En 3AM-affilierad aktör krypterade omkring 37 av nästan 50 datorer som den nådde från en ohanterad värddator vid ett skolområde i Storbritannien, enligt forskare vid cybersäkerhetsföretaget Bitdefender.
Bitdefender säger att angriparen kan ha använt AI-genererade kommandon och en automatiserad agentloop. Forskarna såg upprepade kommandon som ändrades något vid varje försök och skickades med ungefär 40 till 100 sekunders mellanrum. De kunde inte komma åt datorn som angriparen använde och kunde därför inte fastställa vilken språkmodell, om någon, som var inblandad, var den kördes eller om en person överförde instruktioner och resultat manuellt.
Aktiviteten pågick mellan den 10 och 19 september. Bitdefender kunde inte fastställa hur angriparen först fick åtkomst. Den affilierade aktören använde ett modifierat offentligt PowerShell-verktyg för att extrahera och dekryptera inloggningsuppgifter från tre Veeam-backupservrar, kopierade en Chrome-databas med inloggningsuppgifter och använde Mimikatz och verktyg för att dumpa LSASS-minne.
Efter att ha kartlagt domänrelationer och sökt i mappar med inloggningsskript efter hänvisningar till andra skolor skapade angriparen två bakdörrskonton för domänadministratörer med namnen ”library” och ”svc_bkpmon”. Aktören stal finansiella uppgifter och konfigurerade tvåvägsförtroenden mellan tre tidigare separata Active Directory-domäner för att utöka sin åtkomst.
I attackens sista steg försökte angriparen ta bort skydd från Sophos och Bitdefender, radera säkerhetskopior av systemtillstånd och installera 3AM:s Rust-baserade krypteringsprogram. Bitdefender uppger att krypteringen lyckades på omkring 37 datorer. Observationerna tyder på möjlig AI-användning, men visar inte att AI användes.
Kommentarer
0Inga kommentarer ännu. Skriv den första.