Аффилиат программы-вымогателя 3AM, как сообщается, зашифровал около 37 из почти 50 машин в школьной сети Великобритании — инцидент описывается как предполагаемая атака программы-вымогателя с использованием ИИ на школу. Согласно отчёту, злоумышленник добрался до этих машин с неуправляемого хоста. Детали ограничены, но инцидент представляет собой полезный пример того, как одно упущенное из виду устройство может открыть дверь во всю сеть.

Как аффилиат 3AM атаковал школьную сеть

В источнике сообщается, что аффилиат программы-вымогателя 3AM атаковал школьную сеть в Великобритании. Начав с неуправляемого хоста — машины, находившейся вне обычных средств безопасности и надзора организации, — атакующий добрался до почти 50 машин. Из них около 37 были успешно зашифрованы.

Эта пропорция важна. Она говорит о том, что, получив foothold, атакующий почти не встретил препятствий для перемещения по среде. Аффилиаты программ-вымогателей обычно действуют как партнёры более крупной операции, используя инструменты группы и при этом самостоятельно проводя вторжение. В данном случае аффилиат, по-видимому, прошёл от одной точки входа до большей части доступной среды.

В резюме статьи не уточняется, как был скомпрометирован неуправляемый хост, какие данные могли быть похищены и требовался ли выкуп, поэтому мы не будем строить предположения по этим пунктам.

Почему неуправляемые хосты и плоские сети облегчили задачу

Неуправляемый хост — это любое устройство, которое ИТ-команда активно не отслеживает, не патчит и не защищает. В школах к ним могут относиться старые ПК, устройства, принесённые сотрудниками или подрядчиками, или оборудование, установленное в обход стандартных процедур. Поскольку на них нет защиты конечных точек и логирования, атакующий может использовать их незаметно.

Второй компонент — архитектура сети. В плоской сети устройства могут взаимодействовать друг с другом почти без ограничений. Если атакующий контролирует одну машину, он часто может видеть многие другие и пытаться до них добраться. Сегментация, разделяющая системы на зоны с контролируемым доступом между ними, ограничивает такого рода боковое перемещение.

Школы часто испытывают нехватку ресурсов: небольшие ИТ-команды обслуживают множество устройств и пользователей. Из-за этого сложнее вести полный учёт подключённого, и неуправляемые устройства проскальзывают незамеченными. Сообщённый результат — зашифровано примерно три четверти доступных машин — соответствует этой картине.

Что показывает и чего не показывает заявление об использовании ИИ

В заголовке атака описывается как предположительно совершённая с использованием ИИ. Стоит читать это внимательно. «Предположительно» означает, что оценка не подтверждена, а предоставленный нам исходный материал не уточняет, для чего использовался ИИ и насколько он повлиял на исход.

Заявление всё же позволяет предположить, что атакующие могут использовать инструменты ИИ для ускорения отдельных этапов вторжения, например для определения способов перемещения по среде. Но оно не показывает, что ИИ создал новый вид атаки. Основные слабые места в этом случае — неуправляемый хост и сеть, позволившая злоумышленнику распространиться, — давно известны и хорошо изучены. Именно их защитники и могут исправить.

Иными словами, за аспектом ИИ стоит наблюдать, но практические уроки здесь по-прежнему касаются базовой гигиены безопасности.

Что это значит для вас

Если вы родитель, ученик или сотрудник, атака на школьную сеть — не абстракция. Школьные системы хранят информацию о детях и семьях, а сбой может прервать уроки и общение. Подобные инциденты в учреждениях могут также способствовать более широкой утечке данных; утечка в агентстве по инвестициям Великобритании, раскрывшая данные 51 чиновника — ещё один недавний пример того, как британский государственный орган разбирается с раскрытой информацией.

Есть и аспект домашней сети. Семьи часто подключают выданные школой или личные устройства к тому же домашнему роутеру, что и всё остальное: ноутбуки, планшеты, игровые консоли, смарт-телевизоры. Неуправляемое или заброшенное устройство дома может сыграть ту же роль, что и неуправляемый хост в этом случае. Чтобы было ясно: VPN не является защитой от программ-вымогателей, поэтому внимание следует уделять гигиене устройств и сети.

Что школы, родители и домашние пользователи могут сделать сейчас

Для школ и ИТ-команд:

  • Составьте и поддерживайте инвентаризацию каждого устройства в сети, а неуправляемые хосты возьмите под управление или удалите.
  • Сегментируйте сеть, чтобы одна скомпрометированная машина не могла добраться до всей среды.
  • Храните проверенные, офлайн- или изолированные резервные копии, чтобы системы можно было восстановить без уплаты выкупа.

Для родителей и домашних пользователей:

  • Проверьте, какие устройства подключены к вашему роутеру, и удалите те, которые вы больше не используете или не узнаёте.
  • Устанавливайте обновления на компьютеры, телефоны, планшеты и сам роутер, а также смените пароли роутера по умолчанию.
  • Поддерживайте устройства, связанные со школой, в актуальном состоянии и избегайте совместного использования учётных записей или повторного использования паролей.
  • Делайте резервные копии важных файлов в месте, которое не подключено постоянно к вашему основному компьютеру.
  • Рассмотрите возможность размещения умных домашних гаджетов и гостевых устройств в отдельной гостевой сети, если ваш роутер это поддерживает.

Суть

Эта предполагаемая атака программы-вымогателя с использованием ИИ на школу показывает, что самые большие риски часто исходят из основ: устройств, за которыми никто не следит, и сетей, позволяющих проблеме распространяться. Какую бы роль ни сыграл ИИ, исправления остаются практичными и достижимыми. Уделите несколько минут на этой неделе, чтобы проверить устройства и роутер в вашей семейной сети, и используйте этот инцидент как повод спросить школу вашего ребёнка, как она управляет устройствами и резервными копиями.