تحقیقات اخیر نشان می‌دهد که گروه باج‌افزاری 3AM در یک عملیات پیچیده، از یک مدل عملیاتی ترکیبی شامل اپراتور انسانی و عامل هوش مصنوعی (AI Agent) برای نفوذ به زیرساخت‌های آموزشی در بریتانیا استفاده کرده است.
بر اساس گزارش Bitdefender، این حادثه که بین ۱۰ تا ۱۹ سپتامبر رخ داده، منجر به رمزگذاری ۳۷ سیستم و ایجاد اعتماد دامنه (Domain Trust) در زیرساخت‌های آسیب‌پذیر شد تا مهاجمان بتوانند به سایر مدارس نیز دسترسی پیدا کنند. نکته قابل توجه این است که بخش‌هایی از تکنیک‌های پس از نفوذ توسط یک اپراتور انسانی انجام شده، در حالی که بخش‌های دیگر رفتاری کاملاً مشابه یک عامل هوش مصنوعی داشته‌اند.
تحلیل رویکرد ترکیبی (Hybrid Approach)
محققان این حمله را اولین مورد مستند شده از این نوع در اروپا توصیف کردند. این رویکرد از نظر اقتصادی برای مهاجمان بسیار به‌صرفه است؛ به این صورت که یک فرد اهداف استراتژیک را تعیین می‌کند و یک مدل هوش مصنوعی (AI Model) کارهای مکانیکی، تکراری و عملیاتی را مدیریت می‌کند. انتظار می‌رود چنین حملاتی در سال ۲۰۲۷ به طور گسترده‌تری رایج شوند.
گروه 3AM یک عملیات باج‌افزار به عنوان سرویس (RaaS) است که از رمزگذار مبتنی بر Rust استفاده می‌کند. اگرچه روش دقیق دسترسی اولیه مشخص نیست، اما اولین فعالیت‌های ثبت شده شامل دسترسی به زیرساخت پشتیبان (Backup Infrastructure) از طریق سرقت اعتبارنامه‌ها (Credentials) و رمزگشایی آن‌ها با استفاده از Windows Data Protection API بود.
تکنیک‌های فنی و حرکت جانبی (Lateral Movement)
- استفاده از WMI و PowerShell: مهاجمان از دستورات Windows Management Instrumentation (WMI) استفاده کردند. تحلیل زمان‌بندی دستورات نشان داد که تأخیرهای کوتاه (بین ۴۰ تا ۱۰۰ ثانیه) مربوط به تلاش‌های مجدد هوش مصنوعی برای اجرای دستورات بود، در حالی که فواصل زمانی طولانی‌تر نشان‌دهنده تصمیم‌گیری‌های اپراتور انسانی برای انتخاب گام بعدی بود.
- تثبیت حضور (Persistence): استفاده از ابزار Mimikatz برای استخراج اعتبارنامه‌ها و ایجاد حساب‌های Backdoor در سطح Domain Administrator از طریق مسیرهای مختلف.
- سرقت داده‌ها (Exfiltration): استفاده از ابزار robocopy برای کپی فایل‌های مالی و ارسال آن‌ها از طریق پروتکل HTTP POST به سرورهای فرماندهی و کنترل (C2). همچنین استفاده از Registry به عنوان کانال انتقال داده‌ها (Registry-as-transport) مشاهده شد که یک تکنیک غیرمعمول است.
- گسترش در شبکه: مهاجمان با پیوستن به سه دامنه مجزای Active Directory و ایجاد اعتماد دوطرفه (Two-way Trust)، توانستند دسترسی خود را در کل شبکه گسترش دهند. این بخش از حمله، شفاف‌ترین نمونه از به‌کارگیری مدل ترکیبی انسان-هوش مصنوعی بود، زیرا شامل پیکربندی‌های تکراری و مکانیکی بود که در صورت بروز خطا، توسط انسان اصلاح می‌شد.
در نهایت، مهاجمان تلاش کردند ابزارهای تشخیص و پاسخ در نقاط انتهایی (EDR) را از کار بیندازند و موفق شدند ۳۷ سیستم را از میان ۵۰ سیستم تحت کنترل خود، رمزگذاری کنند.
