Un centro escolar del Reino Unido, afectado por el ransomware 3AM en un ataque con posible asistencia de IA

Un afiliado del ransomware 3AM cifró alrededor de 37 de casi 50 equipos a los que accedió desde un equipo no administrado en un centro escolar del Reino Unido, según investigadores de la empresa de ciberseguridad Bitdefender.

Bitdefender afirma que el atacante podría haber usado comandos generados por IA y un ciclo automatizado de agentes. Los investigadores observaron comandos repetidos, modificados ligeramente en cada intento y enviados con intervalos aproximados de 40 a 100 segundos. No pudieron acceder al equipo usado por el atacante, así que no pudieron determinar qué modelo de lenguaje, si alguno, intervino, dónde se ejecutó ni si una persona transfirió manualmente las instrucciones y los resultados.

La actividad tuvo lugar entre el 10 y el 19 de septiembre. Bitdefender no pudo determinar cómo obtuvo acceso inicial el atacante. El afiliado utilizó una herramienta pública de PowerShell modificada para extraer y descifrar credenciales de tres servidores de copia de seguridad de Veeam, copió una base de datos de Chrome con credenciales e implementó Mimikatz y herramientas para volcar la memoria de LSASS.

Tras mapear las relaciones entre dominios y buscar referencias a otros centros escolares en carpetas de scripts de inicio de sesión, el atacante creó dos cuentas de administrador de dominio de puerta trasera llamadas «library» y «svc_bkpmon». El afiliado robó datos financieros y configuró relaciones de confianza bidireccionales entre tres dominios de Active Directory que antes estaban separados para ampliar su acceso.

En la fase final del ataque, el atacante intentó eliminar la protección de Sophos y Bitdefender, borrar copias de seguridad del estado del sistema y desplegar el cifrador de 3AM basado en Rust. Bitdefender afirma que el cifrado tuvo éxito en alrededor de 37 equipos. Las observaciones apuntan a una posible participación de IA, pero no demuestran que se utilizara.