Ransomware 3AM Serang Jaringan Sekolah di Inggris, Hacker Diduga Gunakan AI untuk Otomatisasi Serangan
Kelompok ransomware 3AM berhasil mengenkripsi sekitar 37 komputer dan server dalam jaringan sekolah di Inggris melalui serangan siber yang diduga menggunakan bantuan artificial intelligence (AI).
Menurut laporan Bitdefender yang diterbitkan pada 3 November 2026, penyerang menggunakan kombinasi teknik peretasan konvensional dan pola eksekusi perintah yang menyerupai sistem AI agent.
Serangan yang berlangsung pada 10–19 September 2026 tersebut mencakup pencurian kredensial, pengambilalihan akun administrator, hingga penyebaran ransomware ke berbagai komputer melalui jaringan Active Directory.
Peneliti menemukan bahwa sejumlah perintah dijalankan berulang kali dengan perubahan kecil dalam interval sekitar 40 hingga 100 detik, pola yang dinilai konsisten dengan proses otomatis berbasis AI.
Namun, Bitdefender menegaskan bahwa penggunaan AI belum dapat dikonfirmasi secara definitif karena peneliti tidak memiliki akses ke komputer yang digunakan penyerang untuk mengendalikan serangan.
Hampir 50 Komputer dan Server Sekolah Menjadi Target
Investigasi Bitdefender mengidentifikasi sebuah lingkungan jaringan pendidikan di Inggris yang terdiri dari 47 perangkat.
Infrastruktur tersebut mencakup sekitar 21 server, termasuk delapan domain controller yang digunakan untuk mengelola akun dan autentikasi pengguna.
Sejumlah komputer masih menjalankan Windows 10, sementara satu domain controller menggunakan Windows Server 2012 R2.
Awalnya, beberapa sekolah memiliki lingkungan Active Directory terpisah yang tidak saling terhubung.
Penyerang kemudian memanfaatkan akses yang berhasil diperoleh untuk menjangkau sistem lain dalam jaringan.
Pada tahap akhir, ransomware berhasil mengenkripsi sekitar 37 perangkat dari hampir 50 sistem yang dapat dijangkau.
Bitdefender belum memastikan bagaimana penyerang pertama kali memperoleh akses ke jaringan tersebut.
Namun, seluruh aktivitas yang diamati berasal dari sebuah komputer internal yang tidak dikelola oleh sistem perlindungan endpoint Bitdefender.
Kondisi tersebut membatasi kemampuan peneliti untuk mengidentifikasi seluruh aktivitas yang dilakukan penyerang.
Hacker Curi Kredensial dari Server Backup Veeam
Salah satu langkah awal penyerang adalah menargetkan sistem backup yang menggunakan software Veeam.
Melalui script PowerShell yang dimodifikasi dari tool publik, penyerang mencoba mengekstraksi kredensial yang tersimpan dalam database Veeam.
Aktivitas tersebut terdeteksi pada tiga server backup.
Penyerang juga menyalin database Chrome yang menyimpan informasi login serta menggunakan tool Mimikatz untuk memperoleh kredensial Windows.
Selain itu, mereka berupaya mengambil informasi dari proses LSASS, komponen Windows yang menangani autentikasi pengguna.
Setelah memperoleh akses administratif, hacker membuat dua akun backdoor bernama:
librarysvc_bkpmon
Kedua akun tersebut diberikan hak akses Domain Admin agar penyerang dapat mempertahankan kendali terhadap jaringan.
Nama akun sengaja dibuat menyerupai akun layanan yang biasa ditemukan dalam lingkungan sekolah dan infrastruktur backup.
Tiga Domain Active Directory Berhasil Dihubungkan
Salah satu tahap penting serangan adalah perubahan konfigurasi Active Directory.
Penyerang membangun hubungan kepercayaan dua arah atau two-way trust antara tiga domain yang sebelumnya terpisah.
Konfigurasi tersebut memungkinkan akun dari satu domain digunakan untuk mengakses resource pada domain lainnya, sesuai hak akses yang diberikan.
Melalui mekanisme ini, penyerang dapat memperluas akses tanpa harus membobol setiap jaringan sekolah secara terpisah.
Bitdefender menemukan bahwa proses konfigurasi domain dilakukan menggunakan berbagai perintah Windows, termasuk PowerShell, WMI, dan utilitas administrasi bawaan.
Penyerang juga mencari informasi jaringan sekolah lainnya melalui folder SYSVOL yang berisi script login dan konfigurasi domain.
Pada tahap berikutnya, pelaku mengumpulkan dokumen keuangan dari sistem yang dikompromikan dan mengirimkannya menuju komputer internal yang digunakan sebagai titik pengendali serangan.
Pola Perintah Menunjukkan Kemungkinan Penggunaan AI Agent
Bagian paling menarik dari investigasi Bitdefender adalah pola penggunaan perintah yang terlihat berbeda dari aktivitas peretasan manual biasa.
Peneliti menemukan beberapa percobaan yang berulang dengan interval relatif konsisten.
Dalam salah satu rangkaian aktivitas, penyerang menjalankan perintah PowerShell, kemudian mengulanginya sekitar 41 detik kemudian.
Percobaan berikutnya dilakukan dengan sedikit perubahan setelah 49 detik, sebelum akhirnya beralih menggunakan WMI sekitar 47 detik kemudian.
Menurut Bitdefender, pola tersebut menyerupai agentic loop, yaitu mekanisme ketika AI menerima hasil sebuah perintah, menganalisis kegagalan, lalu mencoba pendekatan lain secara otomatis.
Peneliti juga menemukan kesalahan penulisan perintah yang lazim muncul ketika model bahasa menghasilkan kode berdasarkan pengetahuan umum, bukan dokumentasi teknis yang akurat.
Sebagai contoh, terdapat penggunaan sintaks Linux dalam perintah Windows serta konfigurasi API Veeam yang tidak sesuai dengan dokumentasi resminya.
Meski demikian, Bitdefender tidak dapat memastikan model AI apa yang digunakan, apakah dijalankan secara lokal atau melalui cloud, maupun apakah operator manusia masih menyalin perintah secara manual.
Temuan tersebut merupakan indikasi kuat penggunaan bantuan AI, bukan bukti bahwa seluruh serangan dilakukan secara mandiri tanpa manusia.
Ransomware 3AM Berhasil Mengenkripsi 37 Perangkat
Pada 19 September 2026, penyerang mulai menjalankan tahap akhir serangan.
Mereka mencoba menonaktifkan perlindungan endpoint Sophos dan Bitdefender menggunakan beberapa versi script PowerShell.
Namun, mekanisme anti-tampering pada software keamanan tersebut berhasil mencegah sebagian upaya penonaktifan.
Penyerang kemudian menggunakan metode eksekusi jarak jauh untuk menyebarkan ransomware ke berbagai komputer.
Malware yang digunakan merupakan encryptor 3AM berbasis Rust, yang telah dikenal sejak 2023.
Selain mengenkripsi file, ransomware juga berusaha menghapus backup system-state Windows untuk mempersulit pemulihan.
Proses enkripsi berlangsung antara pukul 05.07 hingga 05.33 UTC dan berhasil menjangkau sekitar 37 perangkat.
Kelompok 3AM sendiri dikenal menggunakan model Ransomware-as-a-Service (RaaS), ketika operator menyediakan malware kepada afiliasi yang menjalankan serangan dan berbagi keuntungan.
Bitdefender Ingatkan Risiko Serangan Ransomware Berbasis AI
Kasus ini menunjukkan bahwa pemanfaatan AI dalam kejahatan siber tidak harus melibatkan malware baru atau teknik eksploitasi yang belum pernah dikenal.
Penyerang tetap menggunakan tool umum seperti PowerShell, WMI, Mimikatz, serta utilitas administrasi Windows.
Perbedaannya terletak pada kemampuan menjalankan dan mengulangi pekerjaan teknis secara lebih sistematis.
Bitdefender menyarankan organisasi memperketat perlindungan kredensial administrator, memantau perubahan hubungan kepercayaan antar-domain, serta membatasi akses terhadap server backup.
Aktivitas tidak biasa seperti pembuatan akun Domain Admin baru, percobaan pengambilan kredensial, dan eksekusi perintah berulang juga perlu dipantau.
Selain itu, organisasi harus memastikan backup tersimpan secara terpisah dan tidak dapat dihapus menggunakan kredensial yang sama dengan jaringan produksi.
Bitdefender menilai pendekatan gabungan antara operator manusia dan AI agent berpotensi semakin banyak digunakan dalam serangan ransomware pada masa mendatang.
Insiden 3AM di Inggris memperlihatkan bahwa AI dapat membantu penyerang mengotomatisasi berbagai tahapan intrusi, tetapi pola eksekusi yang berulang juga dapat menjadi indikator penting untuk mendeteksi serangan lebih awal.
Sumber: Bitdefender — 3AM Hits European Schools: A Hybrid AI Ransomware Attack, Part Human, Part Agentic Loop
