Подозрение на использование интеллектуальной автоматизации
Один из участников группировки программы-вымогателя 3AM нацелился на группу школ в Великобритании, что привело к шифрованию около 37 из 50 устройств, к которым был получен доступ через неуправляемый хост. Особую тревогу в этой атаке вызывает то, что исследователи компании Bitdefender обнаружили вероятность использования злоумышленниками команд, генерируемых искусственным интеллектом, и так называемого «агентного цикла» (Agentic Loop) для выполнения операции.
Исследователи основывали свои выводы на наблюдении за серией повторяющихся команд, которые незначительно изменялись при каждой попытке и выдавались через регулярные интервалы времени от 40 до 100 секунд. Такое поведение указывает на наличие процесса интеллектуальной автоматизации, который пытается автоматически адаптироваться к целевой среде.
Технические детали атаки
Злоумышленник следовал сложному техническому пути для обеспечения полного контроля и расширения масштаба взлома, который включал следующие шаги:
- Использование модифицированного инструмента PowerShell для извлечения и шифрования учетных данных с трех серверов резервного копирования Veeam.
- Копирование баз данных браузера Chrome, содержащих сохраненные учетные данные.
- Развертывание таких инструментов, как Mimikatz, и методов дампа памяти LSASS для кражи цифровых идентификаторов из памяти.
- Расширение масштаба путем создания учетных записей администраторов (Domain Administrator) с именами, такими как "library" и "svc_bkpmon".
- Настройка двусторонних доверительных отношений между доменами Active Directory, которые ранее были разделены, для увеличения возможности бокового перемещения внутри сети.
На финальном этапе злоумышленник попытался отключить защитное программное обеспечение, такое как Sophos и Bitdefender, и удалить системные резервные копии перед развертыванием шифровальщика 3AM, написанного на языке Rust.
Что на самом деле меняет эта атака?
Этот инцидент представляет собой качественный сдвиг в стратегиях групп программ-вымогателей; вместо полной зависимости от вмешательства человека на каждом этапе, использование «агентных циклов» указывает на растущую тенденцию к автоматизации кибератак с использованием искусственного интеллекта. Это развитие означает, что атаки могут стать быстрее, более скрытными и менее зависимыми от ручных навыков злоумышленника на этапах разведки и бокового перемещения.
Это происходит в то время, когда Национальный центр кибербезопасности (NCSC) Великобритании в своем последнем отчете предупредил о необходимости подготовки критической инфраструктуры к противодействию атакам программ-вымогателей с поддержкой ИИ, ожидаемым к 2028 году.