Программа-вымогатель 3AM атаковала школы Великобритании, вероятно с помощью ИИ
Вымогатель 3AM поразил сеть школ в Великобритании: около 37 из почти 50 машин, доступных с незащищённого хоста, были зашифрованы. Исследователи Bitdefender считают, что злоумышленник, вероятно, использовал команды, сгенерированные ИИ, и автоматический агентный цикл.
Главное в цифрах
- Зашифровано машин: около 37 из почти 50 доступных
- Период вредоносной активности: с 10 по 19 сентября
- Учётные записи администратора домена: «library» и «svc_bkpmon»
- Интервал повторяющихся команд: 40-100 секунд
Вредоносная активность длилась с 10 по 19 сентября. Bitdefender выявил повторяющиеся команды, которые слегка менялись при каждой попытке и выполнялись примерно каждые 40-100 секунд. Именно этот ритм и стал основанием для предположения об участии ИИ.
Исследователи не смогли получить доступ к машине, с которой работал атакующий, поэтому не могут сказать, какая языковая модель использовалась, работала ли она локально или удалённо, и не копировал ли человек инструкции и результаты между имплантом и моделью. Они задокументировали только поведение, которое похоже на агентный цикл. Способ первоначального доступа установить не удалось.
Ход атаки
Атакующий использовал модифицированный публичный инструмент PowerShell, чтобы извлечь и расшифровать учётные данные, сохранённые на трёх серверах резервного копирования Veeam. Также он скопировал базу данных Chrome с учётными данными, применил Mimikatz и инструменты дампа памяти LSASS.
Злоумышленник создал две скрытые учётные записи администратора домена, «library» и «svc_bkpmon», и после кражи финансовых данных настроил двусторонние доверительные отношения между тремя ранее разрозненными доменами Active Directory. На финальном этапе он пытался отключить защиту Sophos и Bitdefender, удалить резервные копии состояния системы и развернуть шифратор 3AM на Rust. Шифрование удалось примерно в 37 случаях.
Контекст
Вымогатель 3AM появился в 2023 году и привлёк внимание после атаки, в которой его использовали после блокировки LockBit. Позже исследователи связали эту операцию с группировками Conti и Royal. Партнёры оператора применяли рассылку писем-бомб и поддельные звонки службы ИТ-поддержки для доступа к корпоративным сетям.
По оценке Bitdefender, как бы ни обстояло дело с ИИ в конкретной атаке, злоумышленники, судя по всему, активно экспериментируют с такими инструментами. Ранее NCSC опубликовал отчёт The State of the Cyber Nation, в котором призвал объекты критической инфраструктуры готовиться к ransomware-атакам с использованием ИИ к 2028 году.
