Ransomware 3AM w brytyjskich szkołach. Część ataku prowadził model AI

Co się stało w brytyjskich szkołach

Ofiarą była grupa szkół w Wielkiej Brytanii, której sieć składała się z 47 systemów. Około 21 z nich to serwery, w tym 8 kontrolerów domeny, czyli serwerów przechowujących konta użytkowników i obsługujących logowanie. Dziesięć stacji roboczych działało jeszcze na Windows 10, który stracił wsparcie w październiku 2025 roku, a jeden kontroler domeny na Windows Server 2012 R2. Bitdefender nie podał nazwy placówki ani regionu.

Na początku września napastnik ukradł hasła zapisane w trzech serwerach kopii zapasowych Veeam i w przeglądarce Chrome. Potem utworzył dwa ukryte konta administratorów o nazwach dobranych tak, aby nie wyróżniały się w szkolnej sieci, i połączył relacjami zaufania trzy wcześniej oddzielne domeny Active Directory. Wyniósł też dane finansowe. Na koniec próbował wyłączyć ochronę Sophos i Bitdefender, usunąć kopie stanu systemu i uruchomić program szyfrujący 3AM napisany w języku Rust. Szyfrowanie powiodło się na ok. 37 komputerach.

Bitdefender nie ustalił, jak napastnik dostał się do sieci. Wszystkie jego działania wychodziły z komputera w sieci wewnętrznej, na którym nie było agenta bezpieczeństwa, dlatego badacze widzieli tylko skutki poleceń, a nie samą maszynę.

Skąd wiadomo, że pomagał model AI

Bitdefender rozdziela trzy twierdzenia i każdemu przypisuje inną siłę dowodu. Tezę, że polecenia napisał model językowy, uznaje za mocno popartą. W poleceniach były błędy typowe dla pisania z pamięci, np. odwołanie do interfejsu Veeam na niewłaściwym porcie i z niezgodną z dokumentacją metodą logowania, a także pliki potwierdzające, opisane etykietami wyniki i numerowane wersje tego samego skryptu.

Drugie twierdzenie, że pętla agentowa sama wybierała kolejne kroki, firma ocenia ostrożniej. Pętla agentowa to program, który przekazuje wynik każdego polecenia modelowi i wykonuje to, co model odpowie. 13 września napastnik uruchomił polecenie, powtórzył je bez zmian po 41 sekundach, zmienił jeden element po kolejnych 49 sekundach, a po 47 sekundach przepisał wszystko na inne narzędzie. Całkowite przepisanie zajęło tyle samo czasu co drobna poprawka, a człowiek piszący ręcznie potrzebowałby wyraźnie więcej.

Trzeciego twierdzenia, że w ataku nie brał udziału człowiek, Bitdefender nie popiera. Przerwy między kolejnymi zadaniami wynosiły 2-16 minut, co odpowiada tempu osoby czytającej wyniki i decydującej, co dalej. Badacze nie wykluczają też, że człowiek ręcznie kopiował polecenia między terminalem a oknem czatu.

• Model wygenerował polecenia - według Bitdefender mocno poparte treścią poleceń.
• Pętla agentowa wybierała kolejne próby - zachowanie na to wskazuje, ale ręcznego kopiowania nie da się wykluczyć.
• Brak udziału człowieka - niepoparte, dane z systemów ochrony nic o tym nie mówią.

Dlaczego ten przypadek jest ważny i gdzie są granice

Badacze nazywają ten atak hybrydowym. Człowiek wyznacza cel i wybiera kolejne etapy, a model wykonuje żmudną, mechaniczną pracę, np. konfigurację relacji zaufania między domenami, która wymaga wielu prób i czytania komunikatów o błędach. Bitdefender ocenia, że taki podział ma dla przestępców sens ekonomiczny i spodziewa się częstszych ataków tego typu w 2027 roku. Martin Zugec z Bitdefender powiedział Dark Reading, że model hybrydowy jest dla przestępców motywowanych finansowo rozsądniejszy niż w pełni autonomiczny atak.

