Сучасні кібератаки переросли рівень масового фішингу та спроб брутфорсу зовнішніх сервісів. Кампанія UAC-0145, активність якої фіксується щонайменше з травня 2026 року (за даними CERT-UA), демонструє новий рівень цілеспрямованої соціальної інженерії. Об'єктом атаки стають досвідчені ІТ-фахівці — системні адміністратори, розробники та архітектори з високим рівнем доступу до корпоративної інфраструктури.
Головна небезпека полягає у використанні легітимних інструментів та маскуванні під реальні бізнес-процеси (наприклад, процес найму). Коли кваліфікований інженер запускає шкідливий код під виглядом тестового завдання, традиційні периметрові системи захисту виявляються марними. Жодна ІТ-архітектура не здатна повністю виключити людський фактор, тому захист має будуватися на архітектурному обмеженні довіри до пристроїв та користувачів.
Анатомія атаки UAC-0145: як соціальна інженерія обходить технічні бар'єри
Успіх кампанії UAC-0145 базується на тривалому вибудовуванні довіри. Зловмисники створюють реалістичні профілі рекрутерів, ведуть ділове листування та проводять відеоспівбесіди через Zoom. На етапі, коли кандидат не сумнівається у легітимності роботодавця, йому надсилають «тестове завдання» з інструкцією для підключення до стенда.
Технічний механізм компрометації виглядає наступним чином:
- Кандидату пропонують завантажити архів із ПЗ для підключення до інфраструктури. Найчастіше це модифіковані легітимні клієнти WireGuard або SopraVPN.
- Згідно зі звітом CERT-UA, ці модифіковані клієнти підтримують нештатну опцію SymmetricKey. Вона дозволяє зловмисникам виконувати довільний PowerShell-код на пристрої жертви або взаємодіяти зі своїми серверами через утиліту cURL.
- Після запуску шкідливе ПЗ закріплюється в системі шляхом створення запланованих завдань (scheduled tasks) для регулярного завантаження додаткових пейлоадів.
Оскільки інженер добровільно встановлює програмне забезпечення та проходить первинну автентифікацію, система часто сприймає ці дії як авторизовані. Це вимагає від CISO переходу до моделі, де сам факт підключення через VPN не є гарантією безпеки.
Чому периметровий захист безсилий проти скомпрометованих пристроїв
Традиційна корпоративна безпека історично фокусувалася на захисті периметра, довіряючи всьому, що знаходиться всередині мережі або підключається через VPN. Проте, коли співробітник підключається до інфраструктури з особистого (BYOD) або робочого пристрою, на якому вже активно працює шкідливий код UAC-0145, зловмисники отримують прямий канал доступу. Вони використовують легітимну сесію для горизонтального переміщення (lateral movement) та пошуку критичних баз даних чи репозиторіїв.
Згідно з даними Cisco Cybersecurity Readiness Index 2025, що базується на опитуванні 8 000 лідерів з кібербезпеки на 30 ринках, лише 27.7% компаній мають достатній рівень комплексної готовності до сучасних загроз. Більшість організацій залишаються вразливими саме через недостатній контроль над ідентичністю та доступом всередині мережі.
Перехід до Zero Trust: впровадження контекстного доступу
Для протидії загрозам такого рівня архітектура має спиратися на модель Zero Trust. Відповідно до рекомендацій Microsoft щодо IAM (Identity and Access Management), ідентичність стає ключовим периметром безпеки. Довіра не надається за замовчуванням, а постійно верифікується.
Базовою вимогою для захисту чутливих доступів, згідно з настановами NIST SP 800-63 Digital Identity Guidelines, є стійка багатофакторна автентифікація (MFA). Проте MFA не зупинить зловмисника, якщо сам пристрій скомпрометовано. Тому критичним є впровадження контекстного доступу (Contextual Access), який перевіряє:
- Стан пристрою (Device Health): підключення дозволяється лише з керованих корпоративних пристроїв (MDM) з активно працюючим рішенням класу EDR (Endpoint Detection and Response), як це рекомендує CERT-UA.
- Мережевий контекст та геолокацію: аналіз IP-адрес, використання дозволених VPN-пулів та виявлення аномальних геолокацій.
- Поведінкові патерни: моніторинг нетипових годин активності або різких змін у взаємодії з прикладними системами.
