Un afiliado del ransomware 3AM (ThreeAM) atacó a un grupo de escuelas en el Reino Unido utilizando una combinación de control humano y automatización basada en IA. Los atacantes lograron propagarse por la red escolar mediante el uso de herramientas integradas de Windows, contraseñas de copias de seguridad robadas y cuentas de administrador falsas, logrando cifrar aproximadamente 37 máquinas.

Un afiliado de ransomware ha atacado a un grupo de escuelas del Reino Unido con una mezcla de control humano y automatización estilo IA. Los atacantes utilizaron herramientas integradas de Windows, contraseñas de respaldo robadas y cuentas de administrador falsas para propagarse por la red escolar, cifrando luego unas 37 máquinas.

El grupo detrás del cifrador es 3AM, también escrito ThreeAM. Vende su ransomware basado en Rust a afiliados, quienes realizan las intrusiones y comparten las ganancias.

Si has seguido los informes anteriores sobre el ransomware ThreeAM, sabrás que el grupo suele dirigirse a víctimas pequeñas y medianas.

Investigadores de Bitdefender señalaron el malware y el comportamiento inusual detrás de él. Lo llaman una operación híbrida: una persona elige los objetivos, mientras que un modelo de lenguaje parece encargarse del trabajo repetitivo, como reintentar comandos fallidos.

También afirman que no pudieron probar qué modelo se utilizó, o si una persona estaba pegando los resultados de un lado a otro.

Uutilizan agentes de IA

La víctima fue un complejo escolar del Reino Unido con 47 sistemas. Estos incluían unos 21 servidores, ocho de ellos controladores de dominio, y diez estaciones de trabajo que aún ejecutaban Windows 10.

La red comenzó como varios dominios de Active Directory separados que no se conectaban entre sí. Bitdefender no pudo determinar cómo entraron los atacantes.

Su primer movimiento registrado, el 10 y 11 de septiembre, fue robar contraseñas de tres servidores de respaldo utilizando un script público de Veeam modificado. Si sigues las correcciones de seguridad de los respaldos de Veeam, verás por qué el software de respaldo es un objetivo tan popular.

Luego, los atacantes ejecutaron Mimikatz, renombrado como sysmon64.exe, y crearon dos cuentas de administrador de dominio llamadas “library” y “svc_bkpmon”. Los nombres fueron elegidos para mezclarse en la lista de cuentas de una escuela.

El 15 de septiembre movieron 40 archivos financieros a través del registro de Windows y los enviaron a un servidor que ellos controlaban. La señal más clara del uso de IA ocurrió el 13 de septiembre.

El atacante ejecutó un comando, lo volvió a ejecutar sin cambios 41 segundos después, cambió una llamada 49 segundos más tarde y luego cambió a una herramienta diferente 47 segundos después.

Los reintentos a lo largo del ataque ocurrieron cada 40 a 101 segundos, mientras que pasar a una nueva tarea tomó minutos. Ese patrón encaja con una persona eligiendo los objetivos y un modelo gestionando los reintentos.

Los comandos también contenían errores que un modelo cometería al escribir de memoria. Una llamada a Veeam utilizó el puerto y el método de inicio de sesión incorrectos.

Aparecieron caracteres de escape estilo Bash dentro de comandos de Windows durante tres días diferentes. Los atacantes también dejaron archivos de prueba con nombres como “psexec-ok” y “da_proof.txt”, además de versiones de scripts numeradas como av_remove, av_remove2 y av_remove3.

El 18 de septiembre, los atacantes unieron tres dominios con confianzas bidireccionales, utilizando las herramientas integradas netdom y dnscmd.

También buscaron en carpetas compartidas los nombres y redes de otras escuelas. Este tipo de trabajo de configuración tedioso, donde un mensaje de error indica la solución, se adapta bien a un modelo.

El 19 de septiembre, los atacantes intentaron eliminar el software de seguridad del servidor de archivos, pero los controles anti-manipulación lo bloquearon. Luego ejecutaron el cifrador ThreeAM, host.exe, entre las 05:07 y las 05:33 UTC a un ritmo de 12 a 13 segundos por máquina. El programa eliminó los respaldos del estado del sistema a medida que avanzaba.

Qué deberían aprender los defensores de este caso

Bitdefender tiene cuidado al decir que este es un caso aislado y no una tendencia. El conjunto de herramientas era antiguo, el cifrador era una versión estándar y ningún paso requirió nuevas habilidades. La empresa espera que los ataques híbridos como este se vuelvan más comunes en 2027.

La misma investigación subraya que las intrusiones gestionadas por IA son ruidosas. Un bucle que reintenta cada minuto deja comandos repetidos, archivos de sondeo y scripts numerados.

Esto coincide con otros casos que el sitio ha cubierto, como los agentes de IA ejecutando ransomware en la campaña JadePuffer, donde un modelo planificó y llevó a cabo una operación de extorsión.

El ataque también encaja en un patrón más amplio de casos de ransomware Aur0ra impulsados por Cursor, donde agentes de codificación de IA manejaron la mayor parte del trabajo de red.

Bitdefender aconseja mantener separadas las cuentas de administrador de dominios distintos, alertar sobre cualquier nueva confianza de dominio o sobre el uso de netdom, proteger los servidores de respaldo y mantener copias que ninguna cuenta de dominio pueda eliminar, limitar el acceso a WMI, al registro remoto y a ADMIN$ solo a hosts de gestión conocidos, y colocar un agente de endpoint en cada máquina.

Fuentes:
https://cybersecuritynews.com/hackers-use-ai-agents-2/