3AMランサムウェア、英国の学校37システムを暗号化　AI支援の疑いがある攻撃

セキュリティ企業のBitdefenderは、人間のオペレーターが操作しつつ、AIによるコマンド再試行が疑われる、欧州初とみられるランサムウェア事案を調査しました。

AuditSecurity

Hackread.comが公開前に入手した調査結果によると、ランサムウェアグループ3AM（ThreeAM）のアフィリエイトが、英国の学校組織に侵入しました。この組織は別々のActive Directoryドメインにまたがる47のシステムを抱えており、約37台のマシンが暗号化されました。

人間による判断、自動化された再試行

Bitdefenderは本日公開したブログ記事で、この侵入を「人間のオペレーターがキーボードを操作している部分と、エージェント型ループのように動作する部分が混在するハイブリッド型の攻撃」と説明しています。疑われるループでは、コマンドの実行結果を言語モデルに戻し、モデルが代替コマンドを提案していました。

タイミングの分析もこの見方を裏付けています。主要な操作どうしは数分間隔だった一方、失敗したコマンドは40～101秒ごとに再試行されていました。ただしBitdefenderは、モデルが自動でループを実行していたのか、それともオペレーターがターミナルとAIツールの間でコマンドと結果をコピーしていたのかは確認できていません。

この違いは重要です。今回の事案は、自律型ランサムウェア攻撃だと確認されたわけではありません。証拠が示すのは、従来型の侵入手法に依存した作戦の中で、AIによる支援があった可能性です。

LearnAI Tools

このアフィリエイトは主に、PowerShell、WMI、netsh、reg、rundll32といったWindows標準ツールを悪用する環境寄生型（living-off-the-land）の手法を使っていました。さらに、MimikatzやImpacket系のリモート実行といった公開ツールも、3AMの暗号化ツールと併用していました。Bitdefenderが指摘するように、AIを活用した攻撃が成功するのに、目新しいツールは必要ありません。

ドメイン間の信頼関係とランサムウェアの展開

攻撃者は9月10日と11日、Windows DPAPIで保存済みパスワードを復号するスクリプトやブラウザーの認証情報をコピーするスクリプトを使い、バックアップ用の認証情報を盗み出しました。9月12日にはMimikatzをダウンロードし、sysmon64.exeという名前に変更しています。9月14日にはレジストリハイブをダンプし、libraryとsvc_bkpmonという名前のバックドア用管理者アカウントを作成しました。

9月15日には、財務部門の共有フォルダーから取得したファイルをWindowsレジストリ値に一時的に格納しました。その後、コマンド&コントロール（C2）基盤として使われた管理外のマシン経由で転送しています。

9月18日、攻撃者はdnscmdでDNS条件付きフォワーダーを作成し、netdomで別々のドメイン間に双方向の信頼関係を確立しました。wb_probeなどの診断スクリプトが信頼関係の検証コマンドを実行しましたが、Bitdefenderは各プローブの結果を特定できませんでした。同日中にNetlogonも再起動されています。その後、PowerShellのスケジュールタスクが、バックドアアカウントのアクセス権を約40台のマシンに展開しました。

翌日には、SophosとBitdefenderのエンドポイント保護を削除しようとする試みが、改ざん防止機能によって阻止されました。攻撃者はスクリプトローダーを展開したうえでRust製の3AM暗号化ツールを実行し、約37システムを暗号化しました。あわせて、wbadminでシステム状態のバックアップも削除しています。

今回の調査結果は、防御側に現実的な懸念を突きつけています。たとえAIが攻撃のトラブルシューティングを助けていたとしても、被害を生んだのは認証情報、ドメイン間の信頼関係、バックアップの保護といった、おなじみの弱点でした。Bitdefenderは、ハイブリッド型の攻撃が2027年にはさらに一般的になると予想しています。

LearnAI Tools

研究者は、防御側に対し、ドメインをまたぐ特権アカウントの分離、新たなドメイン間の信頼関係の監視、バックアップ基盤の保護、すべてのマシンへのエンドポイント保護の導入から着手するよう勧めています。