Філіал програми-вимагача 3AM, за повідомленнями, зашифрував близько 37 із майже 50 машин у шкільній мережі Великої Британії — цю атаку описують як ймовірну атаку програмного вимагача за сприяння ШІ. Згідно з повідомленням, зловмисник дістався цих машин з неконтрольованого хоста. Подробиці обмежені, але цей інцидент є корисним прикладом того, як один залишений поза увагою пристрій може відкрити двері до всієї мережі.

Як філіал 3AM вдарив по шкільній мережі

У джерелі повідомляється, що філіал програми-вимагача 3AM націлився на шкільну мережу у Великій Британії. Починаючи з неконтрольованого хоста — машини, що перебувала поза звичайними засобами безпеки та нагляду організації, — зловмисник дістався майже 50 машин. З них близько 37 було успішно зашифровано.

Це співвідношення має значення. Воно свідчить про те, що після того, як зловмисник закріпився, йому майже нічого не заважало переміщатися середовищем. Філіали програм-вимагачів зазвичай діють як партнери ширшої операції з програм-вимагачів, використовуючи інструменти угруповання й водночас здійснюючи вторгнення самостійно. У цьому випадку філіал, схоже, пройшов від однієї точки входу до більшості доступних машин.

У підсумку статті не деталізується, як було скомпрометовано неконтрольований хост, які дані могли бути викрадені або чи вимагали викуп, тому ми не будемо робити здогадів щодо цих моментів.

Чому неконтрольовані хости та пласкі мережі полегшили завдання

Неконтрольований хост — це будь-який пристрій, який ІТ-команда активно не monitored, не патчить і не захищає. У школах це можуть бути старі ПК, пристрої, принесені працівниками чи підрядниками, або обладнання, встановлене поза стандартними процедурами. Оскільки вони позбавлені захисту кінцевих точок і журналювання, зловмисник може використовувати їх непомітно.

Другий складник — дизайн мережі. У пласкій мережі пристрої можуть спілкуватися одне з одним майже без обмежень. Якщо зловмисник контролює одну машину, він часто може бачити й намагатися дістатися багатьох інших. Сегментація, яка розділяє системи на зони з контрольованим доступом між ними, обмежує такий бічний рух.

Школи часто недофінансовані, з невеликими ІТ-командами, що обслуговують безліч пристроїв і користувачів. Це ускладнює підтримання повного обліку підключеного, і неконтрольовані пристрої зазвичай вислизають. Повідомлений результат — зашифровано приблизно три чверті доступних машин — відповідає цій картині.

Що показує й чого не показує твердження про сприяння ШІ

Заголовок описує атаку як ймовірну атаку за сприяння ШІ. Варто читати це уважно. «Ймовірна» означає, що оцінка не підтверджена, а наданий нам вихідний матеріал не уточнює, для чого використовувався ШІ або наскільки він змінив результат.

Що це твердження справді припускає, то це те, що зловмисники можуть використовувати інструменти ШІ для прискорення частин вторгнення, наприклад, для з'ясування того, як переміщатися середовищем. Чого воно не показує — що ШІ створив новий тип атаки. Ключові слабкості в цьому випадку — неконтрольований хост і мережа, яка дозволила зловмиснику поширитися, — є давніми й добре зрозумілими. Саме ці частини захисники й можуть виправити.

Іншими словами, аспект ШІ варто відстежувати, але практичні уроки тут усе ще стосуються базової гігієни безпеки.

Що це означає для вас

Якщо ви батько, учень чи працівник, атака на шкільну мережу не є абстракцією. Шкільні системи зберігають інформацію про дітей і сім'ї, а збій може перервати уроки й комунікацію. Інституційні інциденти такого роду також можуть сприяти ширшому розкриттю даних; злам британського агентства з інвестицій, що викрив дані 51 посадовця, — ще один недавній приклад того, як британський державний орган має справу з розкритою інформацією.

Є також аспект домашньої мережі. Сім'ї часто підключають видані школою або особисті пристрої до того самого домашнього роутера, що й усе інше: ноутбуки, планшети, ігрові консолі, смарт-телевізори. Неконтрольований або занедбаний пристрій удома може відігравати ту саму роль, що й неконтрольований хост у цьому випадку. Щоб було зрозуміло, VPN не є захистом від програм-вимагачів, тому увагу слід зосередити на гігієні пристроїв і мережі.

Що школи, батьки та домашні користувачі можуть зробити зараз

Для шкіл та ІТ-команд:

  • Створіть і підтримуйте облік кожного пристрою в мережі та візьміть неконтрольовані хости під управління або видаліть їх.
  • Сегментуйте мережу так, щоб одна скомпрометована машина не могла дістатися всієї мережі.
  • Зберігайте перевірені, офлайн або відокремлені резервні копії, щоб системи можна було відновити без сплати викупу.

Для батьків і домашніх користувачів:

  • Перевірте, які пристрої підключені до вашого роутера, і вилучіть ті, якими ви більше не користуєтеся або які не впізнаєте.
  • Встановлюйте оновлення на комп'ютери, телефони, планшети й сам роутер, а також змінюйте стандартні паролі роутера.
  • Тримайте пов'язані зі школою пристрої оновленими та уникайте спільного використання акаунтів чи повторного використання паролів.
  • Робіть резервні копії важливих файлів у місці, яке не підключене постійно до вашого основного комп'ютера.
  • Розгляньте можливість розміщення розумних домашніх пристроїв і гостьових пристроїв в окремій гостьовій мережі, якщо ваш роутер це підтримує.

Головне

Ця повідомлена атака програмного вимагача за сприяння ШІ на шкільну мережу показує, що найбільші ризики часто походять від базових речей: пристроїв, за якими ніхто не наглядає, і мереж, що дозволяють проблемі поширюватися. Яку б роль не відігравав ШІ, виправлення залишаються практичними й досяжними. Приділіть кілька хвилин цього тижня, щоб переглянути пристрої та роутер у власній сімейній мережі, і використайте цей інцидент як привід запитати у школи вашої дитини, як вона керує пристроями та резервними копіями.