พบกลุ่ม 3AM Ransomware โจมตีระบบโรงเรียนในสหราชอาณาจักร คาดใช้ AI ช่วยดำเนินการโจมตี - Thailand Computer Emergency Response Team (ThaiCERT)

603/69 (IT) ประจำวันพุธที่ 4 พฤศจิกายน 2569

บริษัท Bitdefender เปิดเผยรายงานการโจมตีทางไซเบอร์ต่อเครือข่ายระบบ IT ของโรงเรียนแห่งหนึ่งในสหราชอาณาจักร โดยผู้โจมตีที่เกี่ยวข้องกับกลุ่ม 3AM Ransomware สามารถเข้าถึงเครื่องคอมพิวเตอร์เกือบ 50 เครื่องผ่านอุปกรณ์ที่ไม่ได้อยู่ภายใต้การบริหารจัดการขององค์กร (Unmanaged Host) และเข้ารหัสข้อมูลบนเครื่องได้สำเร็จประมาณ 37 เครื่อง โดยพบกิจกรรมการโจมตีระหว่างวันที่ 10–19 กันยายน 2569 ทั้งนี้ นักวิจัยตั้งข้อสังเกตว่าผู้โจมตีอาจใช้ Artificial Intelligence (AI) ช่วยสร้างคำสั่งและดำเนินการโจมตีในลักษณะ Agentic Loop เนื่องจากพบการส่งคำสั่งซ้ำหลายครั้ง โดยมีการปรับเปลี่ยนรายละเอียดเล็กน้อยในแต่ละครั้ง และมีช่วงเวลาห่างกันประมาณ 40–100 วินาที อย่างไรก็ตาม Bitdefender ระบุว่ายังไม่สามารถยืนยันได้ว่ามีการใช้ AI จริงหรือไม่ เนื่องจากไม่สามารถเข้าถึงเครื่องต้นทางของผู้โจมตี จึงไม่สามารถระบุโมเดล AI หรือรูปแบบการใช้งานที่แน่ชัดได้

จากการตรวจสอบพฤติกรรมการโจมตีพบว่า ผู้โจมตีใช้ PowerShell Tool ที่ดัดแปลงจากเครื่องมือสาธารณะเพื่อดึงและถอดรหัส Credential ที่จัดเก็บอยู่บน Veeam Backup Server จำนวน 3 เครื่อง พร้อมคัดลอกฐานข้อมูล Chrome ที่มี Credential และใช้เครื่องมือ Mimikatz รวมถึง LSASS Memory Dumping เพื่อรวบรวมข้อมูลยืนยันตัวตนเพิ่มเติม จากนั้นดำเนินการสำรวจความสัมพันธ์ระหว่าง Domain และค้นหาข้อมูลใน Logon Script Folder ที่เชื่อมโยงกับโรงเรียนอื่น ก่อนสร้างบัญชี Domain Administrator สำหรับใช้เป็น Backdoor จำนวน 2 บัญชี ได้แก่ library และ svc_bkpmon นอกจากนี้ ผู้โจมตียังขโมยข้อมูลทางการเงินจากเครื่องที่ถูก Compromise และกำหนด Two-way Trust ระหว่าง Active Directory Domain จำนวน 3 Domain ที่เดิมแยกจากกัน เพื่อขยายขอบเขตการเข้าถึงระบบภายในเครือข่าย

ในขั้นตอนสุดท้าย ผู้โจมตีพยายามถอนการติดตั้งระบบป้องกัน Sophos และ Bitdefender บนเครื่องที่เข้าถึงได้ รวมถึงลบ System-state Backup ก่อนติดตั้ง 3AM Ransomware ซึ่งเป็นมัลแวร์เข้ารหัสข้อมูลที่พัฒนาด้วยภาษา Rust โดยสามารถเข้ารหัสเครื่องเป้าหมายได้ประมาณ 37 เครื่อง ทั้งนี้ กลุ่ม 3AM Ransomware เริ่มปรากฏตัวตั้งแต่ปี 2566 และเคยมีรายงานความเชื่อมโยงกับกลุ่ม Conti และ Royal Ransomware รวมถึงมีประวัติใช้เทคนิค Email Bombing และการโทรศัพท์แอบอ้างเป็นเจ้าหน้าที่ IT Support เพื่อเข้าถึงเครือข่ายองค์กร Bitdefender ระบุว่ารูปแบบการโจมตีครั้งนี้สะท้อนให้เห็นว่าผู้โจมตีอาจกำลังทดลองนำ AI มาใช้สนับสนุนกระบวนการโจมตีมากขึ้น ขณะที่ National Cyber Security Centre (NCSC) ของสหราชอาณาจักรได้เตือนให้องค์กรโครงสร้างพื้นฐานสำคัญเตรียมความพร้อมรับมือการโจมตี Ransomware ที่อาศัย AI ภายในปี 2571

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/uk-school-estate-hit-by-3am-ransomware-in-suspected-ai-assisted-attack/

603/69（IT）2026年11月4日，星期三。

Bitdefender发布了一份关于英国某学校IT网络遭受网络攻击的报告。与3AM勒索软件组织有关联的攻击者通过非托管主机入侵了近50台计算机，并成功加密了其中约37台计算机上的数据。此次攻击活动发生在2026年9月10日至19日期间。研究人员指出，攻击者可能使用了人工智能（AI）生成指令，并以代理循环的方式执行攻击。证据是攻击者以每次略作修改的方式重复发送指令，每次发送间隔约40至100秒。然而，Bitdefender表示，由于无法访问攻击者的计算机，因此目前尚无法确认攻击者是否使用了人工智能，也无法识别具体的AI模型或操作模式。

对攻击行为的调查显示，攻击者使用了一个基于公开工具修改的 PowerShell 工具，提取并解密了存储在三台 Veeam 备份服务器上的凭据。他们还复制了包含这些凭据的 Chrome 数据库，并使用 Mimikatz 和 LSASS 内存转储工具收集了额外的身份验证数据。此外，他们还探索了域关系，并搜索了与其他学校关联的登录脚本文件夹，然后创建了两个域管理员帐户（library 和 svc_bkpmon）作为后门。此外，攻击者还从受感染的机器中窃取了财务数据，并在三个先前独立的 Active Directory 域之间建立了双向信任关系，从而扩大了他们对内部网络的访问权限。

在最后一步，攻击者试图卸载可访问计算机上的 Sophos 和 Bitdefender 安全系统，并删除系统状态备份，然后安装 3AM 勒索软件。3AM 勒索软件是一种用 Rust 语言编写的数据加密恶意软件，能够加密大约 37 台目标计算机。3AM 勒索软件组织自 2023 年以来一直活跃，据报道与 Conti 和 Royal 勒索软件组织有关联，并且曾使用电子邮件轰炸和冒充 IT 支持人员等手段入侵企业网络。Bitdefender 指出，这种攻击模式反映出人工智能在攻击策略中的应用可能日益增多。与此同时，英国国家网络安全中心 (NCSC) 已警告拥有关键基础设施的组织，需做好准备，应对 2028 年前可能出现的人工智能驱动的勒索软件攻击。

来源：https://www.bleepingcomputer.com/news/security/uk-school-estate-hit-by-3am-ransomware-in-suspected-ai-assisted-attack/