3AM Ransomware : 37 machines chiffrées dans des écoles UK, l'IA comme copilote d'attaque

Les faits

Le 3 novembre 2026, Bitdefender a publié une analyse détaillée d'une attaque ransomware menée par un affilié du groupe 3AM contre un réseau scolaire britannique non identifié. L'incident est daté du 10 au 19 septembre 2026 et constitue, selon Bitdefender, le premier cas documenté public d'attaque ransomware avec des indicateurs comportementaux compatibles avec un pilotage partiel par intelligence artificielle.

Le réseau visé comprend environ 47 systèmes répartis sur plusieurs domaines Active Directory distincts. À l'issue de l'attaque, 37 machines ont été chiffrées à l'aide du chiffreur Rust de 3AM — soit un taux d'impact de près de 79 %. Les trois autres systèmes ont partiellement résisté grâce aux protections endpoint de Sophos et Bitdefender, que l'attaquant avait pourtant tenté de désactiver avant le déclenchement du chiffrement.

La chaîne d'intrusion débute par la compromission d'un compte à privilèges non précisée dans le rapport. Une fois en place, l'attaquant déploie un script PowerShell modifié spécialement conçu pour extraire et déchiffrer les credentials stockés sur trois serveurs de sauvegarde Veeam. Veeam Backup & Replication est fréquemment ciblé par les opérateurs ransomware en raison de sa capacité à stocker les credentials des systèmes sauvegardés — une mine d'or pour le mouvement latéral.

En parallèle, l'attaquant exécute Mimikatz et procède à un dump de la mémoire LSASS pour collecter des hachages de mots de passe supplémentaires. Il crée ensuite deux comptes administrateur de domaine backdoor, garantissant la persistance même si un compte compromis est détecté et désactivé. Cette phase de préparation s'étend du 10 au 18 septembre 2026.

Le 19 septembre 2026, l'attaquant tente de supprimer les sauvegardes système (shadow copies, sauvegardes Windows Server), de désactiver les agents Sophos et Bitdefender, puis déclenche le chiffrement avec l'encrypteur Rust de 3AM. Les deux solutions endpoint détectent partiellement la menace, mais ne parviennent pas à bloquer l'ensemble du chiffrement compte tenu du niveau d'accès obtenu.

L'élément le plus notable du rapport Bitdefender concerne le comportement des commandes émises durant la phase de reconnaissance et d'escalade. Les analystes de Bitdefender ont observé des séquences de commandes répétées à intervalles quasi réguliers de 40 à 100 secondes, chaque itération étant légèrement modifiée — changement d'un paramètre, d'un chemin de fichier, d'un nom d'outil. Ce pattern cadence rappelle, selon Bitdefender, le comportement d'une boucle agentique : un opérateur humain soumettant des commandes à un assistant IA, récupérant les résultats, et affinant la commande suivante en fonction des retours.

Bitdefender prend soin de nuancer cette conclusion : il n'a pas pu identifier l'outil d'IA utilisé, ni confirmer qu'il s'agissait d'un pipeline autonome plutôt qu'un humain copiant des commandes entre un terminal et une interface conversationnelle. L'hypothèse reste donc probabiliste. Mais la société souligne que le pattern observé diffère significativement des séquences manuelles typiques des opérateurs ransomware, qui présentent des irrégularités temporelles bien plus importantes.

Le groupe 3AM est actif depuis au moins la mi-2023. Il est connu pour son encrypteur développé en Rust, un langage de programmation système qui complique l'analyse par les moteurs antivirus traditionnels. Les affiliés 3AM ont précédemment ciblé des PME dans les secteurs de l'éducation, de la santé et des services professionnels en Europe et en Amérique du Nord.

Impact et exposition

Cette attaque est représentative des cibles prioritaires des groupes ransomware en 2026 : les établissements d'enseignement et collectivités locales, souvent sous-dotés en ressources cybersécurité, avec des environnements Active Directory complexes (héritage multi-domaine) et des sauvegardes Veeam mal sécurisées. L'usage présumé de l'IA comme copilote d'attaque change fondamentalement l'équation : un seul opérateur peut piloter une intrusion complexe avec la guidance d'un assistant capable de suggérer les prochaines étapes en temps réel.

Les organisations qui s'appuient sur Veeam pour leurs sauvegardes doivent impérativement auditer les droits d'accès aux serveurs de sauvegarde et isoler ces serveurs du réseau de production. Un compte de sauvegarde compromis est souvent la clé qui ouvre tout le SI.

Recommandations

• Veeam : restreindre les accès aux serveurs Veeam aux seuls comptes de service dédiés, désactiver l'authentification interactive, ne jamais stocker des credentials admin de domaine dans Veeam.
• Active Directory : auditer les créations de comptes admin de domaine récentes (Event ID 4720 + 4728), activer les alertes sur la création de comptes dans les groupes à hauts privilèges.
• Endpoint : valider que les agents EDR/EPP ne peuvent pas être désactivés sans authentification multifacteur ou validation hors-bande.
• Sauvegardes : appliquer la règle 3-2-1-1 : 3 copies, 2 supports, 1 hors-site, 1 immuable (air-gapped). Tester mensuellement la restauration.