Wprowadzenie do problemu / definicja
Ransomware od lat należy do najpoważniejszych zagrożeń dla organizacji publicznych i prywatnych. W najnowszych kampaniach coraz wyraźniej widać jednak zmianę modelu działania: operatorzy nie polegają wyłącznie na ręcznej pracy ani na całkowicie zautomatyzowanych skryptach, lecz łączą decyzje człowieka z możliwościami systemów opartych na AI. Taki hybrydowy schemat pozwala szybciej testować polecenia, poprawiać błędy i sprawniej poruszać się po zainfekowanym środowisku.
Właśnie taki model zaobserwowano podczas ataku przypisywanego grupie 3AM ransomware, wymierzonego w środowisko szkolne w Wielkiej Brytanii. Sprawa jest istotna nie tylko ze względu na samą skalę incydentu, ale także dlatego, że pokazuje praktyczne wykorzystanie AI jako wsparcia dla operatora podczas rzeczywistej operacji intruzyjnej.
W skrócie
- Atak dotknął brytyjskie środowisko edukacyjne oparte na wielu domenach Active Directory.
- Napastnicy zaszyfrowali 37 systemów i rozszerzyli zasięg ataku na kolejne jednostki.
- W operacji wykorzystano przejęte poświadczenia, narzędzia administracyjne Windows oraz techniki living-off-the-land.
- Badacze wskazują na hybrydowy model działania, w którym człowiek podejmował decyzje operacyjne, a AI wspierała iteracyjne czynności techniczne.
- Szczególnie niebezpieczne okazało się wykorzystanie relacji zaufania między domenami do dalszej ekspansji.
Kontekst / historia
3AM to rodzina ransomware kojarzona z modelem ransomware-as-a-service oraz szyfratorem napisanym w języku Rust. Dotychczas grupę łączono głównie z klasycznymi metodami kompromitacji środowiska: kradzieżą poświadczeń, eskalacją uprawnień, ruchem bocznym i finalnym szyfrowaniem zasobów. Najnowszy incydent pokazuje jednak kolejny etap ewolucji, w którym kluczowe staje się nie tylko to, jakich narzędzi używa napastnik, ale również jak organizuje swoją pracę.
Według opublikowanych ustaleń incydent rozgrywał się między 10 a 19 września 2026 roku. Celem było środowisko szkolne obejmujące kilka odrębnych domen Active Directory. Choć pierwotny wektor dostępu nie został jednoznacznie potwierdzony, pierwsze oznaki aktywności wskazywały na przejęcie poświadczeń z infrastruktury kopii zapasowych. Następnie napastnicy budowali trwałość, kopiowali dane finansowe oraz przygotowywali grunt pod rozszerzenie ataku na kolejne domeny.
To właśnie ten element odróżnia omawiany przypadek od wielu wcześniejszych kampanii. Nie chodzi tu o wizję całkowicie autonomicznego ransomware, lecz o realistyczny model pośredni: człowiek nadal kontroluje przebieg operacji, ale część żmudnych, powtarzalnych zadań deleguje do mechanizmu działającego jak agent AI.
Analiza techniczna
Analiza incydentu wskazuje, że napastnicy wykorzystali przejęte poświadczenia przechowywane w systemie backupowym, odszyfrowując je przy użyciu Windows Data Protection API. To ważny etap, ponieważ dostęp do takich danych może otworzyć drogę do kont uprzywilejowanych i znacznie przyspieszyć późniejsze przemieszczanie się po środowisku.
Między 12 a 13 września obserwowano testowanie połączeń do kolejnych hostów z użyciem WMI. Szczególną uwagę zwróciły sekwencje poleceń modyfikowanych w regularnych odstępach czasu. Taki wzorzec sugeruje, że wyniki jednej próby były analizowane, a następnie wykorzystywane do wygenerowania kolejnej komendy lub jej poprawionej wersji. To zachowanie odbiega od typowej pracy pojedynczego operatora działającego ręcznie i może wskazywać na wsparcie agentowego mechanizmu AI.
W kampanii szeroko wykorzystywano natywne narzędzia systemu Windows, takie jak PowerShell, WMI, wmic, reg, netsh czy rundll32. Tego typu podejście, znane jako living-off-the-land, utrudnia wykrywanie, ponieważ aktywność napastnika może przypominać zwykłe działania administracyjne. Z perspektywy obrony jest to szczególnie problematyczne, bo nie zawsze pojawia się klasyczny, łatwy do zidentyfikowania malware.
14 września atakujący utrwalili obecność w środowisku. Wykorzystano narzędzie do zrzutu poświadczeń oraz utworzono dwa konta backdoor z uprawnieniami administratora domeny. Następnie skopiowano około 40 plików finansowych przy użyciu robocopy i przesłano je do infrastruktury C2 metodą HTTP POST. Oznacza to, że operacja miała charakter podwójnego wymuszenia: obejmowała zarówno eksfiltrację danych, jak i późniejsze szyfrowanie systemów.
Przełomowy moment nastąpił 19 września, gdy napastnik skonfigurował relacje dwukierunkowego zaufania między trzema odrębnymi domenami Active Directory. To zadanie złożone administracyjnie, ale zarazem oparte na serii powtarzalnych prób, testów i korekt. Właśnie ten etap został uznany za najmocniejszy przykład modelu hybrydowego człowiek–AI: operator określał cel i nadzorował postęp, a mechanizm wspierany przez AI mógł przyspieszać generowanie kolejnych wariantów poleceń.
Po rozszerzeniu dostępu na około 50 systemów odnotowano próby wyłączania lub usuwania ochrony EDR. Ostatecznie zaszyfrowano 37 maszyn. Co istotne, sukces ataku nie wynikał z użycia wyjątkowo zaawansowanego exploita, lecz z połączenia skradzionych poświadczeń, błędów segmentacji, natywnych narzędzi administracyjnych oraz automatyzacji wspierającej kolejne etapy intruzji.
Konsekwencje / ryzyko
Przypadek 3AM pokazuje zmianę w ekonomii ataku. Jeśli AI może przejąć część powtarzalnych zadań technicznych, operator ransomware jest w stanie działać szybciej, taniej i na większą skalę. Nie musi być ekspertem od każdego etapu operacji, ponieważ system wspomagający może testować warianty poleceń i poprawiać błędy niemal w czasie rzeczywistym.
Dla organizacji oznacza to wzrost skuteczności ataków opartych na legalnych narzędziach administracyjnych. Szczególnie narażone są środowiska wielodomenowe oraz instytucje, w których wiele jednostek organizacyjnych jest logicznie rozdzielonych, ale nadal utrzymuje relacje zaufania. W takich warunkach pojedyncze przejęcie poświadczeń może stać się punktem wyjścia do rozlania się incydentu na znacznie większy obszar.
Ryzyko nie kończy się na szyfrowaniu stacji roboczych i serwerów. W grę wchodzi również utrata danych wrażliwych, kompromitacja kont uprzywilejowanych, naruszenie bezpieczeństwa systemów kopii zapasowych oraz długotrwałe skutki operacyjne. Odbudowa zaufanych relacji między domenami, rotacja poświadczeń i ponowna walidacja modelu tożsamości mogą być kosztowne i czasochłonne.
Rekomendacje
Organizacje powinny przyjąć założenie, że przyszłe kampanie ransomware będą coraz częściej łączyły ręczne działania operatorów z automatyzacją wspieraną przez AI. Odpowiedzią nie może być wyłącznie klasyczna ochrona antymalware, lecz także monitoring zachowań nietypowych dla legalnej administracji.
- Odseparować konta uprzywilejowane pomiędzy domenami i ograniczyć współdzielenie poświadczeń administracyjnych.
- Objąć infrastrukturę backupową szczególną ochroną, w tym monitoringiem dostępu do przechowywanych danych uwierzytelniających.
- Ograniczyć zdalne wykonywanie poleceń przez WMI, SMB i podobne mechanizmy wyłącznie do uzasadnionych scenariuszy.
- Wdrożyć polityki blokujące uruchamianie PowerShell, cmd i innych interpreterów tam, gdzie nie są potrzebne.
- Zapewnić telemetrię EDR/XDR na wszystkich hostach, także tych mniej krytycznych lub dotąd pomijanych.
- Traktować tworzenie nowych trustów między domenami, pojawienie się nowych kont Domain Admin oraz nietypowe użycie robocopy, wmic i WMI jako zdarzenia wysokiego ryzyka.
- Monitorować aktywność wskazującą na próby dezaktywacji agentów bezpieczeństwa i dostęp do mechanizmów DPAPI.
- Regularnie ćwiczyć scenariusze reagowania na incydent z użyciem legalnych narzędzi systemowych i szybkiej automatyzacji ataku.
Podsumowanie
Atak 3AM ransomware na brytyjskie szkoły stanowi ważny sygnał ostrzegawczy dla całego rynku cyberbezpieczeństwa. Największym zagrożeniem nie jest tu w pełni autonomiczny malware, lecz praktyczny model hybrydowy, w którym AI wspiera człowieka w realizacji powtarzalnych czynności podczas rzeczywistej intruzji.
To podejście zwiększa tempo ataku, obniża koszt operacyjny i utrudnia wykrywanie, zwłaszcza gdy przestępcy korzystają z legalnych narzędzi administracyjnych oraz przejętych poświadczeń. Dla obrońców oznacza to konieczność skupienia się nie tylko na złośliwym kodzie, ale również na anomaliach w tożsamości, relacjach zaufania i aktywności administracyjnej w całym środowisku.
Źródła
- Infosecurity Magazine – 3AM Ransomware Used Human-AI Hybrid Tactics in UK School Estate Compromise – https://www.infosecurity-magazine.com/news/3am-ransomware-hybrid-ai-uk-school/
- Bitdefender – 3AM Hits European Schools: A Hybrid AI Ransomware Attack, Part Human, Part Agentic Loop – https://www.bitdefender.com/en-us/blog/businessinsights/3am-ransomware-hybrid-ai-attack
- BleepingComputer – UK school estate hit by 3AM ransomware in suspected AI-assisted attack – https://www.bleepingcomputer.com/news/security/uk-school-estate-hit-by-3am-ransomware-in-suspected-ai-assisted-attack/
- IT Pro – Cyber researchers issue warning over 'hybrid AI’ ransomware capabilities after attacks on schools – https://www.itpro.com/security/ransomware/cyber-researchers-issue-warning-over-hybrid-ai-ransomware-capabilities-after-attacks-on-schools