Một chi nhánh của ransomware 3AM được cho là đã mã hóa khoảng 37 trong số gần 50 máy trong một hệ thống trường học tại Anh, trong sự việc được mô tả là một vụ tấn công ransomware nhắm vào trường học có sự hỗ trợ của AI. Theo báo cáo, kẻ xâm nhập đã tiếp cận các máy đó từ một máy chủ không được quản lý. Các chi tiết còn hạn chế, nhưng sự cố này là một nghiên cứu điển hình hữu ích về cách một thiết bị bị bỏ sót duy nhất có thể mở cửa cho toàn bộ mạng lưới.

Chi nhánh 3AM đã tấn công hệ thống trường học như thế nào

Nguồn tin báo cáo cho biết một chi nhánh của ransomware 3AM đã nhắm vào một hệ thống trường học tại Anh. Bắt đầu từ một máy chủ không được quản lý, một máy nằm ngoài các công cụ bảo mật và sự giám sát thông thường của tổ chức, kẻ tấn công đã tiếp cận gần 50 máy. Trong số đó, khoảng 37 máy đã bị mã hóa thành công.

Tỷ lệ đó rất quan trọng. Nó cho thấy rằng một khi kẻ tấn công đã có chỗ đứng, có rất ít trở ngại trên đường di chuyển khắp môi trường. Các chi nhánh ransomware thường hoạt động như đối tác của một chiến dịch ransomware lớn hơn, sử dụng công cụ của nhóm trong khi tự thực hiện việc xâm nhập. Trong trường hợp này, chi nhánh dường như đã đi từ một điểm xâm nhập đến hầu hết hệ thống có thể tiếp cận được.

Bản tóm tắt bài viết không nêu chi tiết cách máy chủ không được quản lý bị xâm phạm, dữ liệu nào có thể đã bị lấy đi, hay liệu có yêu cầu tiền chuộc hay không, nên chúng tôi sẽ không suy đoán về những điểm đó.

Tại sao máy chủ không được quản lý và mạng phẳng lại tạo điều kiện dễ dàng

Máy chủ không được quản lý là bất kỳ thiết bị nào mà nhóm IT không chủ động giám sát, vá lỗi hoặc bảo vệ. Trong trường học, những thiết bị này có thể bao gồm máy tính cũ, thiết bị do nhân viên hoặc nhà thầu mang vào, hoặc thiết bị được cài đặt ngoài quy trình chuẩn. Vì chúng thiếu bảo vệ điểm cuối và ghi nhật ký, kẻ tấn công có thể sử dụng chúng một cách âm thầm.

Yếu tố thứ hai là thiết kế mạng. Trong một mạng phẳng, các thiết bị có thể giao tiếp với nhau với ít hạn chế. Nếu kẻ tấn công kiểm soát một máy, chúng thường có thể nhìn thấy và cố gắng tiếp cận nhiều máy khác. Phân đoạn, tức việc tách hệ thống thành các vùng với quyền truy cập được kiểm soát giữa chúng, hạn chế kiểu di chuyển ngang đó.

Các trường học thường thiếu nguồn lực, với những nhóm IT nhỏ đảm nhận nhiều thiết bị và người dùng. Điều đó khiến việc duy trì một bản kiểm kê đầy đủ những gì được kết nối trở nên khó khăn hơn, và các thiết bị không được quản lý có xu hướng bị bỏ sót. Kết quả được báo cáo, khoảng ba phần tư số máy có thể tiếp cận bị mã hóa, phù hợp với mô hình đó.

Tuyên bố về hỗ trợ AI cho thấy và không cho thấy điều gì

Tiêu đề mô tả cuộc tấn công là nghi ngờ có sự hỗ trợ của AI. Đáng để đọc kỹ điều đó. "Nghi ngờ" có nghĩa là đánh giá chưa được xác nhận, và tài liệu nguồn được cung cấp cho chúng tôi không nêu rõ AI được sử dụng cho mục đích gì hoặc nó đã thay đổi kết quả đến mức nào.