Матриця переходу від периметрової безпеки до архітектури Zero Trust
| Параметр контролю | Традиційний підхід (Вразливий) | Підхід Zero Trust (Стійкий) |
|---|---|---|
| Доступ до VPN | Дозволено з будь-якого пристрою за наявності облікових даних | Лише з керованих пристроїв із активним EDR та корпоративним сертифікатом |
| Автентифікація | Одноразовий вхід (SSO) без подальших перевірок у межах сесії | Безперервна контекстна верифікація (IP, пристрій, поведінка) |
| Привілеї користувачів | Широкі права (Admin/Dev) за замовчуванням на постійній основі | Тимчасовий доступ (Just-In-Time) та обмеження радіуса ураження через мікросегментацію |
| Аудит дій | Логування системних подій у файлах (можуть бути стерті адміністратором) | Нередагована історія змін (DataHistory) на рівні прикладного ПЗ для кожної транзакції |
Принцип найменших привілеїв (Least Privilege) на рівні прикладного ПЗ
Якщо зловмисник, обійшовши первинні бар'єри, отримує доступ до мережі, наступним рубежем захисту є обмеження радіуса ураження (blast radius). Цього досягають за допомогою принципу найменших привілеїв (Least Privilege) безпосередньо в бізнес-системах.
Для надійного розмежування прав в enterprise-середовищі варто застосовувати платформи з глибоко інтегрованими моделями безпеки. Наприклад, low-code платформа UnityBase (спільна розробка компаній Intecracy Group; InBase є ключовим, але не єдиним розробником платформи) підтримує розмежування прав доступу на рівні метаданих. У комерційних редакціях (EE/DE) застосовуються механізми безпеки на рівні рядків (Row-Level Security, RLS) та списки контролю доступу (ACL). Це дозволяє системам, побудованим на платформі — як-от системі електронного документообігу Megapolis.DocNet, — гарантувати, що кожен користувач або процес отримує доступ виключно до тих даних, які потрібні для виконання конкретного завдання.
У такій архітектурі навіть скомпрометований обліковий запис із певними адміністративними привілеями не зможе миттєво скопіювати чи модифікувати всі бази даних компанії.
Безперервний аудит та DataHistory: як виявити аномалії
Один із ключових кроків зловмисника після успішного проникнення — спроба видалити системні журнали (logs), щоб приховати сліди. Традиційні файлові логи часто виявляються вразливими до маніпуляцій з боку скомпрометованих акаунтів з високими привілеями.
Вирішенням цієї проблеми є використання інструментів нередагованого аудиту. В системах на базі платформи UnityBase реалізовано вбудований механізм DataHistory. Він автоматично фіксує будь-які зміни даних, конфігурацій чи прав доступу безпосередньо на рівні ORM (Object-Relational Mapping). Такий журнал захищений від модифікації чи видалення, навіть якщо зловмисник отримав доступ до інтерфейсу системного адміністратора.
Наявність нередагованого аудиту дозволяє офіцерам з кібербезпеки:
- Фіксувати нетипові зміни в правах доступу до критичних доменних моделей.
- Здійснювати детальний ретроспективний аналіз під час розслідування інцидентів.
- Автоматично експортувати прикладні події безпеки до корпоративних систем SIEM (Security Information and Event Management) для миттєвого реагування.
Інфраструктура, побудована на принципах Zero Trust, багатофакторній автентифікації та архітектурному контролі на рівні прикладного ПЗ, створює глибоко ешелоновану оборону. Хоча гарантувати абсолютний захист від витончених атак на кшталт UAC-0145 неможливо, такий підхід мінімізує радіус ураження та унеможливлює непомітне закріплення ворога у корпоративній мережі.
Поширені питання
Як захистити компанію від атак типу UAC-0145, якщо співробітники використовують особисті пристрої (BYOD)?
Рекомендується обмежити доступ до критичних корпоративних ресурсів з некерованих пристроїв. Згідно з рекомендаціями CERT-UA, доступ має надаватися з керованих пристроїв (MDM) з активним EDR-рішенням та безперервним моніторингом, або через повністю ізольовані VDI-середовища з жорстким контекстним доступом.
Які параметри контекстного доступу (Contextual Access) є критичними для налаштування IAM?
Ключовими параметрами є стан пристрою (наявність сертифіката, EDR, оновлень ОС), перевірка IP-адреси та геолокації, а також аналіз поведінкових факторів (час підключення, нетипова активність додатків). Ці фактори доповнюють вимогу багатофакторної автентифікації (MFA) згідно зі стандартом NIST SP 800-63.
Як впровадити аудит дій адміністраторів, щоб зловмисник не зміг видалити сліди своєї присутності?
Необхідно використовувати архітектуру з нередагованою історією змін на рівні платформи та централізовано передавати логи в ізольоване сховище (SIEM/WORM). Наприклад, механізм DataHistory на рівні ORM платформи UnityBase фіксує кожну транзакцію, унеможливлюючи її приховане видалення навіть з правами адміністратора системи.