یک عامل تهدید (Threat Actor) وابسته به باج‌افزار 3AM، زیرساخت‌های آموزشی بریتانیا را هدف قرار داده و موفق شده است حدود ۳۷ دستگاه از مجموع تقریباً ۵۰ ماشین را که از طریق یک میزبان مدیریت‌نشده (Unmanaged Host) قابل دسترسی بودند، رمزگذاری کند.
محققان شرکت امنیت سایبری Bitdefender بر این باورند که مهاجم ممکن است برای اجرای این عملیات از دستورات تولید شده توسط هوش مصنوعی (AI-generated commands) و یک حلقه خودکار عامل‌محور (Automated Agentic Loop) استفاده کرده باشد. این نتیجه‌گیری بر اساس توالی دستورات تکراری است که در هر تلاش کمی تغییر کرده و با فواصل زمانی منظم بین ۴۰ تا ۱۰۰ ثانیه صادر شده‌اند.
اگرچه محققان نتوانستند به ماشین مهاجم دسترسی داشته باشند تا مدل زبانی دقیق یا نحوه تعامل انسان با آن را بررسی کنند، اما رفتار مشاهده شده شباهت زیادی به یک Agentic Loop دارد.
در طول این حمله، مهاجم از یک ابزار تغییریافته PowerShell برای استخراج و رمزگشایی اعتبارنامه‌ها (Credentials) از سه سرور پشتیبان Veeam استفاده کرد. همچنین با کپی کردن پایگاه داده Chrome و استفاده از ابزارهای Mimikatz و LSASS memory-dumping، توانست اطلاعات حساس را سرقت کند. مهاجم با نقشه‌برداری از روابط دامنه (Domain Relationships) و ایجاد دو حساب Backdoor با نام‌های ‘library’ و ‘svc_bkpmon’، دسترسی خود را گسترش داد.
در مرحله نهایی، مهاجم با ایجاد اعتماد دوطرفه (Two-way Trusts) بین سه دامنه مجزای Active Directory، دامنه حمله را گسترش داد. سپس تلاش کرد تا محافظ‌های Sophos و Bitdefender را از سیستم‌ها حذف، بک‌آپ‌های وضعیت سیستم (System-state backups) را پاک و در نهایت باج‌افزار مبتنی بر زبان Rust خود را مستقر کند.
باج‌افزار 3AM که در سال ۲۰۲۳ ظهور کرد، پیش از این با گروه‌های باج‌افزاری Conti و Royal مرتبط دانسته شده است. گزارش‌های اخیر نشان می‌دهد که عاملان این تهدید به شدت در حال آزمایش ابزارهای هوش مصنوعی برای حملات سایبری هستند.
