Atac ransomware hibrid cu AI, depistat de Bitdefender în Europa

Compania românească de securitate cibernetică Bitdefender a anunțat miercuri, 4 noiembrie 2026, că a documentat primul atac ransomware hibrid identificat în Europa în care un operator uman a lucrat împreună cu un agent de inteligență artificială. Ținta a fost un grup de școli din Marea Britanie, iar atacul este atribuit unui afiliat al grupării care dezvoltă ransomware-ul 3AM, potrivit comunicatului preluat de Business Magazin și Zona IT.

Cum s-a desfășurat atacul asupra școlilor britanice

Rețeaua vizată avea 47 de sisteme, împărțite în mai multe domenii separate. Atacatorii au furat datele de acces de pe serverele de backup și au creat două conturi de administrator neautorizate. Numele acestor conturi au fost alese astfel încât să nu iasă în evidență în lista de conturi a unei școli. Apoi au legat între ele domeniile care până atunci funcționau separat, au sustras date și au șters copii de siguranță. Tentativa de a dezinstala soluția de securitate de pe stațiile de lucru a fost blocată de mecanismele de protecție.

Pe 19 septembrie au fost criptate aproximativ 37 de sisteme, adică circa 79% din infrastructura școlilor. Potrivit Dark Reading, atacatorul a folosit aproape exclusiv instrumente deja prezente în Windows, precum PowerShell, WMI, reg, netsh și rundll32, plus utilitare publice precum Mimikatz și un script deja publicat pentru software-ul de backup Veeam. Bitdefender subliniază că setul de unelte nu conține nimic nou.

Indiciile care trădează un agent AI

Bitdefender susține că atacul este hibrid din cauza ritmului de lucru. Deciziile importante au fost separate de pauze de două până la 16 minute, timp potrivit pentru cineva care citește rezultatele și alege pasul următor. În schimb, încercările de a repara comenzile eșuate au venit la intervale de 40-101 secunde, indiferent cât de mare era modificarea. Pe 13 septembrie, de exemplu, o comandă PowerShell a fost reluată identic după 41 de secunde, modificată după încă 49 de secunde, apoi înlocuită complet cu wmic după alte 47 de secunde. Compania notează că o persoană care rescrie de mână o comandă are nevoie de mai mult timp.

Alte semne au fost scripturile numerotate, fișierele de confirmare și o comandă către interfața Veeam cu un port și o metodă de autentificare care nu corespund documentației producătorului. Potrivit companiei, astfel de erori apar când comenzile sunt scrise „din memorie”, așa cum face un model lingvistic. Cercetătorii admit că nu au avut acces la calculatorul atacatorului. Din acest motiv nu pot spune ce model a fost folosit și nici dacă cineva copia manual comenzile între model și rețeaua atacată.

Martin Zugec, director de soluții tehnice la Bitdefender, a declarat pentru Dark Reading că un model hibrid este mai rezonabil pentru infractorii motivați financiar decât un atac complet autonom. El a adăugat că agentul nu face atacul mai discret, ci mai repetitiv, iar elementul care îl dă de gol este „repetiția”, nu viteza.

Un caz izolat, dar cu prognoză pentru 2027

Compania prezintă situația ca pe un caz izolat, nu ca pe o tendință. Așa-numitul „vibeware”, adică malware-ul generat cu AI, reprezintă doar circa 0,07% din mostrele colectate lunar, adică aproximativ 7 din 10.000. Cercetarea continuă analiza grupării APT36 din martie 2026 și pe cea a campaniei SilkParasite din august 2026. Totuși, Bitdefender estimează că atacurile în care oameni coordonează agenți AI vor deveni mai frecvente în 2027, pentru că acest model costă puțin și nu cere competențe suplimentare.

Recomandările companiei sunt:

• parole de administrator separate pentru fiecare domeniu;
• protejarea backupurilor ca posibile ținte;
• execuția la distanță permisă doar de pe stații de administrare cunoscute;
• soluții de securitate instalate pe fiecare calculator.

Legătura cu România

Bitdefender, fondată în 2001, a fost Presenting Partner la Bucharest Cybersecurity Conference. Conferința a fost organizată de Directoratul Național de Securitate Cibernetică (DNSC) în perioada 20-22 octombrie 2026, iar pe agendă s-au aflat și impactul inteligenței artificiale agentice asupra amenințărilor și atacurile ransomware, potrivit InfoCons. Raportul anual DNSC pentru 2025 arată că factorul uman este principala vulnerabilitate în toate cele zece sectoare evaluate.

Analiza Bitdefender arată că un domeniu de încredere nou creat între rețele este o modificare rară, ușor de semnalat prin alerte automate.

Surse:

• Dark Reading – 3AM Affiliate Used AI-Like Loops in European School Attack
• Bitdefender – 3AM Hits European Schools: A Hybrid AI Ransomware Attack, Part Human, Part Agentic Loop
• Zona IT – Premieră în Europa: Bitdefender documentează un atac ransomware hibrid în care atacatorii lucrează alături de agenți AI
• BusinessMagazin – Premieră în Europa: Bitdefender documentează un atac ransomware hibrid în care atacatorii lucrează alături de agenţi AI
• www.revistacariere.ro – Bitdefender documentează un atac ransomware hibrid în care hackerii colaborează cu agenți AI
• InfoCons – InfoCons Protecția Consumatorilor te informează : Women4Cyber România, Community Partner al Bucharest Cybersecurity Conference 2026