В сряда Microsoft съобщи, че функцията за ограничаване на потребителите в Microsoft Defender за крайни точки е помогнала да се осуети „мащабен опит за отдалечено криптиране“, направен от  рансъмуер бандата Akira, насочена към неизвестна индустриална организация в началото на юни 2023 г.

Екипът за разузнаване на заплахите на технологичния гигант проследява оператора като Storm-1567.

Атаката е използвала устройства, които не са били включени в Microsoft Defender for Endpoint, като тактика за избягване на защитата, като същевременно е извършила серия от разузнавателни дейности и дейности за странично придвижване, преди да криптира устройствата, използвайки компрометиран потребителски акаунт.

Но новата възможност за автоматично прекъсване на атаката означава, че нарушените акаунти са възпрепятствани да „получат достъп до крайни точки и други ресурси в мрежата, ограничавайки възможността на нападателите да се придвижват странично, независимо от състоянието на акаунта в Active Directory или нивото на привилегиите му“.

С други думи, идеята е да се прекъсне цялата входяща и изходяща комуникация и да се забрани достъпът до други устройства в мрежата чрез атаки, извършвани от хора.

От Redmond също така заявиха, че тяхната корпоративна платформа за сигурност на крайни точки е прекъснала опитите за странично движение срещу лаборатория за медицински изследвания през август 2023 г., при които противникът е променил паролата на акаунт на администратор на домейн по подразбиране за последващи действия.

„Потребителските акаунти с високи привилегии вероятно са най-важните активи за нападателите“, заявиха от Microsoft. „Компрометираните акаунти на ниво администратор на домейн в среди, които използват традиционни решения, осигуряват на нападателите достъп до Active Directory и могат да подкопаят традиционните механизми за сигурност.“

„Следователно идентифицирането и ограничаването на тези компрометирани потребителски акаунти предотвратява развитието на атаките, дори ако нападателите получат първоначален достъп.“