. Der Upgrade-Prozess über eine MSI-Datei führte zur Terminierung aller laufenden SentinelOne-Prozesse etwa 55 Sekunden vor der Initialisierung der neuen Agent-Version. In diesem Zeitraum war der Endpunkt faktisch ohne EDR-Schutz.

Die Forscher nutzten dieses Zeitfenster, um den MSI-Prozess „msiexec.exe“ gezielt per taskkill-Befehl mit lokalen Administratorrechten zu beenden. Dadurch wurde der Neustart des Agents verhindert, und der Host war dauerhaft ungeschützt. In der SentinelOne-Managementkonsole erschien das System daraufhin als offline.

Dieses Verhalten zeigt, dass ein unsachgemäß abgesicherter Update-Prozess zur Schwachstelle werden kann – insbesondere wenn keine Überwachung oder Absicherung des Installer-Prozesses erfolgt. Der Fall unterstreicht die Notwendigkeit robusterer Kontrollmechanismen während kritischer Agentenoperationen und wirft Fragen zur Härtung von Self-Protection-Strategien im Kontext privilegierter Benutzerrechte auf.

Oben: Abstraktion des erwarteten Änderungsprozesses für die SentinelOne-Agent-Version. Unten: Abstraktion der Umgehung von Bring Your Own Installer EDR. Quelle: Aon

SentinelOne reagiert auf Schwachstelle mit zusätzlichen Schutzmaßnahmen

Nach der Veröffentlichung des Aon-Berichts zu einer kritischen Schwachstelle im Agent-Update-Prozess hat SentinelOne eigene Maßnahmen zur Risikominderung vorgestellt. In einem offiziellen Blogbeitrag kündigte der Sicherheitsanbieter an, künftig standardmäßig die Funktion Local Update Authorization (lokale Aktualisierungsberechtigung) für alle Neukunden zu aktivieren. Diese Funktion fügt eine zusätzliche Sicherheitsstufe hinzu, indem sie lokale Aktualisierungsvorgänge stärker kontrolliert und unautorisierte Änderungen am Agent erschwert.

Darüber hinaus unterstützte SentinelOne die Stroz-Friedberg-Forscher bei der koordinierten Offenlegung der Schwachstelle gegenüber anderen EDR-Herstellern. Ziel war es, der Branche vor der öffentlichen Bekanntgabe Gelegenheit zu geben, potenziell betroffene Systeme zu überprüfen und eigene Schutzmaßnahmen zu ergreifen.

Diese koordinierte Reaktion unterstreicht die Bedeutung von verantwortungsbewusster Offenlegung bei sicherheitsrelevanten Entdeckungen im Endpoint-Security-Bereich.

Redaktion AllAboutSecurity

Bild/Quelle: https://depositphotos.com/de/home.html

Teile diesen Beitrag: