Een ransomwareaanval op een onderwijsomgeving in het Verenigd Koninkrijk heeft geleid tot de versleuteling van ongeveer 37 systemen. Volgens onderzoek van Bitdefender, waarover BleepingComputer bericht, ging het om een affiliate van de 3AM-ransomwaregroep. De aanvaller bereikte bijna vijftig machines vanaf een onbeheerde host en wist een groot deel daarvan uiteindelijk te versleutelen.
Opvallend is dat Bitdefender aanwijzingen ziet dat de operatie mogelijk met behulp van AI-tools of een geautomatiseerde agentische werkwijze is uitgevoerd. Dat is geen hard bewijs voor inzet van een specifiek taalmodel, maar wel een signaal dat ransomwaregroepen experimenteren met geautomatiseerde commandoreeksen en iteratieve aanvalsstappen.
Wat is bevestigd over de aanval?
De kwaadaardige activiteit liep volgens Bitdefender van 10 tot en met 19 september. De onderzoekers konden niet vaststellen hoe de aanvaller in eerste instantie toegang kreeg tot de omgeving. Wel beschrijven zij een aanval waarbij de dreigingsactor zich vanuit een onbeheerde machine door de infrastructuur bewoog.
De aanvaller gebruikte onder meer een aangepaste publieke PowerShell-tool om opgeslagen inloggegevens op drie Veeam-back-upservers te extraheren en te ontsleutelen. Daarnaast werd een Chrome-database met credentials gekopieerd en werden Mimikatz en tools voor het dumpen van LSASS-geheugen ingezet. Zulke technieken worden vaak gebruikt om wachtwoorden, hashes of tokens te bemachtigen waarmee verdere toegang tot Windows-omgevingen mogelijk wordt.
Bitdefender zag ook dat de aanvaller domeinrelaties in kaart bracht en logon-scriptmappen doorzocht naar verwijzingen naar andere scholen. Vervolgens werden twee backdooraccounts met domeinbeheerdersrechten aangemaakt: library en svc_bkpmon. Na het stelen van financiële gegevens vanaf gecompromitteerde systemen breidde de aanvaller het bereik verder uit door wederzijdse trusts in te stellen tussen drie Active Directory-domeinen die daarvoor gescheiden waren.
Versleuteling en pogingen om beveiliging uit te schakelen
In de laatste fase probeerde de aanvaller beveiligingssoftware van Sophos en Bitdefender te verwijderen op bereikbare hosts. Ook werden pogingen gedaan om system-stateback-ups te verwijderen. Daarna werd de op Rust gebaseerde encryptor van 3AM uitgerold. Volgens de bron lukte het om ongeveer 37 machines te versleutelen.
Dat back-upservers, domeinrelaties en beveiligingssoftware doelwit waren, onderstreept hoe ransomwareaanvallen niet meer alleen draaien om het starten van encryptie. Aanvallers proberen eerst herstelmogelijkheden te ondermijnen, beheerrechten te verkrijgen en de omgeving zo breed mogelijk te compromitteren voordat de zichtbare schade ontstaat.
Waarom Bitdefender AI-inzet vermoedt
Het AI-aspect is nadrukkelijk geen definitieve vaststelling. Bitdefender geeft aan dat de machine waarmee de aanvaller werkte niet toegankelijk was voor de onderzoekers. Daardoor konden zij niet bepalen welk taalmodel eventueel is gebruikt, of het lokaal of op afstand draaide, of dat een mens instructies en resultaten handmatig tussen een implant en een model kopieerde.
De verdenking is gebaseerd op het gedrag dat wél zichtbaar was. Bitdefender zag een reeks herhaalde commando’s die bij elke poging licht werden aangepast en met vrij regelmatige intervallen van circa 40 tot 100 seconden werden uitgevoerd. Volgens de onderzoekers leek dit patroon op een agentische loop: een proces waarbij een systeem opdrachten uitvoert, resultaten beoordeelt en vervolgens aangepaste vervolgstappen probeert.
Analyse: relevant voor scholen en andere organisaties
Voor onderwijsinstellingen is dit incident relevant omdat zij vaak complexe omgevingen hebben met meerdere domeinen, gedeelde diensten, back-upsystemen en beheeraccounts. Als een aanvaller eenmaal geldige credentials en domeinrechten verkrijgt, kan de impact snel groeien, zeker wanneer gescheiden Active Directory-omgevingen alsnog aan elkaar worden gekoppeld.
Voor organisaties buiten het onderwijs laat de aanval zien dat onbeheerde hosts en credentialstores een groot risico blijven. Veeam-back-upservers, browserdatabases met opgeslagen wachtwoorden en LSASS-geheugen zijn bekende doelwitten, maar blijven in de praktijk aantrekkelijk voor ransomwaregroepen. De mogelijke inzet van AI verandert de basisprincipes van verdediging niet, maar kan aanvallers helpen sneller varianten van commando’s te testen en routinematige stappen te automatiseren.
Achtergrond bij 3AM-ransomware
3AM-ransomware dook in 2023 op en kreeg publieke aandacht nadat een aanvaller deze Rust-gebaseerde ransomware inzette toen LockBit werd geblokkeerd. Onderzoekers hebben de operatie later in verband gebracht met de ransomwaregroepen Conti en Royal. Affiliates van 3AM zijn eerder waargenomen bij tactieken zoals e-mailbombing en vervalste telefoontjes van IT-support om toegang tot bedrijfsnetwerken te krijgen.
Een eerder genoemd slachtoffer is Kootenai Health. Bij een aanval in augustus 2024 kwamen persoonsgegevens van meer dan 464.000 patiënten bloot te liggen. Dat voorbeeld illustreert dat 3AM niet alleen technische verstoring veroorzaakt, maar ook kan leiden tot grootschalige datalekken.
De observaties van Bitdefender sluiten aan bij bredere zorgen over AI-ondersteunde ransomware. Volgens BleepingComputer publiceerde het Britse NCSC op dezelfde dag zijn rapport The State of the Cyber Nation, waarin vitale infrastructuur wordt opgeroepen zich voor te bereiden op AI-aangedreven ransomwareaanvallen tegen 2028.
Bron en verdere informatie
Bron: BleepingComputer
