インテリジェントなオートメーションの使用に関する疑い
ランサムウェアグループ3AMの一員が英国の一連の学校を標的にし、管理されていないホストを介してアクセスされた50台のデバイスのうち、約37台が暗号化された。この攻撃において懸念されるのは、Bitdefenderの研究者が、攻撃者が操作を実行するためにAIによって生成されたコマンドや、いわゆる「エージェンティック・ループ（Agentic Loop）」を使用した可能性を明らかにしたことである。
研究者らは、試行ごとにわずかに修正され、40秒から100秒の間隔で定期的に発行される一連の繰り返されるコマンドを監視したことに基づいてこの結論を導き出した。これは、標的となる環境に自動的に適応しようとするインテリジェントなオートメーションプロセスの存在を示す挙動である。
攻撃の技術的詳細
攻撃者は、完全な制御を確保し、侵害の範囲を拡大するために、以下のステップを含む複雑な技術的経路を辿った：
- Veeamの3つのバックアップサーバーから資格情報を抽出および暗号化するために、カスタマイズされたPowerShellツールを使用。
- 保存された資格情報を含むChromeブラウザのデータベースをコピー。
- メモリからデジタルアイデンティティを盗むために、MimikatzなどのツールやLSASSメモリダンプ技術を展開。
- 「library」や「svc_bkpmon」といった名前の管理者アカウント（Domain Administrator）を作成することで、権限を拡大。
- ネットワーク内での横展開の能力を高めるため、以前は分離されていたActive Directoryドメイン間に双方向の信頼関係を構成。
最終段階では、攻撃者はRust言語ベースの3AM暗号化プログラムを展開する前に、SophosやBitdefenderなどの保護ソフトウェアを無効化し、システムのバックアップを削除しようとした。
この攻撃が実際に何を変えるのか？
この事件は、ランサムウェアグループの戦略における質的な転換を象徴している。各ステップで完全に人間の介入に頼るのではなく、「エージェンティック・ループ」の使用は、AIを用いたサイバー攻撃のオートメーション化への傾向が高まっていることを示している。この進化は、偵察や横展開の段階において、攻撃がより迅速になり、隠蔽能力が高まり、攻撃者の手動のスキルへの依存が低くなる可能性があることを意味する。
これは、英国の国家サイバーセキュリティセンター（NCSC）が最新の報告書を通じて、2028年までに予想されるAI支援型のランサムウェア攻撃に備えて、重要インフラを準備する必要があると警告している時期と重なる。