Bitdefender-ի խոսքով՝ 3AM-ը սեպտեմբերին կոդավորել է Մեծ Բրիտանիայի դպրոցական համալիրի մոտ 37 համակարգիչ

Կիբեռանվտանգության Bitdefender ընկերությունը հայտնել է, որ փրկագին պահանջող 3AM խմբի գործընկեր հարձակվողը կոդավորել է Մեծ Բրիտանիայի դպրոցական համալիրի մոտ 37 համակարգիչ՝ կենտրոնացված կառավարման տակ չգտնվող համակարգչից հասանելիություն ստանալով գրեթե 50 համակարգչի։ Փրկագին պահանջող ծրագրերը կոդավորում են ֆայլերը՝ թույլ չտալով դրանք սովորական ձևով օգտագործել։

BleepingComputer-ը Bitdefender-ի հետազոտության արդյունքները ներկայացրել է 2026 թ․ նոյեմբերի 3-ին։ Վնասաբեր գործողությունները շարունակվել են սեպտեմբերի 10–19-ը։ Bitdefender-ը չի կարողացել պարզել, թե հարձակվողն ինչպես է սկզբում մուտք գործել համակարգեր։

Ինչպես է հարձակվողն ընդլայնել հասանելիությունը

Bitdefender-ը հայտնել է, որ հարձակվողը հանրությանը հասանելի գործիքի փոփոխված տարբերակով դուրս է բերել ու վերծանել պահուստավորման երեք Veeam սերվերներում պահվող մուտքանուններն ու գաղտնաբառերը։ Նա նաև պատճենել է Chrome-ի մուտքանունների ու գաղտնաբառերի տվյալների շտեմարանը և գործիքներով դուրս բերել մուտքանուններն ու գաղտնաբառերը, ինչպես նաև համակարգչի հիշողության պատճենը։

Հարձակվողը պարզել է ցանցային դոմենների միջև կապերը, մուտքի ժամանակ գործարկվող սկրիպտների պանակներում փնտրել այլ դպրոցների հիշատակումներ և հասանելիությունը պահպանելու համար ստեղծել «library» ու «svc_bkpmon» անուններով դոմենի ադմինիստրատորի՝ գաղտնի մուտք ապահովող հաշիվներ։

Ֆինանսական տվյալները գողանալուց հետո հարձակվողը երկկողմ վստահության կապեր է կարգավորել նախկինում միմյանցից առանձին գործող երեք Active Directory դոմենների միջև։ Դոմենը հաշիվներն ու համակարգիչները միավորում է ընդհանուր կառավարման ներքո, իսկ երկկողմ վստահության կապը թույլ է տալիս երկու ուղղությամբ էլ հասանելիություն տրամադրել։ Bitdefender-ի խոսքով՝ այդ կապերը փոխելով՝ հարձակվողն ընդլայնել է իր հասանելիությունը դպրոցների ցանցերում։

Վերջին փուլում հարձակվողը փորձել է հեռացնել Sophos-ի և Bitdefender-ի պաշտպանությունը, ջնջել համակարգի կազմաձևը վերականգնելու համար օգտագործվող՝ համակարգի վիճակի պահուստային պատճենները և գործարկել 3AM-ի՝ Rust-ով գրված կոդավորման ծրագիրը։

Ինչու է Bitdefender-ը կասկածում ԳԲ-ի կիրառմանը

Bitdefender-ի կասկածի հիմքում փոքր փոփոխություններով կրկնվող հրամաններն են և դրանց միջև մոտավորապես հավասար ընդմիջումները։ Հետազոտողների խոսքով՝ այդ վարքագիծը նման էր ավտոմատացված կրկնվող գործընթացի, երբ համակարգը հրաման է տալիս, արդյունք ստանում և դրան համապատասխան փոխում հաջորդ հրահանգը։

Հետազոտողները չեն կարողացել նույնականացնել լեզվային մոդելը կամ պարզել՝ այն աշխատել է հարձակվողի համակարգչո՞ւմ, թե՞ հեռավար, քանի որ այդ համակարգչին հասանելիություն չեն ունեցել։ Bitdefender-ը հայտնել է, որ հնարավոր է՝ մարդն է հրամաններն ու արդյունքները պատճենել ու տեղադրել վնասաբեր ծրագրի և մոդելի միջև, ուստի ինքնավար աշխատանքը չի հաստատվել։