Аффилиат ThreeAM скомпрометировал инфраструктуру британской школы

Подтверждённый аффилиат вымогательского ПО ThreeAM (3AM) скомпрометировал инфраструктуру школы в Великобритании. Операция сочетала признаки действий человека с паттернами выполнения команд, характерными для ИИ-агента. Шифрование прошло 19 сентября с 05:07 до 05:33, при этом общая стратегия и инструментарий вымогательского ПО оставались традиционными.

Кража учётных данных и перемещение по сети

В инфраструктуре было около 47 систем в нескольких доменах Active Directory: контроллеры домена, серверы резервного копирования, рабочие станции под Windows 10/11 и контроллер домена под Windows Server 2012 R2. Взлом начался с кражи учётных данных из баз данных Veeam на трёх серверах резервного копирования с помощью расшифровки DPAPI. Также злоумышленник скопировал учётные данные из браузера Chrome, взяв их из файла Login Data.

Разведка включала проверку сетевой связности, служебных учётных записей, программного обеспечения, доверительных отношений и SYSVOL. Злоумышленник загрузил Mimikatz, извлёк ульи реестра, попытался получить доступ к памяти процесса LSASS и создал две учётные записи администратора домена, library и svc_bkpmon. Файл Mimikatz переименовали в файлы с легитимными названиями, в том числе в sysmon64.exe.

Для перемещения по сети и закрепления злоумышленник использовал WMI, WinRM, административные общие ресурсы SMB и запланированные задачи. Он установил двусторонние доверительные отношения между тремя ранее независимыми доменами с помощью dnscmd и netdom, проверил их диагностическими скриптами и перезапустил службу Netlogon. Доступ через бэкдор-учётную запись распространился примерно на 40 систем.

В арсенале также были легитимные утилиты Windows: PowerShell, WMI, WMIC, reg, net, netsh, rundll32, netdom, dnscmd и wbadmin. Кроме того, злоумышленник применял удалённое выполнение команд в стиле Impacket, модифицированный скрипт для извлечения учётных данных Veeam и портативную версию Python.

Вывод данных и подготовка к шифрованию

Данные с сетевого ресурса финансового отдела помещались в значения реестра под ключом HKLM\SOFTWARE, копировались на неподконтрольный хост и в каталог SYSVOL другого домена, сжимались и выводились через HTTP-запросы POST на конечную точку rcv.aspx. Канал передачи данных на основе реестра и периодические сообщения о статусе представляли собой возможности для обнаружения.

До шифрования аффилиат пытался отключить средства защиты Sophos и Bitdefender, однако механизмы защиты от несанкционированного изменения заблокировали их удаление. Скриптовый загрузчик разрабатывался итеративно, самостоятельно фиксировал ход работы и был развернут примерно на 40 машинах с помощью запланированных задач.

Шифровальщик ThreeAM, написанный на Rust, запускался как host.exe с параметрами идентификатора аффилиата и скорости. Для удаления резервных копий состояния системы использовалась утилита wbadmin.

На предположение об использовании моделей искусственного интеллекта или агентного выполнения указывали повторное выполнение команд, быстрая доработка кода, самостоятельное тестирование, диагностические запросы, синтаксические ошибки в стиле Unix и повторяющиеся ошибки в PowerShell.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.