Un afiliado del ransomware 3AM cifró unas 37 máquinas de una escuela en el Reino Unido tras robar credenciales y crear cuentas de administrador. Investigadores de Bitdefender sospechan que el atacante utilizó inteligencia artificial y bucles automatizados para ejecutar comandos repetitivos y precisos. Este incidente resalta la creciente experimentación de los cibercriminales con herramientas de IA para optimizar sus ataques.

Un afiliado del ransomware 3AM atacó el patrimonio de una escuela en el Reino Unido y logró cifrar alrededor de 37 de casi 50 máquinas accedidas desde un host no gestionado.

Investigadores de la empresa de ciberseguridad Bitdefender creen que el actor de la amenaza puede haber utilizado comandos generados por IA y un bucle agentico automatizado para llevar a cabo la operación.

La conclusión se basa en una secuencia de comandos repetidos que fueron ligeramente modificados en cada intento y emitidos a intervalos aproximadamente regulares de 40 a 100 segundos.


"No pudimos acceder a la máquina desde la que trabajó el atacante, por lo que no podemos documentar nada sobre el modelo de lenguaje en sí: qué modelo era, si se ejecutaba localmente o remotamente, o incluso si una persona estaba copiando y pegando instrucciones y resultados entre el implante y el modelo", explica Bitdefender [https://businessinsights.bitdefender.com/3am-ransomware-hybrid-ai-attack].

Los investigadores señalan que solo pudieron documentar el comportamiento, y este parecía similar a un bucle agentico.


La actividad maliciosa se extendió entre el 10 y el 19 de septiembre, pero Bitdefender no pudo establecer el método de acceso inicial del atacante.

El actor de la amenaza utilizó una herramienta de PowerShell pública modificada para extraer y descifrar credenciales almacenadas en tres servidores de copia de seguridad de Veeam, copió una base de datos de Chrome que contenía credenciales y desplegó herramientas de volcado de memoria Mimikatz y LSASS.

Mapearon las relaciones del dominio y buscaron en las carpetas de scripts de inicio de sesión referencias a otras escuelas, creando finalmente dos cuentas de administrador de dominio backdoor llamadas ‘library’ y ‘svc_bkpmon’.

Después de robar datos financieros de las máquinas comprometidas, el atacante configuró confianzas bidireccionales entre tres dominios de Active Directory previamente separados para ampliar su alcance.

En la etapa final del ataque, intentaron eliminar la protección de Sophos y Bitdefender de los hosts accesibles, borrar las copias de seguridad del estado del sistema y desplegar el cifrador basado en Rust de 3AM. Tuvieron éxito en unos 37 casos.


La amenaza del ransomware 3AM surgió en 2023 y llamó la atención del público cuando un atacante desplegó su ransomware basado en Rust después de que LockBit fuera bloqueado.

Los investigadores vincularon posteriormente la operación a las bandas de ransomware Conti y Royal, y se ha observado que los afiliados utilizan el bombardeo de correos electrónicos y llamadas falsas de soporte técnico de TI para acceder a redes corporativas.

Una víctima notable en el pasado es Kootenai Health, donde un ataque en agosto de 2024 expuso información personal de más de 464,000 pacientes.

Independientemente del nivel actual de participación de herramientas de IA en los ataques de 3AM, las observaciones de Bitdefender sugieren que los actores de amenazas parecen estar experimentando intensamente con ellas.

Hoy mismo, el NCSC del Reino Unido publicó el informe ‘The State of the Cyber Nation’ de este año, instando a las infraestructuras críticas a prepararse para ataques de ransomware impulsados por IA para 2028 [https://www.ncsc.gov.uk/collection/annual-review-2026].


Fuente:
BleepingComputer