Điều mà tuyên bố này gợi ý là kẻ tấn công có thể đang sử dụng các công cụ AI để tăng tốc một số phần của cuộc xâm nhập, chẳng hạn như tìm cách di chuyển khắp môi trường. Điều mà nó không cho thấy là AI đã tạo ra một kiểu tấn công mới. Những điểm yếu cốt lõi trong trường hợp này, một máy chủ không được quản lý và một mạng lưới cho phép kẻ xâm nhập lan rộng, đã tồn tại từ lâu và được hiểu rõ. Đó cũng là những phần mà phía phòng thủ có thể khắc phục.

Nói cách khác, khía cạnh AI đáng để theo dõi, nhưng những bài học thực tiễn ở đây vẫn là vệ sinh bảo mật cơ bản.

Điều này có ý nghĩa gì với bạn

Nếu bạn là phụ huynh, học sinh hoặc nhân viên, một cuộc tấn công vào hệ thống trường học không phải là điều trừu tượng. Hệ thống trường học lưu giữ thông tin về trẻ em và gia đình, và sự gián đoạn có thể làm gián đoạn việc học và liên lạc. Các sự cố cấp tổ chức kiểu này cũng có thể góp phần vào việc lộ dữ liệu rộng hơn; vụ vi phạm của cơ quan đầu tư Anh làm lộ dữ liệu của 51 quan chức là một ví dụ gần đây khác về một cơ quan khu vực công của Anh đối phó với thông tin bị lộ.

Còn có khía cạnh mạng gia đình. Các gia đình thường kết nối thiết bị do trường cấp hoặc thiết bị cá nhân với cùng một router tại nhà như mọi thứ khác: máy tính xách tay, máy tính bảng, máy chơi game, TV thông minh. Một thiết bị không được quản lý hoặc bị bỏ bê tại nhà có thể đóng vai trò giống như máy chủ không được quản lý trong trường hợp này. Cần nói rõ, VPN không phải là biện pháp phòng vệ chống lại ransomware, nên trọng tâm nên là vệ sinh thiết bị và mạng.

Những gì trường học, phụ huynh và người dùng tại nhà có thể làm ngay bây giờ

Đối với trường học và nhóm IT:

  • Xây dựng và duy trì bản kiểm kê mọi thiết bị trên mạng, và đưa các máy chủ không được quản lý vào diện quản lý hoặc loại bỏ chúng.
  • Phân đoạn mạng để một máy bị xâm phạm không thể tiếp cận toàn bộ hệ thống.
  • Duy trì các bản sao lưu đã được kiểm thử, ngoại tuyến hoặc tách biệt để hệ thống có thể được khôi phục mà không phải trả tiền chuộc.

Đối với phụ huynh và người dùng tại nhà:

  • Kiểm tra những thiết bị nào đang kết nối với router của bạn và loại bỏ bất kỳ thiết bị nào bạn không còn sử dụng hoặc không nhận ra.
  • Cài đặt cập nhật trên máy tính, điện thoại, máy tính bảng và chính router, đồng thời thay mật khẩu mặc định của router.
  • Giữ các thiết bị liên quan đến trường học được cập nhật và tránh chia sẻ tài khoản hoặc dùng lại mật khẩu.
  • Sao lưu các tệp quan trọng vào một vị trí không được kết nối thường trực với máy tính chính của bạn.
  • Cân nhắc đặt các thiết bị nhà thông minh và thiết bị khách trên một mạng khách riêng nếu router của bạn hỗ trợ.

Kết luận

Vụ tấn công ransomware nhắm vào trường học có sự hỗ trợ của AI được báo cáo này cho thấy rằng những rủi ro lớn nhất thường đến từ những điều cơ bản: những thiết bị không ai giám sát và những mạng lưới để sự cố lan rộng. Dù AI đóng vai trò gì, các biện pháp khắc phục vẫn thực tiễn và khả thi. Hãy dành vài phút trong tuần này để xem xét các thiết bị và router trên mạng gia đình của bạn, và dùng sự cố này như một lời nhắc để hỏi trường của con bạn về cách họ quản lý thiết bị và sao lưu.