Verdacht auf Einsatz intelligenter Automatisierung
Ein Mitglied der Ransomware-Gruppe 3AM hat eine Gruppe von Schulen im Vereinigten Königreich angegriffen, was zur Verschlüsselung von etwa 37 von 50 Geräten führte, auf die über einen nicht verwalteten Host zugegriffen wurde. Besorgniserregend an diesem Angriff ist das, was Forscher von Bitdefender über die mögliche Verwendung von KI-generierten Befehlen und dem sogenannten „Agentic Loop“ zur Durchführung der Operation enthüllten.
Die Forscher stützten ihre Schlussfolgerung auf die Beobachtung einer Serie wiederholter Befehle, die bei jedem Versuch leicht modifiziert wurden und in regelmäßigen Abständen von 40 bis 100 Sekunden ausgegeben wurden – ein Verhalten, das auf einen intelligenten Automatisierungsprozess hindeutet, der versucht, sich automatisch an die Zielumgebung anzupassen.
Technische Details des Angriffs
Der Angreifer folgte einem komplexen technischen Pfad, um die vollständige Kontrolle zu gewährleisten und das Ausmaß der Kompromittierung zu erweitern, was die folgenden Schritte umfasste:
- Verwendung eines modifizierten PowerShell-Tools zum Extrahieren und Verschlüsseln von Anmeldedaten von drei Backup-Servern von Veeam.
- Kopieren von Chrome-Browserdatenbanken, die gespeicherte Anmeldedaten enthalten.
- Einsatz von Tools wie Mimikatz und LSASS-Memory-Dumping-Techniken, um digitale Identitäten aus dem Speicher zu stehlen.
- Ausweitung des Zugriffs durch Erstellung von Administrator-Konten (Domain Administrator) mit Namen wie „library“ und „svc_bkpmon“.
- Konfiguration von bidirektionalen Vertrauensstellungen zwischen zuvor getrennten Active Directory-Domänen, um die Fähigkeit zur lateralen Bewegung innerhalb des Netzwerks zu erhöhen.
In der Endphase versuchte der Angreifer, Schutzprogramme wie Sophos und Bitdefender zu deaktivieren und Systembackups zu löschen, bevor der auf Rust basierende 3AM-Encryptor bereitgestellt wurde.
Was verändert dieser Angriff tatsächlich?
Dieser Vorfall stellt einen qualitativen Wandel in den Strategien von Ransomware-Gruppen dar; anstatt sich bei jedem Schritt vollständig auf menschliche Eingriffe zu verlassen, deutet die Verwendung von „Agentic Loops“ auf einen zunehmenden Trend zur Automatisierung von Cyberangriffen mittels künstlicher Intelligenz hin. Diese Entwicklung bedeutet, dass Angriffe schneller, schwerer zu entdecken und weniger abhängig von den manuellen Fähigkeiten des Angreifers in den Phasen der Aufklärung und der lateralen Bewegung werden könnten.
Dies geschieht zu einer Zeit, in der das National Cyber Security Centre (NCSC) im Vereinigten Königreich in seinem jüngsten Bericht davor warnt, dass kritische Infrastrukturen sich auf KI-gestützte Ransomware-Angriffe vorbereiten müssen, die bis 2028 erwartet werden.