Bitdefender ha identificado lo que describe como el “primer caso de este tipo”: un ataque de ransomware “híbrido” que ha afectado a escuelas en Reino Unido, en el que los atacantes han hecho un uso intensivo de inteligencia artificial (IA) para desplegar su ataque.
Este ataque se ha apoyado fundamentalmente en herramientas legítimas integradas en Windows, siguiendo la táctica conocida como living off the land (LOTL), que consiste en usar recursos propios del sistema operativo para dificultar la detección.
El ciberatacante usó PowerShell, Windows Management Instrumentation (WMI) —la interfaz nativa para ejecutar comandos a distancia en otros dispositivos— además de herramientas como reg, netsh, rundll32 y utilidades propias de Windows para gestión de dominios y tareas programadas. 
Lo más novedoso señalado por los investigadores de Bitdefender es el comportamiento del atacante, que podría ser un “bucle agente” (agentic loop). Esto consiste en que la IA recibe los resultados de cada comando, los analiza y decide los siguientes pasos, volviendo a actuar según obtiene nuevas respuestas.
En términos sencillos, un humano establecía los objetivos del ataque, mientras que un agente basado en IA se encargaba de ejecutar comandos repetitivos, interpretar resultados y reintentar operaciones que fallaban.
La compañía explicó que unos comandos evidenciaban indicios de intervención de un modelo de IA: por ejemplo, llamadas poco precisas a la interfaz web de un software de copia de seguridad empresarial llamado Veeam, con métodos de acceso y puertos que no coincidían con la documentación oficial, algo típico cuando se programa “de memoria” y no con detalles técnicos correctos. Además, aparecían archivos de confirmación, salidas autodenominadas y versiones numeradas del mismo script, todo muy característico de un proceso automatizado con bucles de reintento.
Se prevé un aumento de ataques ‘híbridos’ basados en IA
En un momento dado, el atacante ejecutó un comando PowerShell que repitió sin cambios 41 segundos después, realizó un pequeño ajuste 49 segundos más tarde y después abandonó PowerShell para utilizar wmic, el antiguo intérprete de comandos para WMI. Todo el cambio se realizó a una velocidad imposible de alcanzar manualmente.
Este método híbrido resulta eficiente económicamente para los criminales, ya que combina la supervisión humana con la automatización de tareas repetitivas por IA para optimizar el proceso.
Bitdefender advierte que esta modalidad de ataque será cada vez más habitual, y estima que en 2027 los ataques híbridos con IA se multiplicarán en el panorama de la cibercriminalidad.
El grupo 3AM detrás del ataque
La firma atribuye el ataque a escuelas del Reino Unido al grupo conocido como 3AM, que opera bajo un modelo de Ransomware como servicio (RaaS). Esta estructura permite que el grupo principal desarrolle el malware y lo alquile a afiliados que ejecutan las intrusiones y comparten los beneficios.
Los investigadores encontraron que el entorno atacado incluía 47 sistemas: unos 21 servidores, ocho de ellos controladores de dominio; 10 estaciones de trabajo con Windows 10, un sistema al que se le acaba el soporte en octubre de 2025; un controlador de dominio con Windows Server 2012 R2 y el resto con Windows 11.
El sistema se componía inicialmente de múltiples dominios de Active Directory independientes, sin conexiones entre ellos.
Durante el reconocimiento, el atacante exploró relaciones de confianza entre dominios y buscó en la carpeta SYSVOL —que contiene scripts de inicio de sesión accesibles para cualquier usuario del dominio— para identificar nombres y subredes asociadas a otras escuelas. Fueron creadas dos cuentas de administrador de dominio para puertas traseras, con nombres como “library” y “svc_bkpmon”, que parecían adecuarse al entorno escolar para pasar desapercibidas.
Aunque Bitdefender no ha determinado cómo fue el acceso inicial al sistema, permanecerá vigilante ante posibles ataques similares y la posible extensión de esta técnica.
Recomendaciones para reforzar la seguridad
Ante estas amenazas, Bitdefender aconseja a las organizaciones delimitar claramente las cuentas administrativas, evitando que credenciales privilegiadas de varios dominios se almacenen en un único lugar. También es crucial tratar las copias de seguridad como un blanco prioritario y revisar las estrategias para protegerlas de manipulaciones maliciosas.
Además, recomienda restringir la ejecución remota y el acceso a recursos administrativos compartidos, así como bloquear intérpretes y shells en dispositivos donde no sean imprescindibles.
La firma de ciberseguridad Huntress ha coincido con estas conclusiones tras observar este tipo de tácticas en varias intrusiones de ransomware durante el año. Dray Agha, gerente sénior de respuesta táctica en Huntress, manifestó: “Esperamos un aumento rápido de ataques con este comportamiento automatizado en el próximo año. Los ciberdelincuentes no necesitan ya profundos conocimientos técnicos para modificar sus métodos y evadir defensas, pues pueden apoyarse en herramientas de inteligencia artificial para probar diferentes vías de ataque hasta encontrar una vulnerabilidad”.
Subrayó además que, dada la gran envergadura de las redes de los centros educativos y sus limitados recursos de seguridad, estos se convierten en objetivos especialmente vulnerables y rentables para los atacantes.
