C
月内に
英国の学校ネットワークが3AM Ransomwareグループによる攻撃を受け、約37台のコンピュータが暗号化されました
📌 一言でいうと
英国の学校ネットワークが3AM Ransomwareグループによる攻撃を受け、約37台のコンピュータが暗号化されました。攻撃者は管理外のホストを経由して侵入し、Veeam Backup ServerやChromeから認証情報を窃取したとみられています。また、攻撃コマンドが短時間で微調整されながら繰り返し送信されていたことから、AI（Agentic Loop）が利用された可能性が指摘されています。
🔍該当判定
- バックアップソフトに『Veeam Backup』を利用している
- 社内ネットワークに、会社が管理していない個人PCや私物デバイス（BYOD）を接続させている
- Windowsの管理ツールである『PowerShell』の実行制限をかけていない
- ブラウザ（Google Chrome等）にパスワードを保存して利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
管理外デバイスのネットワーク接続制限、特権アカウントの認証強化（MFA導入）、バックアップサーバーのセキュリティ設定見直し、および不審なPowerShell実行の監視を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】3AM Ransomwareによる攻撃事例と対策について
お疲れさまです。3AM Ransomwareによる英国教育機関への攻撃事例に関する情報共有です。
■ 概要
攻撃者が管理外ホスト（Unmanaged Host）を経由して侵入し、Veeam Backup ServerやChromeから認証情報を窃取、最終的にデータを暗号化した事例です。特筆すべき点として、AIを用いたAgentic Loopによる自動化された攻撃の可能性が報告されています。
■ 影響範囲
- 管理外デバイスがネットワークに接続可能な環境
- Veeam Backup Serverを利用している環境
- 認証情報の管理が不十分なWindows端末
■ 対応手順
1. ネットワーク内の未管理デバイスの検出し、アクセス制御を徹底すること
2. Veeam Backup Server等のバックアップ基盤における認証情報の保護および監視の強化
3. MimikatzやLSASSメモリダンプ等の不審な挙動を検知するEDRルールの最適化
4. 特権アカウントへの多要素認証 (MFA) の強制適用
■ 参考情報
- Bitdefender Report
対応優先度: 中
対応期限: 随時
お疲れさまです。3AM Ransomwareによる英国教育機関への攻撃事例に関する情報共有です。
■ 概要
攻撃者が管理外ホスト（Unmanaged Host）を経由して侵入し、Veeam Backup ServerやChromeから認証情報を窃取、最終的にデータを暗号化した事例です。特筆すべき点として、AIを用いたAgentic Loopによる自動化された攻撃の可能性が報告されています。
■ 影響範囲
- 管理外デバイスがネットワークに接続可能な環境
- Veeam Backup Serverを利用している環境
- 認証情報の管理が不十分なWindows端末
■ 対応手順
1. ネットワーク内の未管理デバイスの検出し、アクセス制御を徹底すること
2. Veeam Backup Server等のバックアップ基盤における認証情報の保護および監視の強化
3. MimikatzやLSASSメモリダンプ等の不審な挙動を検知するEDRルールの最適化
4. 特権アカウントへの多要素認証 (MFA) の強制適用
■ 参考情報
- Bitdefender Report
対応優先度: 中
対応期限: 随時
Subject: [Intel] 3AM Ransomware Attack Case and Mitigation
Dear Team,
We are sharing intelligence regarding a recent attack by the 3AM Ransomware group on a UK educational institution.
■ Overview
Attackers gained entry via unmanaged hosts and utilized modified public PowerShell tools to extract credentials from Veeam Backup Servers and Chrome databases. The use of Mimikatz and LSASS memory dumping was observed. Notably, the attack pattern suggests the potential use of AI (Agentic Loop) to iteratively refine attack commands.
■ Scope
- Environments allowing unmanaged devices on the network
- Organizations utilizing Veeam Backup Servers
- Windows endpoints with insufficient credential protection
■ Mitigation Steps
1. Identify and restrict network access for unmanaged devices.
2. Enhance security and monitoring for backup infrastructure (e.g., Veeam).
3. Optimize EDR rules to detect Mimikatz and LSASS memory dumping activities.
4. Enforce Multi-Factor Authentication (MFA) for all privileged accounts.
■ Reference
- Bitdefender Report
Priority: Medium
Deadline: Ongoing
Dear Team,
We are sharing intelligence regarding a recent attack by the 3AM Ransomware group on a UK educational institution.
■ Overview
Attackers gained entry via unmanaged hosts and utilized modified public PowerShell tools to extract credentials from Veeam Backup Servers and Chrome databases. The use of Mimikatz and LSASS memory dumping was observed. Notably, the attack pattern suggests the potential use of AI (Agentic Loop) to iteratively refine attack commands.
■ Scope
- Environments allowing unmanaged devices on the network
- Organizations utilizing Veeam Backup Servers
- Windows endpoints with insufficient credential protection
■ Mitigation Steps
1. Identify and restrict network access for unmanaged devices.
2. Enhance security and monitoring for backup infrastructure (e.g., Veeam).
3. Optimize EDR rules to detect Mimikatz and LSASS memory dumping activities.
4. Enforce Multi-Factor Authentication (MFA) for all privileged accounts.
■ Reference
- Bitdefender Report
Priority: Medium
Deadline: Ongoing