🔍 Contexte

Publié le 3 novembre 2026 par Bitdefender (auteurs : Marius Baciu, Adrian Schipor, Martin Zugec), cet article présente la première attaque hybride IA documentée en Europe, impliquant un affilié du groupe ransomware-as-a-service ThreeAM (3AM) contre un réseau d’établissements scolaires au Royaume-Uni.

🎯 Victimologie

La cible est un réseau scolaire britannique composé de 47 systèmes : environ 21 serveurs dont 8 contrôleurs de domaine, 10 postes sous Windows 10 (hors support), un contrôleur de domaine sous Windows Server 2012 R2, et le reste sous Windows 11. L’environnement comportait plusieurs domaines Active Directory initialement non connectés entre eux.

🤖 Nature hybride de l’attaque

L’attaque est qualifiée de hybride car elle combine :

  • Des phases à opérateur humain (décisions stratégiques, espacement de 2 à 16 minutes entre les tâches)
  • Des phases à boucle agentique IA (retries automatiques en 40 à 101 secondes, réécriture complète d’outils en quelques secondes, erreurs typiques de génération par modèle de langage)

Les indicateurs d’une génération par LLM incluent : appel à l’API Veeam sur le mauvais port (9392 au lieu de 9419) avec Basic Auth au lieu d’OAuth2, bug de parsing de délimiteur dans une commande LSASS, séquences d’échappement Unix (\$, 2>/dev/null) dans des commandes Windows, fichiers de confirmation numérotés, scripts auto-labellisés.

📅 Chronologie de l’intrusion

  • Avant septembre : accès initial inconnu ; activité suspecte dès janvier 2026 (Restricted Admin mode activé sur 4 machines) et juin 2026 (session interactive manuelle)
  • 10-11 septembre : vol de credentials depuis les serveurs de sauvegarde Veeam via script PowerShell modifié (Veeam-Get-Creds.ps1) et copie du fichier Chrome Login Data
  • 12-13 septembre : reconnaissance de domaine, téléchargement de Mimikatz, énumération des trusts AD, recherche SYSVOL d’autres écoles, séquence de retries révélatrice de la boucle IA
  • 14 septembre : dump des ruches SECURITY/SYSTEM, exécution de Mimikatz (renommé sysmon64.exe), tentative de dump LSASS, création des comptes backdoor library et svc_bkpmon
  • 15 septembre : seconde tentative de vol de credentials Veeam (mauvais port/auth), exfiltration de 40 fichiers financiers via le registre Windows (HKLM\SOFTWARE\VC31, FIN001-FIN040), POST HTTP vers rcv.aspx sur l’hôte non managé (C2)
  • 18 septembre : création de trusts bidirectionnels entre 3 domaines AD via netdom et dnscmd, déploiement de grant_lib.ps1 sur ~40 machines
  • 19 septembre : tentatives de suppression des EDR (Sophos, Bitdefender) via av_remove.ps1/2/3 (bloquées), déploiement du chiffreur ThreeAM host.exe, suppression des sauvegardes système via wbadmin

🛠️ Arsenal technique (LOTL + outils publics)

  • Outils natifs Windows : PowerShell, WMI/WMIC, reg, netsh, rundll32, netdom, dnscmd, nltest, schtasks, robocopy, wbadmin
  • Outils publics : Impacket (wmiexec/smbexec/psexec patterns), Mimikatz 2.2.0-20220919, script Veeam-Get-Creds.ps1, Python portable 3.11
  • Chiffreur : ThreeAM host.exe (Rust-based, invoqué avec -k <victim ID> -s 15)
  • C2 : hôte interne non managé hébergeant rcv.aspx

📊 Type d’article

Publication de recherche et analyse technique approfondie par Bitdefender MDR, visant à documenter le premier cas européen d’attaque ransomware hybride IA et à fournir des indicateurs de détection aux défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • ThreeAM (cybercriminal) —

TTP

  • T1555 — Credentials from Password Stores (Credential Access)
  • T1555.003 — Credentials from Web Browsers (Credential Access)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1059.006 — Python (Execution)
  • T1047 — Windows Management Instrumentation (Execution)
  • T1021.002 — SMB/Windows Admin Shares (Lateral Movement)
  • T1021.006 — Windows Remote Management (Lateral Movement)
  • T1136.002 — Create Account: Domain Account (Persistence)
  • T1484.002 — Domain Trust Modification (Privilege Escalation)
  • T1078.002 — Valid Accounts: Domain Accounts (Defense Evasion)
  • T1562.001 — Impair Defenses (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1482 — Domain Trust Discovery (Discovery)
  • T1087 — Account Discovery (Discovery)
  • T1074 — Data Staged (Collection)
  • T1112 — Modify Registry (Defense Evasion)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1053.005 — Scheduled Task (Execution)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1490 — Inhibit System Recovery (Impact)

IOC

  • Fichiers : host.exe
  • Fichiers : Veeam-Get-Creds.ps1
  • Fichiers : crackw.py
  • Fichiers : av_remove.ps1
  • Fichiers : av_remove2.ps1
  • Fichiers : av_remove3.ps1
  • Fichiers : grant_lib.ps1
  • Fichiers : da_proof.txt
  • Fichiers : sysmon64.exe
  • Fichiers : svcstat.exe
  • Fichiers : hop2.ps1
  • Fichiers : hop3.ps1
  • Fichiers : rcv.aspx
  • Chemins : C:\Windows\Temp\sysmon64.exe
  • Chemins : C:\Windows\Temp\svcstat.exe
  • Chemins : C:\Windows\Temp\mimi.log
  • Chemins : C:\Windows\Temp\ls.dmp
  • Chemins : C:\Windows\Temp\da_proof.txt
  • Chemins : C:\Windows\Temp\fin.zip
  • Chemins : C:\Windows\Temp\av_remove.ps1
  • Chemins : C:\Windows\Temp\av_remove2.ps1
  • Chemins : C:\Windows\Temp\step1.txt
  • Chemins : C:\Windows\Temp\step2.txt
  • Chemins : C:\Windows\Temp\step3.txt
  • Chemins : HKLM:\SOFTWARE\VC31
  • Chemins : HKLM:\SOFTWARE\FIN001

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ThreeAM (ransomware)
  • Mimikatz (tool)
  • Impacket (framework)
  • Veeam-Get-Creds.ps1 (tool)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ businessinsights.bitdefender.com — source reconnue (liste interne) (20pts)
  • ✅ 50102 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 26 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 21 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : ThreeAM (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://businessinsights.bitdefender.com/3am-ransomware-hybrid-ai-attack