У Британії 3AM ransomware зашифрував дані на 37 шкільних комп’ютерах

У британській шкільній мережі зловмисники, пов’язані з програмою-вимагачем 3AM, зашифрували дані приблизно на 37 комп’ютерах. Вони отримали доступ майже до 50 пристроїв через некерований хост, повідомляє BleepingComputer.

Дослідники компанії Bitdefender припускають, що під час операції атакувальники могли використовувати команди, згенеровані штучним інтелектом, та автоматизований цикл виконання дій. Такий висновок зробили через повторювані команди, які дещо змінювалися з кожною спробою та запускалися з інтервалами приблизно від 40 до 100 секунд.

Ознаки автоматизованих дій

У Bitdefender наголосили, що не мали доступу до пристрою, з якого працював зловмисник. Тому дослідники не змогли встановити, яку саме мовну модель могли застосовувати, чи працювала вона локально або віддалено, а також чи міг оператор вручну копіювати команди й результати. Водночас зафіксована поведінка була схожа на автоматизований агентний цикл.

Шкідлива активність тривала з 10 до 19 вересня. Початковий спосіб проникнення до мережі встановити не вдалося. Зловмисники використали модифікований публічний інструмент PowerShell, щоб отримати та розшифрувати облікові дані з трьох серверів резервного копіювання Veeam.

Викрадення даних і шифрування систем

Під час атаки зловмисники скопіювали базу даних Chrome з обліковими даними, застосували Mimikatz та інструменти для вивантаження пам’яті процесу LSASS. Вони також аналізували зв’язки в домені та шукали у папках сценаріїв входу згадки про інші школи.

Згодом атакувальники створили два облікові записи адміністраторів домену — library і svc bkpmon. Після викрадення фінансових даних вони налаштували двосторонні довірчі зв’язки між трьома раніше відокремленими доменами Active Directory, щоб розширити доступ до мережі.

На завершальному етапі зловмисники намагалися вимкнути захист Sophos і Bitdefender на доступних пристроях, видалити резервні копії стану системи та розгорнути написаний мовою Rust шифрувальник 3AM. Шифрування вдалося здійснити приблизно у 37 випадках.