Um afiliado do ransomware conhecido como 3AM comprometeu uma rede escolar do Reino Unido usando uma combinação de técnicas tradicionais de invasão e padrões que sugerem o envolvimento de inteligência artificial.
Segundo a investigação conduzida pela Bitdefender em 3 de novembro, a operação parece seguir um fluxo de trabalho híbrido suspeito: um operador humano seleciona os alvos, enquanto um modelo de linguagem pode lidar com tarefas repetitivas e com a solução de problemas. No entanto, os pesquisadores ressaltam que operações totalmente automatizadas ainda não foram comprovadas.
O ambiente comprometido incluía 47 sistemas, entre eles cerca de 21 servidores e oito controladores de domínio. Inicialmente, esses domínios do Active Directory eram separados, mas o invasor estabeleceu relações de confiança bidirecionais, permitindo acesso a toda a rede. O método de acesso inicial permanece desconhecido.
Ataque do 3AM a escolas do Reino Unido
O afiliado usou principalmente o PowerShell, o Windows Management Instrumentation (WMI), utilitários de registro, tarefas agendadas e outros componentes legítimos do Windows. As ferramentas públicas incluíram o Mimikatz, utilitários de execução remota no estilo Impacket e um script modificado de recuperação de credenciais do Veeam.
Essa abordagem segue o manual já conhecido do ransomware 3AM, em vez de introduzir uma plataforma de malware fundamentalmente nova. As evidências mais distintivas apareceram na construção dos comandos, em erros repetidos e no momento das revisões.
Em 13 de setembro, um comando do PowerShell foi repetido sem alterações após 41 segundos. Outra revisão veio 49 segundos depois, mudando apenas seu método de saída. Após mais 47 segundos, o invasor substituiu o PowerShell pelo WMIC (ferramenta de linha de comando do WMI).
Ao longo de nove novas tentativas, os intervalos variaram de 40 a 101 segundos, independentemente da complexidade da revisão. Pausas mais longas separavam tarefas diferentes. Os pesquisadores interpretaram esse ritmo como compatível com um trabalho dirigido por humanos e apoiado por um ciclo agêntico, embora a cópia manual de informações entre um chatbot e o shell pudesse produzir um comportamento semelhante.
A atividade registrada em setembro começou com o roubo de credenciais de três servidores de backup. Um script modificado consultou os bancos de dados do Veeam e descriptografou segredos armazenados, usando a funcionalidade da API de Proteção de Dados do Windows (interface de programação de aplicações do sistema).
Em seguida, o invasor copiou o banco de dados de credenciais do Chrome, exportou hives sensíveis do registro e implantou o Mimikatz com nomes de arquivo enganosos, como sysmon64.exe. Duas contas maliciosas de administrador de domínio, library e svc_bkpmon, garantiram persistência redundante.
Essas ações ilustram por que a segurança da infraestrutura de backup vai além da recuperação: credenciais armazenadas podem sustentar um comprometimento mais amplo. No entanto, os investigadores não identificaram uma vulnerabilidade do Veeam como ponto de entrada.
Em 15 de setembro, o invasor preparou documentos financeiros como valores de registro codificados em Base64, copiou arquivos para locais adicionais e enviou um arquivo compactado por meio de uma requisição HTTP POST (método do Protocolo de Transferência de Hipertexto) para um host interno não gerenciado.
Essa máquina também atuou como ponto de comando e controle (C2). Como os investigadores não puderam examiná-la, não conseguiram identificar um modelo, um arranjo de hospedagem ou uma estrutura de automação.
Em 18 de setembro, o afiliado estabeleceu relações de confiança bidirecionais conectando três domínios. Em seguida, realizou verificações de diagnóstico e reiniciou o serviço, mantendo canais seguros entre domínios.
Em 19 de setembro, scripts sucessivos tentaram remover a proteção de endpoints, mas controles contra adulteração bloquearam a remoção. Um loader foi implantado em cerca de 40 máquinas antes de o encriptador ThreeAM, desenvolvido em Rust, ser executado entre 05:07 e 05:33 UTC (Horário Universal Coordenado). Durante a implantação, os backups de estado do sistema foram excluídos.
Os indícios suspeitos de IA incluíram premissas incorretas sobre a API do Veeam, sintaxe no estilo Unix dentro de comandos do Windows, revisões numeradas de scripts e arquivos de confirmação. Individualmente, esses artefatos não comprovam o envolvimento de um modelo.
O caso complementa reportagens sobre operações de ransomware assistidas por agentes, mas trata-se de uma única investigação, e não de evidência de uma tendência mais ampla de ransomware autônomo.
Defensores devem priorizar relações de confiança inesperadas entre domínios, criação de contas privilegiadas, acesso a credenciais de backup, exportações de hives do registro e preparação incomum de arquivos por meio do registro.
A pesquisa da Bitdefender destaca a distinção central: técnicas de ataque conhecidas continuam detectáveis mesmo quando a execução envolve IA. Telemetria confiável de identidade, endpoint e rede segue essencial para reconstruir atividades e testar alegações de automação durante investigações.
