Britisches Schulnetzwerk um 3 Uhr morgens bei mutmaßlich KI-gestütztem Angriff von Ransomware getroffen

Ein Affiliate der Ransomware 3AM griff einen Schulverbund im Vereinigten Königreich an und verschlüsselte rund 37 von fast 50 Rechnern, auf die er von einem nicht verwalteten Host aus zugreifen konnte, wie Cybersicherheitsforscher von Bitdefender berichten. Die böswilligen Aktivitäten fanden zwischen dem 10. und 19. September statt, obwohl die Forschenden nicht ermitteln konnten, wie der Angreifer erstmals Zugriff erlangte.

Bitdefender zufolge könnte der Angriff KI-generierte Befehle und eine automatisierte agentische Schleife umfasst haben. Die Forschenden beobachteten, dass Befehle mit geringfügigen Änderungen in Abständen von ungefähr 40 bis 100 Sekunden wiederholt wurden. Sie konnten jedoch nicht auf den vom Angreifer verwendeten Rechner zugreifen und daher weder feststellen, welches Sprachmodell gegebenenfalls zum Einsatz kam, noch ob eine Person Anweisungen und Ergebnisse zwischen einem Modell und den kompromittierten Systemen weiterleitete.

Während des Eindringens verwendete der Angreifer ein modifiziertes öffentlich verfügbares PowerShell-Tool, um auf drei Veeam-Backupservern gespeicherte Zugangsdaten zu extrahieren und zu entschlüsseln. Außerdem kopierte er eine Chrome-Datenbank mit Zugangsdaten und setzte Mimikatz sowie Tools zum Auslesen des LSASS-Speichers ein. Nachdem der Angreifer die Beziehungen zwischen den Domänen erfasst und in Ordnern mit Anmeldeskripten nach Verweisen auf andere Schulen gesucht hatte, legte er zwei Hintertür-Konten mit Domänenadministratorrechten an: „library“ und „svc_bkpmon“.

Der Angreifer stahl Finanzdaten von kompromittierten Rechnern und richtete Zwei-Wege-Vertrauensstellungen zwischen drei Active-Directory-Domänen ein, die zuvor voneinander getrennt gewesen waren. Dadurch weitete er seinen Zugriff auf den Schulverbund aus. In der letzten Phase versuchte er, den Schutz durch Sophos und Bitdefender zu entfernen, Systemsicherungen zu löschen und den auf Rust basierenden Verschlüsseler von 3AM einzusetzen. Auf rund 37 Rechnern war die Verschlüsselung erfolgreich.

Bitdefender erklärte, die Aktivitäten ähnelten einer agentischen Schleife, betonte jedoch, dass das Unternehmen lediglich das beobachtete Verhalten dokumentieren könne und den Einsatz von KI nicht bestätigen könne. Die Erkenntnisse deuten darauf hin, dass Affiliates von 3AM möglicherweise mit KI-Tools experimentieren; in welchem Umfang diese bei diesem Angriff zum Einsatz kamen, bleibt jedoch unklar.

Quellen: BleepingComputer.