Un afiliado del ransomware 3AM atacó una red de escuelas del Reino Unido y cifró alrededor de 37 de las casi 50 máquinas a las que accedió desde un equipo no gestionado, según investigadores de ciberseguridad de Bitdefender. La actividad maliciosa tuvo lugar entre el 10 y el 19 de septiembre, aunque los investigadores no pudieron determinar cómo obtuvo acceso el atacante por primera vez.
Bitdefender afirmó que la operación podría haber implicado comandos generados por IA y un ciclo automatizado de tipo agéntico. Los investigadores observaron que se repetían comandos con pequeñas variaciones a intervalos de entre 40 y 100 segundos, aproximadamente. Sin embargo, no pudieron acceder al equipo utilizado por el atacante y, por lo tanto, no pudieron establecer qué modelo de lenguaje, si es que alguno, estuvo implicado, ni si una persona transmitía instrucciones y resultados entre un modelo y los sistemas comprometidos.
Durante la intrusión, el atacante utilizó una herramienta pública de PowerShell modificada para extraer y descifrar las credenciales almacenadas en tres servidores de copia de seguridad de Veeam. También copió una base de datos de Chrome que contenía credenciales e implementó Mimikatz y herramientas para volcar la memoria de LSASS. Después de mapear las relaciones entre dominios y buscar referencias a otras escuelas en las carpetas de scripts de inicio de sesión, el atacante creó dos cuentas de administrador de dominio con puertas traseras, llamadas “library” y “svc_bkpmon”.
El atacante robó datos financieros de las máquinas comprometidas y configuró relaciones de confianza bidireccionales entre tres dominios de Active Directory que antes estaban separados, ampliando el acceso a toda la red de escuelas. En la fase final, intentó eliminar las protecciones de Sophos y Bitdefender, borrar las copias de seguridad del estado del sistema e implementar el cifrador de 3AM basado en Rust. El cifrado se completó en unas 37 máquinas.
Bitdefender afirmó que la actividad se asemeja a un ciclo agéntico, pero recalcó que solo podía documentar el comportamiento observado, no confirmar el uso de IA. Sus hallazgos sugieren que los afiliados de 3AM podrían estar experimentando con herramientas de IA, aunque sigue sin estar claro hasta qué punto participaron en este ataque.
Fuentes: BleepingComputer.