Bitdefender documentează un atac ransomware în care inteligența artificială ar fi colaborat cu hackerii

Inteligența artificială începe să fie utilizată nu doar pentru dezvoltarea programelor malițioase, ci și pentru executarea unor operațiuni în interiorul rețelelor informatice compromise. O investigație realizată de Bitdefender asupra unui atac care a vizat școli din Marea Britanie indică o posibilă colaborare între operatori umani și sisteme AI. Descoperirea ridică noi probleme pentru securitatea infrastructurilor digitale.

Un atac asupra școlilor britanice, cu o componentă tehnologică neobișnuită

Cercetătorii companiei de securitate cibernetică Bitdefender au documentat un atac ransomware care prezintă indicii privind utilizarea inteligenței artificiale în desfășurarea operațiunilor informatice. Incidentul a vizat infrastructura digitală a unui grup de școli din Marea Britanie, formată din 47 de sisteme distribuite în mai multe domenii informatice.

Atacul a fost atribuit unui afiliat al grupării ransomware 3AM, cunoscută și sub denumirea ThreeAM. Potrivit investigației, atacatorii au combinat metode tradiționale de compromitere a rețelelor cu un mod de operare compatibil cu utilizarea unor agenți AI.

Aceștia ar fi putut executa comenzi, analiza rezultatele și modifica automat procedurile atunci când întâmpinau erori. Este primul incident de acest tip documentat de Bitdefender în Europa, deși cercetătorii precizează că mecanismul exact de utilizare a inteligenței artificiale nu a putut fi stabilit cu certitudine.

Cum s-a desfășurat atacul informatic

Investigația arată că atacatorii au urmărit obținerea controlului asupra infrastructurii informatice și extinderea accesului către alte sisteme. Operațiunea a inclus compromiterea datelor de autentificare, crearea unor conturi administrative neautorizate și conectarea unor domenii informatice separate. Unul dintre obiectivele atacatorilor a fost accesarea serverelor de backup, utilizate pentru păstrarea copiilor de siguranță. Au fost create două conturi de administrator neautorizate, cu denumiri concepute pentru a părea legitime în infrastructura școlară.

Ulterior, atacatorii au încercat să dezactiveze mecanismele de securitate instalate pe stațiile de lucru. Această etapă a fost blocată de funcțiile de protecție împotriva modificărilor neautorizate. Cu toate acestea, atacul a continuat.

Pe 19 septembrie 2026, aproximativ 37 de sisteme au fost criptate. În timpul operațiunii au fost eliminate și copii de siguranță, ceea ce putea îngreuna recuperarea datelor. Criptarea reprezintă una dintre etapele caracteristice atacurilor ransomware. Prin această metodă, infractorii blochează accesul la fișiere și pot solicita bani pentru restabilirea acestuia.

Indiciile care sugerează utilizarea inteligenței artificiale

Elementul care diferențiază incidentul de un atac ransomware obișnuit este comportamentul observat în timpul executării comenzilor.

Cercetătorii au identificat secvențe în care comenzile nereușite erau modificate și relansate la intervale relativ constante. Într-un episod din 13 septembrie, o comandă PowerShell a fost repetată după 41 de secunde. După alte 49 de secunde, atacatorii au modificat o instrucțiune, iar 47 de secunde mai târziu au schimbat instrumentul utilizat.

Același tipar a fost identificat în mai multe încercări succesive. Modificările erau realizate într-un ritm asemănător, indiferent dacă presupuneau ajustări minore sau rescrierea unor comenzi. Acest comportament este compatibil cu funcționarea unui agent AI care primește rezultatul unei operațiuni, îl interpretează și generează o nouă instrucțiune.

Un alt indiciu a fost prezența unor erori tehnice caracteristice instrucțiunilor generate de modele lingvistice. De exemplu, unele comenzi adresate unei interfețe software pentru administrarea copiilor de siguranță utilizau parametri incompatibili cu documentația producătorului.

Cercetătorii au observat și scripturi numerotate, fișiere de confirmare și rezultate etichetate automat, elemente frecvent întâlnite în procesele de generare și testare a codului cu ajutorul AI. Totuși, aceste indicii nu reprezintă dovezi definitive privind existența unui agent autonom.