Firma studzi też alarmistyczne odczytania. Atak nie był szybki, bo nawet najkrótsze ponowienia trwały 40 sekund lub dłużej. Większość incydentów badanych przez zespół Bitdefender MDR nadal wygląda tak jak przed erą modeli językowych, a złośliwe oprogramowanie w całości napisane przez AI stanowi ok. 0,07 proc. próbek zbieranych co miesiąc. Dark Reading zwraca uwagę, że raport nie pokazuje umiejętności, których napastnik nie miałby bez AI. Model przyspieszył mu rutynową pracę.

Raport ukazał się tego samego dnia, w którym brytyjskie NCSC ostrzegło infrastrukturę krytyczną przed atakami z użyciem AI do 2028 roku. To zbieżność dat, a nie dowód, że prognoza już się spełnia. Jeden udokumentowany przypadek pokazuje jednak, że metoda działa w zwykłym scenariuszu ransomware.

Jak zabezpieczyć szkołę lub firmę

Najważniejszy wniosek jest praktyczny. Pętla agentowa nie czyni ataku cichszym, tylko bardziej powtarzalnym, bo zostawia serie niemal identycznych poleceń, ponumerowane skrypty i pliki testowe. Bitdefender radzi jednak nie polegać na tym, że obrona zdąży zauważyć hałas, i stawiać na zabezpieczenia, które blokują daną czynność za pierwszym i za setnym razem. Zalecenia są ogólne i przydadzą się każdej organizacji z kilkoma domenami lub oddziałami, także polskim szkołom, samorządom i firmom.

• Rozdziel konta administratorów poszczególnych domen i nie przechowuj uprawnień do kilku domen w jednym miejscu. Każda nowa relacja zaufania i każde nowe konto administratora domeny powinny przechodzić przez kontrolę zmian i wywoływać alert.
• Traktuj kopie zapasowe jako cel ataku. Odseparuj serwery kopii, ogranicz konta kopii do jednej domeny i trzymaj niezmienialne kopie, których żadne konto domenowe nie może usunąć.
• Ogranicz zdalne wykonywanie poleceń i udziały administracyjne do znanych komputerów zarządzających.
• Zablokuj interpretery i powłoki na komputerach, które ich nie potrzebują.
• Zainstaluj agenta bezpieczeństwa na każdym komputerze. W tym ataku cała aktywność wychodziła z maszyny bez ochrony.
• Wymień systemy bez wsparcia producenta, takie jak Windows 10 i Windows Server 2012 R2.

Co z tego wynika dla Polski

Bitdefender nie łączy ataku z Polską, ale scenariusz pasuje do wielu polskich placówek. Szkoły i jednostki samorządu często mają kilka osobnych domen, nieliczny zespół IT, starsze serwery i kopie zapasowe zarządzane tymi samymi kontami co reszta sieci. W naszej ocenie to właśnie ten typ infrastruktury najbardziej zyska na zaleceniach z raportu, bo nie wymagają one zakupu nowych narzędzi AI, tylko porządku w uprawnieniach i kopiach.

Incydent ransomware w Polsce warto zgłosić do CERT Polska przez formularz na stronie incydent.cert.pl. Jeśli napastnik mógł uzyskać dostęp do danych osobowych uczniów, rodziców lub pracowników, administrator danych ma co do zasady 72 godziny na zgłoszenie naruszenia do UODO, zgodnie z art. 33 RODO. Raport nie zawiera porad prawnych, a szczegółowe obowiązki zależą od rodzaju placówki i skali naruszenia.

Czego nadal nie wiadomo

Nie wiadomo, jakiego modelu użył napastnik, czy był to model komercyjny, czy uruchomiony lokalnie, ani czy pętla działała automatycznie. Nie ma informacji o żądanym okupie, o tym, czy szkoły go zapłaciły, ani jakie dane finansowe zostały wyniesione. Bitdefender nie ustalił także sposobu wejścia do sieci i nie łączy jednoznacznie z atakiem wcześniejszych zdarzeń ze stycznia i czerwca 2026 roku.

Opis ataku pochodzi od jednej firmy bezpieczeństwa, która chroniła część komputerów ofiary. BleepingComputer i Dark Reading relacjonują jej ustalenia, ale nie przeprowadziły własnej analizy. Bitdefender sam przedstawia tezę o ataku hybrydowym jako model roboczy dla obrońców, a nie ustalony fakt.