Soupçon d'utilisation de l'automatisation intelligente
Un membre du groupe de ransomware 3AM a ciblé un groupe d'écoles au Royaume-Uni, entraînant le chiffrement d'environ 37 appareils sur 50 accessibles via un hôte non géré. Ce qui inquiète dans cette attaque, c'est ce que les chercheurs de Bitdefender ont révélé concernant la possibilité que les attaquants utilisent des commandes générées par l'intelligence artificielle et ce que l'on appelle une "boucle d'agent" (Agentic Loop) pour exécuter l'opération.
Les chercheurs ont fondé leur conclusion sur l'observation d'une série de commandes répétitives qui étaient légèrement modifiées à chaque tentative, et émises à intervalles réguliers allant de 40 à 100 secondes, un comportement qui indique la présence d'un processus d'automatisation intelligent tentant de s'adapter automatiquement à l'environnement cible.
Détails techniques de l'attaque
L'attaquant a suivi un parcours technique complexe pour assurer un contrôle total et étendre la portée de l'intrusion, incluant les étapes suivantes :
- Utilisation d'un outil PowerShell modifié pour extraire et chiffrer les identifiants de trois serveurs de sauvegarde Veeam.
- Copie des bases de données du navigateur Chrome contenant des identifiants stockés.
- Déploiement d'outils tels que Mimikatz et de techniques de vidage de mémoire LSASS pour voler des identités numériques à partir de la mémoire.
- Extension de la portée par la création de comptes administrateurs (Domain Administrator) avec des noms tels que "library" et "svc_bkpmon".
- Configuration de relations de confiance bidirectionnelles entre des domaines Active Directory précédemment séparés pour accroître la capacité de mouvement latéral au sein du réseau.
Dans la phase finale, l'attaquant a tenté de désactiver des logiciels de protection tels que Sophos et Bitdefender et de supprimer les sauvegardes du système avant de déployer le chiffreur 3AM basé sur le langage Rust.
Qu'est-ce que cette attaque change réellement ?
Cet incident représente un changement qualitatif dans les stratégies des groupes de ransomware ; au lieu de dépendre entièrement de l'intervention humaine à chaque étape, l'utilisation de "boucles d'agent" indique une tendance croissante vers l'automatisation des cyberattaques à l'aide de l'intelligence artificielle. Cette évolution signifie que les attaques pourraient devenir plus rapides, plus furtives et moins dépendantes des compétences manuelles de l'attaquant lors des phases de reconnaissance et de mouvement latéral.
Cela survient à un moment où le Centre national de cybersécurité (NCSC) du Royaume-Uni a averti, dans son dernier rapport, de la nécessité pour les infrastructures critiques de se préparer à faire face aux attaques par ransomware assistées par l'intelligence artificielle prévues d'ici 2028.