Un affiliato del ransomware 3AM ha preso di mira la rete di una scuola nel Regno Unito, cifrando circa 37 delle quasi 50 macchine raggiunte a partire da un host non gestito, secondo i ricercatori di cybersicurezza di Bitdefender. L’attività malevola si è svolta tra il 10 e il 19 settembre, anche se i ricercatori non sono riusciti a determinare come l’attaccante abbia ottenuto inizialmente l’accesso.

Bitdefender ha dichiarato che l’operazione potrebbe aver coinvolto comandi generati dall’IA e un ciclo agentico automatizzato. I ricercatori hanno osservato comandi ripetuti con piccole modifiche a intervalli di circa 40-100 secondi. Tuttavia, non sono riusciti ad accedere alla macchina usata dall’attaccante e non hanno quindi potuto stabilire quale modello linguistico, se presente, fosse coinvolto, né se una persona trasferisse istruzioni e risultati tra un modello e i sistemi compromessi.

Durante l’intrusione, l’attaccante ha utilizzato uno strumento PowerShell pubblico modificato per estrarre e decrittare le credenziali memorizzate su tre server di backup Veeam. Ha anche copiato un database di Chrome contenente credenziali e distribuito Mimikatz e strumenti per estrarre la memoria LSASS. Dopo aver mappato le relazioni tra i domini e cercato riferimenti ad altre scuole nelle cartelle degli script di accesso, l’attaccante ha creato due account di amministratore di dominio backdoor, denominati “library” e “svc_bkpmon”.

L’attaccante ha sottratto dati finanziari dalle macchine compromesse e ha configurato trust bidirezionali tra tre domini di Active Directory che in precedenza erano separati, ampliando l’accesso all’intera rete scolastica. Nella fase finale, ha cercato di rimuovere le protezioni di Sophos e Bitdefender, eliminare i backup dello stato del sistema e distribuire il cifratore basato su Rust di 3AM. La cifratura è riuscita su circa 37 macchine.

Bitdefender ha affermato che l’attività è simile a un ciclo agentico, ma ha sottolineato di poter documentare soltanto il comportamento osservato, senza confermare l’uso dell’IA. Le sue conclusioni suggeriscono che gli affiliati di 3AM potrebbero stare sperimentando strumenti di IA, anche se la portata del loro ruolo in questo attacco resta poco chiara.

Fonti: BleepingComputer.