Незахищена кінцева точка стала слабкою ланкою
Новий задокументований інцидент із програмою-вимагачем Interlock, про який повідомляє Sophos, наочно ілюструє проблему, на яку команди безпеки звертають увагу вже місяці: одна незахищена кінцева точка може дати зловмисникам увесь необхідний час, щоб викрасти облікові дані та закріпитися в системі, перш ніж це помітять. За даними Sophos, інцидент став можливим через те, що пристрій без захисту кінцевої точки дозволив групі Interlock діяти, не викликаючи тих сповіщень, які зазвичай сигналізують про підозрілу поведінку на контрольованій машині.
Ця прогалина мала значення. Без захисного програмного забезпечення, яке б відстежувало кінцеву точку, зловмисники могли діяти повільно і цілеспрямовано, збираючи облікові дані для входу та створюючи механізми для збереження доступу до мережі ще довго після початкового проникнення. Це нагадування про те, що оператори програм-вимагачів дедалі більше покладаються не на злам захисту, а на тихе збирання ключів, які дозволяють їм увійти через парадні двері.
Чому викрадені облікові дані — це справжній приз
Випадок з Interlock вписується в модель, яку Sophos документує вже деякий час. Попереднє дослідження Sophos показало, що 79% атак програм-вимагачів починаються з викрадених облікових даних, і ця цифра підкреслює, наскільки центральним стало викрадення ідентифікаційних даних для сучасних операцій програм-вимагачів. Окремі звіти Sophos пішли далі, визначивши скомпрометовані логіни як головну точку входу для програм-вимагачів, що випереджає вразливості програмного забезпечення як метод, якому віддають перевагу зловмисники.
Інцидент з Interlock показує, чому цей зсув має сенс з точки зору зловмисника. Експлуатація програмної вразливості часто вимагає точного вибору часу і може спрацьовувати системи виявлення, створені для фіксації незвичайних спроб експлуатації. Натомість викрадення дійсних облікових даних і використання їх для входу може виглядати як звичайна активність користувача, особливо на кінцевій точці, де немає захисного програмного забезпечення, яке б позначило аномалію. Потрапивши всередину, зловмисникам не потрібно пробиватися через мережу; вони можуть пересуватися, використовуючи облікові записи, які вже мають законний доступ.
Це також узгоджується з ширшими висновками, пов’язаними з ідентифікацією. Нещодавній звіт Sophos показав, що 71% організацій у всьому світі зазнали принаймні одного інциденту, пов’язаного з ідентифікацією, у 2025 році, що підтверджує: крадіжка облікових даних не є вузькою технікою, призначеною для досвідчених зловмисників. Вона стала стандартною стратегією входу для широкого кола груп програм-вимагачів, включно з Interlock.
Закріплення в системі — друга половина проблеми
Викрадення облікових даних корисне для зловмисника лише тоді, коли він може продовжувати їх використовувати або замінити на інший спосіб входу, коли оригінальний обліковий запис буде заблоковано. Саме на цей другий елемент звернула увагу Sophos у цьому інциденті: незахищена кінцева точка дала Interlock достатньо безперервного часу для створення механізмів закріплення, по суті, створивши бекдор, який дозволив би їм повернутися, навіть якщо викрадені облікові дані згодом виявлять і скасують.
Цей двоетапний процес — спочатку крадіжка облікових даних, потім закріплення — це те, що відрізняє локалізований інцидент від затяжного. Організація, яка швидко виявляє зловживання обліковими даними, часто може перекрити доступ до того, як буде завдано серйозної шкоди. Але коли на ураженому пристрої немає моніторингу, зловмисники можуть завершити обидва етапи, перш ніж захисники навіть дізнаються, що щось не так. Інші інциденти поза сферою програм-вимагачів розвиваються за подібною дугою: один скомпрометований комп’ютер у Plaza Home Mortgage виявився достатнім, щоб спричинити розслідування витоку даних, яке зачепило номери соціального страхування клієнтів, показуючи, як одна слабка точка в іншому захищеному середовищі може бути всім, що потрібно.
Що це означає для вас
Як для звичайних користувачів, так і для невеликих організацій урок з інциденту Interlock не є абстрактним. Захист кінцевих точок — це не просто пункт для галочки в корпоративному списку; це рівень, який перетворює потенційний багатотижневий компрометацію на виявлення того ж дня. Якщо ви керуєте пристроями, незалежно від того, чи це особисті ноутбуки, чи невелика офісна мережа, незахищена машина, підключена до спільних ресурсів, є загрозою для всіх у цій мережі, а не лише для її власника.
Гігієна облікових даних має не менше значення. Повторне використання паролів на різних облікових записах, пропуск багатофакторної автентифікації або залишення активних старих облікових записів після того, як хтось залишає організацію, — усе це дає зловмисникам більше можливостей проникнути всередину, використовуючи викрадені логіни, а не експлуатуючи програмні помилки. Ця тенденція не обмежується лише Interlock; вона перегукується з гучнішими недавніми інцидентами, включно з поєднанням шпигунства через російський Zimbra та вимагання у Stadler Rail, які привернули увагу до того, наскільки різноманітними та наполегливими стали ці атаки, засновані на облікових даних.
Практичні кроки, які варто зробити
Переконайтеся, що кожен пристрій, підключений до чутливих систем, включно з особистими комп’ютерами, які використовуються для віддаленої роботи, має активний захист кінцевої точки. Увімкніть багатофакторну автентифікацію скрізь, де це підтримується, оскільки вона знижує цінність викраденого пароля. Регулярно проводьте аудит облікових записів на наявність невикористовуваних або застарілих облікових даних, а також відстежуйте незвичайні шаблони входу, а не припускайте, що дійсне ім’я користувача та пароль означають легітимного користувача.
Інцидент з Interlock — це корисний приклад саме тому, що він не є екзотичним. Він не вимагав нового експлойту чи просунутого zero-day. Для нього знадобилася одна кінцева точка без захисту і достатньо часу, щоб викрасти те, що виглядало як звичайні облікові дані для входу. Закриття цієї прогалини цілком досяжне для більшості організацій, і це залишається одним із найефективніших захистів від груп програм-вимагачів, які чітко вирішили, що облікові дані, а не код, є найлегшим шляхом всередину.
