Grupa ransomware 3AM przeprowadziła atak na brytyjską placówkę edukacyjną, stosując nowatorskie podejście hybrydowe. Według analizy Bitdefender, napastnicy podzielili zadania między ludzkiego operatora a agenta AI. Człowiek podejmował strategiczne decyzje, podczas gdy sztuczna inteligencja zajmowała się mechanicznymi, powtarzalnymi czynnościami, takimi jak szybkie poprawianie błędnych komend w PowerShell czy konfiguracja zaufania między domenami Active Directory.
Atak rozpoczął się od przejęcia poświadczeń do infrastruktury kopii zapasowych, które następnie odszyfrowano za pomocą Windows Data Protection API. Napastnicy wykorzystali narzędzia takie jak Mimikatz do kradzieży danych oraz robocopy do eksfiltracji plików finansowych. W trakcie operacji zaobserwowano specyficzny wzorzec czasowy: krótkie odstępy między próbami (40–100 sekund) sugerowały działanie AI, podczas gdy dłuższe przerwy (kilka minut) wskazywały na analizę wyników przez człowieka.
Skutkiem ataku było zaszyfrowanie 37 maszyn oraz uzyskanie dostępu do 50 urządzeń poprzez budowę relacji zaufania między domenami. Napastnicy dążyli do rozszerzenia uprawnień i usunięcia narzędzi EDR. Eksperci ostrzegają, że takie podejście, będące ekonomicznie opłacalne dla grup przestępczych, może stać się standardem w 2027 roku.
