Um afiliado do ransomware 3AM atacou uma rede escolar no Reino Unido, criptografando cerca de 37 das quase 50 máquinas que alcançou a partir de um host não gerenciado, segundo pesquisadores de cibersegurança da Bitdefender. A atividade maliciosa ocorreu entre 10 e 19 de setembro, embora os pesquisadores não tenham conseguido determinar como o invasor obteve acesso inicial.
A Bitdefender afirmou que a operação pode ter envolvido comandos gerados por IA e um ciclo automatizado com agente. Os pesquisadores observaram comandos repetidos com pequenas alterações em intervalos de aproximadamente 40 a 100 segundos. No entanto, não conseguiram acessar a máquina usada pelo invasor e, portanto, não puderam identificar qual modelo de linguagem, se algum, foi envolvido, nem se uma pessoa retransmitia instruções e resultados entre um modelo e os sistemas comprometidos.
Durante a intrusão, o invasor usou uma ferramenta pública modificada do PowerShell para extrair e descriptografar credenciais armazenadas em três servidores de backup Veeam. Também copiou um banco de dados do Chrome contendo credenciais e implantou o Mimikatz e ferramentas para despejar a memória do LSASS. Depois de mapear as relações entre domínios e procurar referências a outras escolas em pastas de scripts de logon, o invasor criou duas contas de administrador de domínio com acesso de backdoor, chamadas “library” e “svc_bkpmon”.
O invasor roubou dados financeiros das máquinas comprometidas e configurou relações de confiança bidirecionais entre três domínios do Active Directory que antes eram separados, ampliando o acesso a toda a rede escolar. Na fase final, tentou remover as proteções da Sophos e da Bitdefender, excluir backups do estado do sistema e implantar o criptografador do 3AM baseado em Rust. A criptografia foi concluída em cerca de 37 máquinas.
A Bitdefender afirmou que a atividade se assemelha a um ciclo com agente, mas ressaltou que só conseguiu documentar o comportamento observado, sem confirmar o uso de IA. As conclusões sugerem que afiliados do 3AM podem estar experimentando ferramentas de IA, embora ainda não esteja claro até que ponto elas foram usadas nesse ataque.
Fontes: BleepingComputer.