Operatorii umani ar fi coordonat activitățile importante

Analiza intervalelor dintre operațiuni sugerează două ritmuri diferite de lucru. Deciziile importante erau separate de pauze de câteva minute, în timp ce modificările repetitive ale comenzilor se succedau mult mai rapid. Această diferență este compatibilă cu un scenariu în care un operator uman stabilește obiectivele, iar un sistem AI execută o parte dintre sarcinile tehnice. Modelul este cunoscut drept atac hibrid, deoarece combină intervenția umană cu automatizarea inteligentă.

Bitdefender precizează însă că nu a avut acces la infrastructura utilizată de atacatori. În consecință, cercetătorii nu au putut identifica modelul AI folosit și nici dacă acesta executa comenzile autonom.

Rămâne posibil ca un operator uman să fi transferat manual instrucțiunile și rezultatele între un instrument AI și sistemele compromise. Această limitare este importantă: investigația susține puternic ipoteza generării comenzilor cu ajutorul AI, dar nu demonstrează automatizarea completă a operațiunilor.

Instrumente obișnuite, utilizate într-un atac complex

Un alt aspect important al incidentului este faptul că atacatorii nu au utilizat exclusiv programe informatice dezvoltate special pentru compromiterea sistemelor. O mare parte a operațiunilor s-a bazat pe instrumente legitime, deja prezente în Windows. Printre acestea se numără PowerShell, Windows Management Instrumentation (WMI) și utilitare pentru administrarea rețelelor.

Această metodă, cunoscută în securitatea cibernetică drept living off the land, permite atacatorilor să folosească funcții normale ale sistemelor de operare în scopuri malițioase.

Prin urmare, identificarea atacurilor devine mai dificilă atunci când soluțiile de protecție urmăresc exclusiv programele malițioase cunoscute. Bitdefender arată că, într-o analiză anterioară a aproximativ 700.000 de incidente de securitate, 84% dintre atacurile de severitate ridicată implicau utilizarea unor asemenea instrumente legitime.

De ce ar putea deveni mai frecvente atacurile hibride

Integrarea inteligenței artificiale în operațiunile infractorilor cibernetici poate reduce timpul necesar executării sarcinilor repetitive. Un operator uman poate stabili obiectivul general, în timp ce un model AI poate genera comenzi, interpreta mesaje de eroare și propune ajustări. Această abordare ar putea permite desfășurarea unor operațiuni complexe cu resurse umane mai reduse.

Totuși, cazul investigat nu demonstrează că inteligența artificială poate înlocui integral operatorii umani în atacurile ransomware. De asemenea, atacul nu a fost deosebit de rapid și nu a introdus tehnici informatice fundamental noi.

Cercetătorii Bitdefender estimează că asemenea operațiuni hibride ar putea deveni mai frecvente în 2027, datorită avantajelor economice oferite atacatorilor. Aceasta este însă o prognoză, nu o evoluție deja confirmată statistic.

Ce înseamnă descoperirea pentru companii și instituții publice

Incidentul evidențiază necesitatea adaptării strategiilor de securitate cibernetică la utilizarea tot mai extinsă a inteligenței artificiale. Protejarea infrastructurilor informatice nu mai poate depinde exclusiv de identificarea fișierelor infectate sau a programelor malițioase cunoscute. Organizațiile trebuie să monitorizeze și comportamentul sistemelor, în special operațiunile administrative neobișnuite.

Printre măsurile relevante se numără verificarea periodică a conturilor cu drepturi administrative, monitorizarea modificărilor din rețea și protejarea copiilor de siguranță. De asemenea, utilizarea unor sisteme de detecție și răspuns la incidente poate contribui la identificarea activităților suspecte înainte de criptarea datelor.

În cazul instituțiilor publice, inclusiv al școlilor, securitatea infrastructurilor digitale este importantă pentru continuitatea activităților și protejarea informațiilor administrative.

O schimbare în modul de desfășurare a atacurilor informatice

Investigația Bitdefender indică o posibilă evoluție a criminalității informatice: trecerea de la utilizarea AI pentru scrierea programelor malițioase la implicarea acesteia în executarea efectivă a unor etape ale atacurilor. În cazul școlilor britanice, dovezile tehnice sugerează că o parte dintre operațiuni ar fi putut fi realizate cu ajutorul unui sistem AI, sub coordonarea unor operatori umani. Deși mecanismul exact nu a fost demonstrat definitiv, incidentul oferă un exemplu concret al riscurilor asociate automatizării operațiunilor cibernetice.

Principala concluzie este că inteligența artificială nu trebuie să introducă tehnici noi pentru a amplifica amenințările existente. Chiar și instrumentele obișnuite pot deveni mai eficiente atunci când sunt integrate în procese automatizate de atac.