英国学校园区遭 3AM 勒索软件攻击，疑似为 AI 辅助攻击

一个 3AM 勒索软件附属成员针对英国一处学校园区，成功加密了从一台未受管理主机可达的近 50 台机器中的约 37 台。

网络安全公司 Bitdefender 的研究人员认为，该威胁行为者可能使用了 AI 生成的命令和自动化智能体循环来实施此次行动。

这一结论基于一系列重复命令——每次尝试时稍作修改，并以约 40 至 100 秒的固定间隔发出。

"我们无法访问攻击者所操作的那台机器，因此无法记录有关语言模型本身的任何信息：它是哪个模型、是在本地还是远程运行，甚至是否有人在植入物和模型之间复制粘贴指令和结果，" Bitdefender 解释道。

研究人员指出，他们只能记录行为，而该行为看起来类似于智能体循环。

恶意活动持续于 9 月 10 日至 19 日之间，但 Bitdefender 无法确定攻击者的初始访问方式。

该威胁行为者使用一个修改过的公开 PowerShell 工具提取并解密存储在三台 Veeam 备份服务器上的凭据，复制了一个包含凭据的 Chrome 数据库，并部署了 Mimikatz 和 LSASS 内存转储工具。

他们绘制了域关系图，并在登录脚本文件夹中搜索对其他学校的引用，最终创建了两个名为 'library' 和 'svc_bkpmon' 的后门域管理员账户。

在从被攻陷的机器窃取财务数据后，攻击者在三个此前相互独立的 Active Directory 域之间配置了双向信任，以扩大其影响范围。

在攻击的最后阶段，他们试图从可达主机上移除 Sophos 和 Bitdefender 防护、删除系统状态备份，并部署 3AM 基于 Rust 的加密器。他们在约 37 个案例中得手。

3AM 勒索软件威胁于 2023 年出现，并在 LockBit 被阻止后，一名攻击者部署其基于 Rust 的勒索软件而受到公众关注。

研究人员后来将该行动与 Conti 和 Royal 勒索软件团伙联系起来，其附属成员被观察到使用邮件轰炸和冒充 IT 支持的来电来访问企业网络。

一个著名的过往受害者是 Kootenai Health，2024 年 8 月的一次攻击泄露了超过 464,000 名患者的个人信息。

无论目前 AI 工具在 3AM 攻击中的参与程度如何，Bitdefender 的观察表明，威胁行为者似乎正在大量试验这些工具。

今天早些时候，英国 NCSC 发布了今年的《The State of the Cyber Nation》报告，敦促关键基础设施为 2028 年前由 AI 驱动的勒索软件攻击做好准备。