Атака с ransomware групата 3AM засегна училищна инфраструктура във Великобритания, като нападателите криптираха около 37 от близо 50 достигнати устройства. Bitdefender допуска използване на генерирани от ИИ команди и автоматизиран агентен цикъл, но подчертава, че не разполага с доказателства за конкретния модел или начина му на работа.
Партньор на ransomware групата 3AM е атакувал училищна инфраструктура във Великобритания, като е успял да криптира приблизително 37 компютъра от близо 50, до които е достигнал чрез неуправляван хост.
Според анализ на Bitdefender нападателят може да е използвал команди, генерирани от изкуствен интелект (ИИ), и автоматизиран агентен цикъл за изпълнение на действията. Изводът се основава на повтаряща се последователност от команди, които са били леко променяни при всеки опит и изпълнявани през сравнително регулярни интервали от 40 до 100 секунди.
Изследователите обаче не са успели да получат достъп до машината, от която е работил нападателят. Поради това не могат да установят кой езиков модел е използван, дали е работил локално или отдалечено, или дали човек е копирал ръчно инструкции и резултати между зловредния инструмент и модела.
Bitdefender уточнява, че може да документира поведението, но не и да потвърди самия ИИ механизъм. Наблюдаваната активност наподобява агентен цикъл – модел, при който система изпълнява команда, анализира резултата и използва получената информация за следващото действие.
Продължителна атака срещу няколко училищни домейна
Злонамерената активност е продължила между 10 и 19 септември. Bitdefender не е установил първоначалния вектор на проникване.
След получаване на достъп нападателят използвал модифициран публично достъпен PowerShell инструмент, за да извлече и декриптира съхранявани идентификационни данни от три Veeam сървъра за резервни копия.
Освен това е копирана база данни на Chrome, съдържаща удостоверителни данни. Използвани са Mimikatz и инструменти за извличане на информация от паметта на процеса LSASS – техники, които могат да позволят събиране на пароли и други идентификационни данни.
Нападателят картографирал отношенията между домейните и претърсвал папки със скриптове за влизане, за да открие препратки към други училища. В хода на атаката били създадени два скрити домейн администраторски акаунта с имената library и svc_bkpmon.
След извличане на финансови данни от компрометираните системи нападателят конфигурирал двупосочни доверителни отношения между три Active Directory домейна, които преди това били отделни. Това позволило разширяване на достъпа между различни части от инфраструктурата.
Изключване на защитите и криптиране
В заключителния етап нападателят се опитал да премахне защитните решения Sophos и Bitdefender от достъпните устройства, да изтрие резервни копия на системното състояние и да внедри криптиращия компонент на 3AM.
Зловредният криптор е написан на Rust. Според Bitdefender операцията е довела до успешно криптиране на около 37 устройства.
Атаката показва значението на защитата на системите за резервно копиране и удостоверителните данни. Компрометирането на Veeam сървъри, извличането на пароли и създаването на допълнителни администраторски акаунти могат да позволят на нападателите да се придвижват между системи и да затруднят възстановяването след инцидент.
3AM и възможните експерименти с ИИ
Ransomware операцията 3AM се появи през 2023 г. и привлече внимание, след като нападател внедри нейния криптор, когато опитът за атака с LockBit беше блокиран.
По-късно изследователи свързаха операцията с ransomware групите Conti и Royal. Партньори на 3AM са наблюдавани да използват email bombing и фалшиви обаждания от ИТ поддръжка, за да получат достъп до корпоративни мрежи.
Сред известните жертви е Kootenai Health. При атака през август 2024 г. е била изложена лична информация на над 464 000 пациенти.
Bitdefender отбелязва, че независимо от действителната степен на използване на ИИ в тази операция, наблюдаваното поведение подсказва активни експерименти с подобни инструменти от страна на нападателите.
Същевременно автоматизацията не означава непременно автономна атака. Редовното изпълнение на леко променени команди може да е съвместимо с агентен цикъл, но и с други автоматизирани сценарии или човешко управление. Без достъп до работната машина на нападателя участието на ИИ остава обоснована хипотеза, а не доказан факт.
Великобритания предупреждава за ransomware с ИИ
Случаят идва на фона на публикувания от британския Национален център за киберсигурност (NCSC) доклад „The State of the Cyber Nation“. В него организацията призовава критичната инфраструктура да се подготви за ransomware атаки с ИИ до 2028 г.
Инцидентът с училищната инфраструктура подчертава риска от съчетаването на традиционни техники – кражба на идентификационни данни, злоупотреба с административни права и компрометиране на резервни копия – с потенциална автоматизация на командите и действията.
