Масштаб небольшой — 37 зашифрованных машин, — но инцидент интересен не размером, а тем, как его описывают следователи. 3AM связывают с криминальной экосистемой вокруг Conti и Royal, и в этом случае темп действий был настолько ровным и автоматизированным, что специалисты говорят о возможном участии ИИ. Это именно подозрение, а не доказанный факт, но формулировка показательна.
Технически набор классический для «большой игры». Сначала Mimikatz и дамп памяти LSASS — добыча учётных данных. Затем движение по Windows-инфраструктуре через PowerShell. Потом шифрование шифратором, написанным на Rust.
Но дальше начинается то, что важнее для защитников: атакующие создали две запасные учётные записи доменных администраторов, похитили финансовые данные и настроили двустороннее доверие между доменами Active Directory. Доверие между доменами — это не «ещё один аккаунт», а мост, по которому можно ходить в обе стороны, и убирать его потом гораздо сложнее, чем создавать.
Что это значит
Для школ и небольших организаций вывод неприятный: их инфраструктура достаточно интересна, чтобы в неё заходили с инструментами уровня корпоративных атак. Один домен без сегментации, общие учётные записи и резервные копии рядом с продакшеном превращают 37 машин в 370.
Национальный центр кибербезопасности Великобритании на этом фоне призывает критическую инфраструктуру готовиться к «ИИ-вымогателям» уже сейчас, с горизонтом до 2028 года. Практически это означает не новые продукты, а гигиену: защита LSASS, минимальные права, журналирование создания админов, проверка доверий между доменами и офлайн-копии, которые нельзя зашифровать вместе с сетью.
The scale is small — 37 encrypted machines — but the incident matters less for its size than for how investigators describe it. 3AM is linked to the criminal ecosystem around Conti and Royal, and in this case the pace was so steady and automated that specialists suspect AI involvement. That is a suspicion, not a proven fact, but the wording is telling.
Technically the toolkit is classic big-game hunting. First Mimikatz and an LSASS memory dump to harvest credentials. Then movement through Windows infrastructure via PowerShell. Then a Rust-based encryptor.
What follows matters more for defenders: the attackers created two backdoor domain administrator accounts, stole financial data, and set up two-way trusts between Active Directory domains. A domain trust is not “one more account”; it is a bridge that works in both directions, and removing it later is far harder than creating it.
What it means
For schools and small organisations the conclusion is uncomfortable: their infrastructure is interesting enough for corporate-grade tooling. One flat domain, shared accounts and backups next to production turn 37 machines into 370.
Against this backdrop the UK’s National Cyber Security Centre is urging critical infrastructure to prepare for AI-powered ransomware now, with a horizon to 2028. In practice that means hygiene rather than new products: LSASS protection, least privilege, logging of administrator creation, a review of domain trusts, and offline copies that cannot be encrypted along with the network.