Un affilié du rançongiciel 3AM a ciblé un réseau scolaire au Royaume-Uni et chiffré environ 37 des près de 50 machines auxquelles il a accédé depuis un hôte non géré, selon les chercheurs en cybersécurité de Bitdefender. Les activités malveillantes se sont déroulées entre le 10 et le 19 septembre, bien que les chercheurs n’aient pas pu déterminer comment l’attaquant avait obtenu son accès initial.

Bitdefender a déclaré que l’opération avait pu impliquer des commandes générées par l’IA et une boucle agentique automatisée. Les chercheurs ont observé des commandes répétées, avec de légères modifications, à des intervalles d’environ 40 à 100 secondes. Cependant, ils n’ont pas pu accéder à la machine utilisée par l’attaquant et n’ont donc pas pu établir quel modèle de langage, le cas échéant, avait été impliqué, ni si une personne avait relayé des instructions et des résultats entre un modèle et les systèmes compromis.

Au cours de l’intrusion, l’attaquant a utilisé un outil PowerShell public modifié pour extraire et déchiffrer les identifiants stockés sur trois serveurs de sauvegarde Veeam. Il a également copié une base de données Chrome contenant des identifiants et déployé Mimikatz ainsi que des outils permettant de vider la mémoire LSASS. Après avoir cartographié les relations entre les domaines et recherché dans les dossiers de scripts d’ouverture de session des références à d’autres établissements scolaires, l’attaquant a créé deux comptes de porte dérobée disposant des privilèges d’administrateur de domaine, nommés « library » et « svc_bkpmon ».

L’attaquant a dérobé des données financières sur les machines compromises et établi des relations d’approbation bidirectionnelles entre trois domaines Active Directory auparavant séparés, élargissant ainsi son accès à l’ensemble du réseau scolaire. Lors de la phase finale, il a tenté de supprimer les protections de Sophos et de Bitdefender, d’effacer les sauvegardes de l’état du système et de déployer le chiffreur de 3AM basé sur Rust. Le chiffrement a réussi sur environ 37 machines.

Bitdefender a déclaré que l’activité ressemblait à une boucle agentique, tout en soulignant qu’il ne pouvait documenter que les comportements observés et non confirmer l’utilisation de l’IA. Ses conclusions suggèrent que des affiliés de 3AM pourraient expérimenter des outils d’IA, même si l’ampleur de leur rôle dans cette attaque reste incertaine.

Sources: BleepingComputer.