Bitdefender detalha ataque híbrido humano-IA de ransomware 3AM a escolas britânicas
Um afiliado do ransomware 3AM invadiu uma rede de escolas no Reino Unido entre 10 e 19 de setembro de 2026 e criptografou 37 de 50 máquinas alcançadas, segundo investigação da Bitdefender publicada em 3 de novembro. O relatório descreve operação híbrida, com um humano escolhendo as etapas e uma IA repetindo comandos, roubo de credenciais de backup Veeam e exfiltração de 40 arquivos financeiros; o acesso inicial segue desconhecido. A Bitdefender recomenda segregar contas administrativas por domínio, proteger a infraestrutura de backup e colocar agente de endpoint em toda máquina.
O que aconteceu
Uma intrusão de ransomware atingiu uma rede de escolas no Reino Unido entre 10 e 19 de setembro de 2026. Um afiliado do grupo 3AM criptografou 37 máquinas e roubou 40 arquivos financeiros, segundo investigação da Bitdefender publicada em 3 de novembro. A Bitdefender avalia que um humano definia as metas e um modelo de IA executava o trabalho mecânico.
Por que importa
Máquinas de ensino pararam e dados financeiros saíram da instituição. O atacante partiu de um host sem gerenciamento, alcançou 50 máquinas e conectou três domínios da rede, o que indica comprometimento amplo do ambiente. A Bitdefender espera que ataques híbridos assim fiquem mais comuns em 2027.
O que fazer
Revise contas de administrador de domínio e remova confianças bidirecionais desnecessárias entre domínios. Audite as credenciais guardadas na infraestrutura de backup e trate esse ambiente como alvo. Instale agente de endpoint em toda máquina, inclusive nos hosts hoje sem gerenciamento.
Para o time técnico
- Afetados
- Rede de escolas no Reino Unido atingida por ransomware 3AM · Rede de escolas no Reino Unido; nenhum produto ou versão específico citado nas fontes.
- Exploração
- Incidente ocorrido entre 10 e 19 de setembro de 2026, documentado pela Bitdefender em blog de 3 de novembro e atribuído a um afiliado do ransomware 3AM. Foram criptografadas 37 das 50 máquinas alcançadas. A BleepingComputer descreve o caso como ataque suspeito de assistência de IA.
- Correção
- Sem correção de software (intrusão). Mitigações da Bitdefender: manter separadas as contas administrativas de domínios distintos e nunca guardar credenciais privilegiadas de vários domínios em um só lugar; revisar a estratégia de backup contra uso malicioso; restringir execução remota e compartilhamentos administrativos; bloquear interpretadores e shells em máquinas que não os usam; agente de endpoint em toda máquina.
- Vetor
- Acesso inicial não determinado pela Bitdefender; a intrusão partiu de um host não gerenciado. Credenciais guardadas na infraestrutura de backup (servidores Veeam, segundo o DarkWebInformer) foram decifradas com a Windows Data Protection API. Movimentação lateral pelo WMI com credenciais administrativas roubadas, a partir de máquina com SQL Server como processo pai.
- Mais detalhes
- O 3AM é operação de ransomware como serviço; o criptografador em Rust foi visto pela primeira vez em fevereiro de 2023, diz a Infosecurity. A Bitdefender classifica o caso como o primeiro desse tipo documentado na Europa. Padrão de comandos: retries alterados em intervalos de 40 a 101 segundos indicam agente de IA; intervalos de minutos entre tarefas indicam humano. Ferramentas citadas: Mimikatz, cópia do banco de credenciais do Chrome e dump de memória do LSASS (DarkWebInformer). Cópia de 40 arquivos financeiros com robocopy e exfiltração por HTTP POST a um C2; o canal registry-as-transport foi apontado como indicador de caça. Em 14 de setembro, criação de duas contas de administrador de domínio como backdoor. Em 19 de setembro, união de três domínios Active Directory com confiança bidirecional em janela de cerca de três horas. Tentativa de remover EDR (proteções Sophos e Bitdefender, segundo o DarkWebInformer) e exclusão de backups de estado do sistema antes da criptografia. A Bitdefender não identificou o modelo de IA e não descartou uma pessoa copiando dados para um chatbot.
Linha do tempo
Bitdefender descreve táticas híbridas de humano e IA no ataque de setembro e confirma exfiltração de dados financeiros.
Detalhes técnicos do caso: cerca de 37 sistemas criptografados entre 10 e 19 de setembro, partida de host não gerenciado, roubo de credenciais de backups Veeam e criação de duas contas de administrador de domínio como backdoor.
Incidente aberto.
Fontes 3 fontes
- @BleepinComputer @BleepinComputer
- @DarkWebInformer @DarkWebInformer
- 3AM Ransomware Used Human-AI Hybrid Tactics in UK School Estate Compromise Infosecurity Magazine
