Партнёр программы-шифровальщика 3AM, которую основная группа сдаёт в аренду, атаковал сеть школ в Британии. Из 47 систем в нескольких несвязанных доменах Active Directory шифровальщик вывел из строя около 37 машин. Финансовые документы перед этим вынесли за пределы сети. Оператор забрал учётные данные с резервных серверов и контроллеров домена. Предположительно, цели ставил человек, а рутинные повторы выполнял ИИ-агент. Для школы это означает простой и утечку внутренних документов.
Описание
Инцидент произошёл в сентябре 2026 года. Точку входа установить не удалось. 3AM носит и имя ThreeAM; это шифровальщик на Rust, который работает с февраля 2023 года. По описанию, он начинался как запасная полезная нагрузка для неудачных развёртываний LockBit. Операторов связывают с LockBit и BlackSuit. Группа работает по модели двойного вымогательства: крадёт данные, шифрует файлы, стирает теневые копии и публикует жертв на сайте утечек.
С трёх резервных серверов оператор, по данным Hive Pro, забрал учётные данные из баз Veeam и расшифровал их. На терминальных серверах его интересовали сохранённые пароли Chrome. Он также выгрузил ветки реестра с системными учётными данными. Эти данные открыли доступ к контроллерам домена и позволили закрепиться в домене.
Дальше аффилиат создал две резервные учётные записи с правами администратора домена. Между тремя доменами он построил двусторонние доверительные отношения и через задачи планировщика раздал доступ к примерно 40 машинам. Для здоровой сети новое междоменное доверие - редкое событие. Оно превращает отдельные домены в один маршрут для бокового перемещения. Главные следы закрепления ведут к новым администраторам и новым доверительным связям.
Финансовые файлы оператор складывал в реестр как крупные Base64-значения. Копии он зеркалировал через robocopy и отправлял архивом на неуправляемый внутренний хост, который выполнял роль управляющего сервера (C2). В интернет такой канал не выходит и внешней инфраструктуры не требует. Реестр в этой схеме работает и как хранилище, и как канал передачи. Удалённые записи в реестр с неожиданных хостов выглядят особенно шумно.
Перед шифрованием удаление средства защиты на конечных точках заблокировала защита от вмешательства. Шифровальщик host.exe всё равно отработал менее чем за полчаса и удалил резервные копии состояния системы. Для восстановления это сократило возможности без резервных копий. Само шифрование заняло меньше времени, чем разведка и закрепление.
Следы команд указывают на авторство языковой модели: вызов Veeam через программный интерфейс с неверным портом и методом аутентификации, сломанный разбор дампа памяти процесса LSASS, привычки Unix-оболочки в Windows-командах и файлы-подтверждения с номерными версиями скриптов. Каждые 40-101 секунду приходили повторы, независимо от размера изменений, а новые задачи занимали минуты. Это похоже на человека, который ставит цели, и агентный цикл, который повторяет попытки. Ручную пересылку запросов в чат-бот исключить нельзя. Следы не выглядят как аккуратный ручной сценарий: команды повторяются, а ошибки исправляются новыми версиями скриптов. При этом набор инструментов остался обычным: встроенные средства Windows, публичные утилиты и типовой шифровальщик. ИИ меняет скорее следы, чем сам сценарий, а активность остаётся шумной и повторяющейся. Однозначного вывода из этой картины нет.
Индикаторы компрометации
