Sospecha de uso de automatización inteligente
Un miembro de la banda de ransomware 3AM atacó a un grupo de escuelas en el Reino Unido, lo que resultó en el cifrado de aproximadamente 37 de los 50 dispositivos a los que se accedió a través de un host no gestionado. Lo que preocupa en este ataque es lo que revelaron los investigadores de la empresa Bitdefender sobre la posibilidad de que los atacantes utilizaran comandos generados por inteligencia artificial y lo que se conoce como "bucle agente" (Agentic Loop) para ejecutar la operación.
Los investigadores basaron su conclusión en la observación de una serie de comandos repetitivos que se modificaban ligeramente en cada intento y se emitían a intervalos regulares de entre 40 y 100 segundos, un comportamiento que indica la presencia de un proceso de automatización inteligente que intenta adaptarse al entorno objetivo de forma automática.
Detalles técnicos del ataque
El atacante siguió una ruta técnica compleja para garantizar el control total y ampliar el alcance de la intrusión, que incluyó los siguientes pasos:
- Uso de una herramienta PowerShell modificada para extraer y cifrar credenciales de tres servidores de respaldo de Veeam.
- Copia de bases de datos del navegador Chrome que contenían credenciales almacenadas.
- Despliegue de herramientas como Mimikatz y técnicas de volcado de memoria LSASS para robar identidades digitales de la memoria.
- Ampliación del alcance mediante la creación de cuentas de administrador (Domain Administrator) con nombres como "library" y "svc_bkpmon".
- Configuración de relaciones de confianza bidireccionales entre dominios de Active Directory que anteriormente estaban separados para aumentar la capacidad de movimiento lateral dentro de la red.
En la etapa final, el atacante intentó desactivar programas de protección como Sophos y Bitdefender y eliminar las copias de seguridad del sistema antes de desplegar el cifrador 3AM basado en el lenguaje Rust.
¿Qué cambia realmente este ataque?
Este incidente representa un cambio cualitativo en las estrategias de los grupos de ransomware; en lugar de depender totalmente de la intervención humana en cada paso, el uso de "bucles agente" indica una tendencia creciente hacia la automatización de ciberataques mediante inteligencia artificial. Esta evolución significa que los ataques podrían volverse más rápidos, más capaces de ocultarse y menos dependientes de la habilidad manual del atacante en las etapas de reconocimiento y movimiento lateral.
Esto ocurre en un momento en que el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido, a través de su último informe, advirtió sobre la necesidad de que la infraestructura crítica se prepare para enfrentar ataques de ransomware respaldados por inteligencia artificial previstos para el año 2028.