Suspeita de uso de automação inteligente
Um membro da gangue de ransomware 3AM visou um grupo de escolas no Reino Unido, resultando na criptografia de cerca de 37 de 50 dispositivos acessados por meio de um host não gerenciado. O que causa preocupação neste ataque é o que os pesquisadores da Bitdefender revelaram sobre a possibilidade de os atacantes terem usado comandos gerados por inteligência artificial e o chamado "loop de agente" (Agentic Loop) para executar a operação.
Os pesquisadores basearam sua conclusão na observação de uma série de comandos repetitivos que eram ligeiramente modificados a cada tentativa e emitidos em intervalos regulares entre 40 e 100 segundos, um comportamento que indica a presença de um processo de automação inteligente que tenta se adaptar ao ambiente alvo de forma automática.
Detalhes técnicos do ataque
O atacante seguiu um caminho técnico complexo para garantir o controle total e expandir o escopo da invasão, incluindo as seguintes etapas:
- Uso de uma ferramenta PowerShell modificada para extrair e criptografar credenciais de três servidores de backup da Veeam.
- Cópia de bancos de dados do navegador Chrome que continham credenciais armazenadas.
- Implantação de ferramentas como Mimikatz e técnicas de despejo de memória LSASS para roubar identidades digitais da memória.
- Expansão do escopo por meio da criação de contas de administrador (Domain Administrator) com nomes como "library" e "svc_bkpmon".
- Configuração de relações de confiança bidirecionais entre domínios do Active Directory que antes eram separados para aumentar a capacidade de movimento lateral dentro da rede.
Na fase final, o atacante tentou desativar softwares de proteção como Sophos e Bitdefender e excluir backups do sistema antes de implantar o criptografador 3AM baseado na linguagem Rust.
O que este ataque realmente muda?
Este incidente representa uma mudança qualitativa nas estratégias dos grupos de ransomware; em vez de depender totalmente da intervenção humana em cada etapa, o uso de "loops de agente" aponta para uma tendência crescente em direção à automação de ataques cibernéticos usando inteligência artificial. Esse desenvolvimento significa que os ataques podem se tornar mais rápidos, mais capazes de se esconder e menos dependentes da habilidade manual do atacante nas fases de reconhecimento e movimento lateral.
Isso ocorre em um momento em que o Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido, por meio de seu relatório mais recente, alertou sobre a necessidade de a infraestrutura crítica estar preparada para enfrentar ataques de ransomware apoiados por inteligência artificial previstos para 2028.