Egy 3AM zsarolóvírus-affiliát állítólag mintegy 37 gépet titkosított egy brit iskolai hálózat közel 50 gépéből, amelyet feltételezett AI-segített zsarolóvírusos iskolai támadásként írnak le. A jelentés szerint a behatoló egy nem kezelt hosztról érte el ezeket a gépeket. A részletek korlátozottak, de az eset hasznos esettanulmány arra nézve, hogyan nyithat ajtót egyetlen figyelmen kívül hagyott eszköz egy egész hálózat előtt.

Hogyan támadta meg a 3AM affiliát az iskolai hálózatot

A beszámoló forrása szerint egy 3AM zsarolóvírus-affiliát egy brit iskolai hálózatot vett célba. Egy nem kezelt hosztról kiindulva – egy olyan gépről, amely a szervezet szokásos biztonsági eszközein és felügyeletén kívül esett – a támadó közel 50 gépet ért el. Ezek közül körülbelül 37-et sikerült titkosítania.

Ez az arány sokat elmond. Azt sugallja, hogy miután a támadó lábra kapott, szinte semmi sem állt a környezetben való mozgás útjában. A zsarolóvírus-affiliátok jellemzően egy nagyobb zsarolóvírus-művelet partnereiként működnek, a csoport eszközeit használva, miközben magát a behatolást ők hajtják végre. Ebben az esetben úgy tűnik, az affiliát egyetlen belépési pontból az elérhető hálózat nagy részét elérte.

A cikk összefoglalója nem részletezi, hogyan compromittálták a nem kezelt hostot, milyen adatokat vihettek el, vagy követeltek-e váltságdíjat, ezért ezekről nem fogunk találgatni.

Miért könnyítette meg a nem kezelt hosztok és a lapos hálózatok a dolgát

A nem kezelt host minden olyan eszköz, amelyet az IT-csapat nem felügyel, nem foltoz és nem véd aktívan. Az iskolákban ide tartozhatnak régi PC-k, a munkatársak vagy vállalkozók által behozott eszközök, vagy a szokásos eljárásokon kívül telepített berendezések. Mivel nincs rajtuk végpontvédelem és naplózás, a támadó csendesen használhatja őket.

A második összetevő a hálózati kialakítás. Egy lapos hálózatban az eszközök kevés korlátozással kommunikálhatnak egymással. Ha a támadó egy gépet irányít, gyakran lát és megpróbál elérni sok másikat is. A szegmentálás, amely zónákra osztja a rendszereket a köztük lévő ellenőrzött hozzáféréssel, korlátozza az efféle oldalirányú mozgást.

Az iskolák gyakran alulfinanszírozottak, kis IT-csapatok sok eszközt és felhasználót fednek le. Ez megnehezíti a csatlakoztatott eszközök teljes leltárának vezetését, és a nem kezelt eszközök hajlamosak átcsúszni a réseken. A jelentett kimenetel, az elérhető gépek körülbelül háromnegyedének titkosítása, illik ehhez a mintához.

Mit mutat és mit nem mutat az AI-segített állítás

A címsor a támadást feltételezett AI-segítettként írja le. Érdemes ezt figyelmesen olvasni. A „feltételezett” azt jelenti, hogy az értékelés nincs megerősítve, és a rendelkezésünkre bocsátott forrásanyag nem fejti ki, mire használták az AI-t, vagy mennyit változtatott az eredményen.

Amit az állítás sugall, az az, hogy a támadók AI-eszközöket használhatnak a behatolás egyes részeinek felgyorsítására, például annak kitalálására, hogyan mozogjanak egy környezetben. Amit nem mutat, az az, hogy az AI egy újfajta támadást hozott létre. Az eset fő gyengeségei, egy nem kezelt host és egy hálózat, amely engedte a behatoló terjedését, régóta fennállnak és jól ismertek. Ezek azok a részek is, amelyeket a védekezők ki tudnak javítani.

Más szóval, az AI szempont figyelmet érdemel, de a gyakorlati tanulságok itt még mindig alapvető biztonsági higiéniáról szólnak.

Mit jelent ez Önnek

Ha Ön szülő, tanuló vagy munkatárs, egy iskolai hálózat elleni támadás nem absztrakt. Az iskolai rendszerek gyermekekről és családokról tárolnak információkat, és a zavar megszakíthatja a tanórákat és a kommunikációt. Az ilyen intézményi incidensek szélesebb adatkiszivárgáshoz is vezethetnek; a brit befektetési ügynökség adatszivárgása, amely 51 tisztviselő adatait tette ki egy másik friss példa egy brit közszférabeli szervezetre, amely kiszivárgott információkkal néz szembe.

Van egy otthoni hálózati szempont is. A családok gyakran ugyanahhoz az otthoni routerhez csatlakoztatják az iskolától kapott vagy személyes eszközöket, mint minden mást: laptopokat, táblagépeket, játékkonzolokat, okostévéket. Egy otthon nem kezelt vagy elhanyagolt eszköz ugyanazt a szerepet játszhatja, mint ebben az esetben a nem kezelt host. Hogy világos legyen, a VPN nem védelem a zsarolóvírus ellen, ezért a hangsúly az eszköz- és hálózathigiénián kell legyen.

Mit tehetnek most az iskolák, a szülők és az otthoni felhasználók

Iskoláknak és IT-csapatoknak:

  • Építsenek és tartsanak fenn leltárt a hálózat minden eszközéről, és vonják kezelés alá a nem kezelt hosztokat, vagy távolítsák el őket.
  • Szegmentálják a hálózatot, hogy egy kompromittált gép ne érhesse el az egész hálózatot.
  • Tartsanak tesztelt, offline vagy elkülönített biztonsági mentéseket, hogy a rendszerek váltságdíj fizetése nélkül helyreállíthatók legyenek.

Szülőknek és otthoni felhasználóknak:

  • Ellenőrizzék, mely eszközök csatlakoznak a routerükhöz, és távolítsák el azokat, amelyeket már nem használnak, vagy nem ismernek fel.
  • Telepítsenek frissítéseket a számítógépeken, telefonokon, táblagépeken és magán a routeren, és cseréljék le az alapértelmezett routerjelszavakat.
  • Tartsák naprakészen az iskolához kapcsolódó eszközöket, és kerüljék a fiókok megosztását vagy a jelszavak újrafelhasználását.
  • Készítsenek biztonsági mentést a fontos fájlokról egy olyan helyre, amely nincs állandóan csatlakoztatva a fő számítógépükhöz.
  • Fontolják meg az okosotthon-eszközök és vendégeszközök külön vendéghálózatra helyezését, ha a routerük támogatja.

A lényeg

Ez a jelentett AI-segített zsarolóvírusos iskolai támadás azt mutatja, hogy a legnagyobb kockázatok gyakran az alapokból fakadnak: olyan eszközökből, amelyekre senki sem figyel, és olyan hálózatokból, amelyek engedik a baj terjedését. Bármilyen szerepet játszott is az AI, a javítások továbbra is gyakorlatiasak és megvalósíthatók. Szánjanak rá néhány percet ezen a héten, hogy áttekintsék a saját családi hálózatukon lévő eszközöket és a routert, és használják az incidenst ösztönzésként, hogy megkérdezzék gyermekük iskoláját, hogyan kezeli az eszközöket és a biztonsági mentéseket.