Un complejo escolar británico sufre un ataque de ransomware 3AM posiblemente asistido por IA

El 3 de noviembre de 2026, Bitdefender informó de un ataque de un afiliado del ransomware 3AM contra un complejo escolar del Reino Unido. El grupo alcanzó casi 50 equipos desde un host no gestionado y cifró aproximadamente 37.

La actividad maliciosa se desarrolló entre el 10 y el 19 de septiembre. Los investigadores no pudieron determinar el método de acceso inicial, pero observaron el uso de una herramienta pública de PowerShell modificada para extraer y descifrar credenciales almacenadas en tres servidores de copias de respaldo Veeam. El atacante también copió una base de datos de Chrome y empleó Mimikatz y herramientas para volcar la memoria de LSASS.

Tras analizar las relaciones entre dominios y buscar referencias a otros centros en carpetas de scripts de inicio de sesión, el actor creó dos cuentas de administrador de dominio con nombres de puerta trasera: ‘library’ y ‘svc_bkpmon’. También robó datos financieros y configuró relaciones de confianza bidireccionales entre tres dominios de Active Directory que hasta entonces estaban separados.

En la fase final, intentó eliminar las protecciones de Sophos y Bitdefender de los equipos accesibles, borrar las copias de seguridad del estado del sistema y desplegar el cifrador de 3AM basado en Rust. Bitdefender cree que el atacante pudo utilizar comandos generados mediante inteligencia artificial y un bucle automatizado de tipo agente, debido a una secuencia de órdenes repetidas, modificadas ligeramente en cada intento y ejecutadas a intervalos de entre 40 y 100 segundos. La empresa subraya que no pudo acceder al equipo desde el que operaba el atacante y, por tanto, no pudo confirmar qué modelo se utilizó ni si una persona copiaba instrucciones y resultados.

El ransomware 3AM apareció en 2023 y posteriormente fue vinculado por investigadores con las bandas Conti y Royal. Bitdefender señala que las observaciones del incidente apuntan a una experimentación intensiva de los actores con herramientas de IA, aunque no establecen por sí solas el nivel exacto de intervención de estas tecnologías.

Fuente: BleepingComputer.