ランサムウェア「3 AM（ThreeAM）」のアフィリエイトが、英国の学校群のネットワークに侵入し、約37のシステムを暗号化しました。Bitdefenderはこの攻撃を「ハイブリッド型」と分析しています。人間のオペレーターが目標を設定し、反復的なコマンド実行はエージェント型のループが担ったとみられます。
侵入はほぼ全面的に、PowerShell、WMI、reg、netsh、rundll32といった「環境寄生型（Living-off-the-Land）」のバイナリに依存していました。攻撃者はさらに、Impacket系のリモート実行ツール、Mimikatz、公開されているVeeamの認証情報取得スクリプトも使用しました。
Impacket系のツールは、ランサムウェアのアフィリエイトによる横展開で繰り返し使われており、PsExecや管理共有と組み合わされることも多くあります。
攻撃者はまず、改変したVeeam-Get-Creds.ps1で3台のサーバー上のバックアップデータベースを読み取り、保存されていた機密情報をDPAPIで復号しました（T1555）。
続いて、sysmon64.exeに名前を変えたMimikatzでsekurlsa::logonpasswordsを実行しました。さらにreg saveでSECURITYとSYSTEMのハイブを保存し、comsvcs.dllのMiniDumpによるLSASSダンプも試みています（T1003、T1036）。
また、libraryとsvc_bkpmonという2つのバックドア用ドメイン管理者アカウントを別々の経路で作成し、永続化を冗長化していました（T1136.002）。自動化を最も強く示唆するのは、再試行の間隔です。
9月13日には、あるPowerShellコマンドが41秒後に変更なしで再実行され、49秒後には1か所だけ修正され、47秒後にはwmicに置き換えられました。
再試行の間隔は、変更の大きさにかかわらず40〜101秒の範囲に収まっていました。一方、別のタスクへ移る際には数分かかっています。コマンドの内容からも、言語モデルの関与がうかがえます。
Veeam REST APIの呼び出しでは、OAuth2を使うポート9419ではなく、Basic認証のポート9392が使われていました。Windowsのシェルに、Bash流のエスケープや2>/dev/nullが現れていました。av_remove3.ps1やprx3のように、番号付きで改訂されたファイルも確認されています。
9月18日には、約3時間をかけて、双方向の信頼関係を持つ3つのActive Directoryドメインを、netdomとdnscmdの条件付きフォワーダーで結合しました（T1484.002）。
その後、診断用のプローブを実行し、セキュアチャネルを修復するためにNetlogonを再起動しています。次にgrant_lib.ps1がスケジュールタスクで約40台のマシンに配布されました。
ID基盤は、ランサムウェアが標的にする典型的な対象です。Semperisの調査では、調査対象の87%でActive Directory、Entra ID、Oktaが標的にされたか、悪用されていました。
データは珍しい経路で外部に持ち出されました。財務共有フォルダーの40ファイルをBase64でエンコードしてHKLM\SOFTWARE配下のレジストリ値に格納し、ZIPに圧縮したうえで、C2として使われていた管理外ホストのrcv.aspxにHTTP POSTで送信しています（T1074、T1112、T1041）。
9月19日には、av_remove.ps1でSophosとBitdefenderのエージェントを狙いましたが、改ざん防止機能にブロックされました。その後、Rust製の暗号化ツールhost.exeが、被害者IDと速度の引数を指定して実行され、wbadminでシステム状態のバックアップを削除しました（T1486、T1490）。
シャドウコピーの削除は、ローカルでの復旧手段を断つ暗号化前の一般的な手順です。Bitdefenderは、これはあくまで1件の事例であり、傾向を示すものではないと注意を促しています。また、どのモデルが使われたのか、人間がインプラントとモデルの間で結果をコピー＆ペーストしていたのかは確認できないとしています。
踏み台となったホストにはEDRエージェントがなかったため、テレメトリーからは、自動ループと手作業のコピー＆ペーストを区別できません。推奨される対策は、新しいドメイン信頼の作成やnetdomの実行、SECURITY、SYSTEM、SAMハイブに対するreg saveへのアラート設定です。
防御側は、VEEAMPROBEやpsexec-okといったプローブの痕跡も探索するべきです。加えて、ADMIN$とWMIは管理用ホストに限定し、イミュータブルなバックアップを維持する必要があります。エージェント型のループは1分ごとに再試行するため、検知の速さよりも、こうした対策のほうが重要になります。
ANY.RUNを導入している16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしましょう。チームでの利用を検討する
翻訳元: https://cyberpress.org/hackers-use-ai-driven-ransomware-attack/
