Um afiliado do ransomware 3AM atacou a infraestrutura de uma rede escolar no Reino Unido e conseguiu criptografar cerca de 37 das quase 50 máquinas acessíveis a partir de um equipamento não gerenciado.
Pesquisadores da empresa de cibersegurança Bitdefender acreditam que o threat actor pode ter usado comandos gerados por IA e um ciclo automatizado baseado em agentes para conduzir a operação.
A conclusão se baseia em uma sequência de comandos repetidos, com pequenas alterações a cada tentativa e enviados em intervalos relativamente regulares, de 40 a 100 segundos.
“Não conseguimos acessar a máquina usada pelo invasor. Por isso, não podemos documentar nada sobre o próprio modelo de linguagem: qual modelo era, se funcionava localmente ou remotamente, ou mesmo se uma pessoa copiava e colava instruções e resultados entre o implante e o modelo”, explicou a Bitdefender.
Os pesquisadores ressaltaram que só puderam documentar o comportamento, que se assemelhava a um ciclo automatizado baseado em agentes.
A atividade maliciosa ocorreu entre 10 e 19 de setembro, mas a Bitdefender não conseguiu determinar como o invasor obteve acesso inicial.
O threat actor usou uma ferramenta pública de PowerShell modificada para extrair e descriptografar credenciais armazenadas em três servidores de backup Veeam. Também copiou um banco de dados do Chrome com credenciais e implantou o Mimikatz e ferramentas para fazer o dump da memória do LSASS.
O invasor mapeou relações entre domínios e procurou referências a outras escolas em pastas de scripts de logon. Por fim, criou duas contas de administrador de domínio com backdoor, chamadas “library” e “svc_bkpmon”.
Depois de roubar dados financeiros de máquinas comprometidas, o invasor configurou relações de confiança bidirecionais entre três domínios do Active Directory que antes eram separados, ampliando seu alcance.
Na etapa final do ataque, tentou remover as proteções da Sophos e da Bitdefender dos equipamentos acessíveis, apagar cópias de segurança do estado do sistema e implantar o criptografador do 3AM, desenvolvido em Rust. A operação foi bem-sucedida em cerca de 37 máquinas.
O ransomware 3AM surgiu em 2023 e ganhou notoriedade depois que um invasor implantou sua versão baseada em Rust após ser bloqueado pelo LockBit.
Mais tarde, pesquisadores associaram a operação às quadrilhas de ransomware Conti e Royal. Afiliados do grupo também foram vistos usando email bombing e ligações falsificadas de suporte de TI para obter acesso a redes corporativas.
Entre as vítimas conhecidas está a Kootenai Health. Um ataque em agosto de 2024 expôs informações pessoais de mais de 464.000 pacientes.
Independentemente do grau atual de envolvimento de ferramentas de IA nos ataques do 3AM, as observações da Bitdefender indicam que os threat actors parecem estar experimentando bastante esses recursos.
O NCSC do Reino Unido publicou o relatório deste ano, “O estado da nação cibernética”, e pediu que organizações de infraestrutura crítica se preparem para ataques de ransomware impulsionados por IA até 2028.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...