3AM
Alias: ThreeAM, 3AM ransomware
Date de révision du profil source: 2026-06-21
Ajout au registre de la source: 2023-09-14 · Instantané de la source: 2026-09-15
Les métadonnées de la source ne sont pas vérifiées de manière indépendante. La date d’enregistrement n’est pas nécessairement celle de la première attaque. Les résumés de source sont traduits automatiquement si nécessaire ; le flux peut contenir des évaluations anciennes.
État de la recherche: Dossier documenté existant
Ce dossier distingue les informations de source propres à l’acteur de l’analyse défensive générale. Les recommandations et questions d’enquête ne constituent pas des faits supplémentaires sur l’acteur. Les limites des preuves publiques restent explicites.
Traduction générée localement ; la révision linguistique reste à effectuer.
Synthèse pour la direction
3AM est une famille de ransomware qui se démarque comme une alternative à l'échec d'autres charges utiles, avec post-exploitation via Cobalt Strike, utilisation de privilèges et préparation classique des impacts.
3AM est pertinent parce que l'analyse publique montre que les opérateurs de ransomware peuvent passer à une autre charge utile lorsqu'un dispositif de chiffrement primaire ne fonctionne pas. La détection devrait donc être sur la chaîne d'attaque et le comportement, pas sur un seul nom de famille.
Les cinq dernières victimes revendiquées connues
Chargement des revendications enregistrées…
Il s’agit de revendications publiques attribuées au groupe, et non d’intrusions confirmées de manière indépendante. Les dates indiquent la publication ou la découverte, pas nécessairement l’attaque.
Résumé de la gestion
3AM est un bon exemple de pourquoi la défense ransomware ne devrait pas s'appuyer sur une seule charge utile. Analyses publiques décrit 3AM dans un contexte où les opérateurs ont essayé de causer des impacts après des problèmes avec une autre charge utile.
La traduction des risques est concrète : si un acteur a déjà Cobalt Strike-comme l'accès, privilèges d'administrateur, mouvement latéral et données ou vue du serveur, la commutation de charge utile n'est qu'une étape finale.
3AM montre également que la réponse incidente n'est pas prête lors d'une attaque partiellement bloquée. Si une défaillance de chiffrement, l'acteur peut basculer. Seul l'arrêt d'un processus est insuffisant lorsque des identifiants, des sessions et un accès latéral existent encore.
Groupement et développement
3AM a été décrit publiquement comme famille de ransomware qui a été vu dans des incidents limités mais frappants. Symantec a déclaré que3AM a été utilisé aprèsLockBit a échoué dans un incident, faisant3AM intéressant comme un retour en arrière ou une alternative dans les chaînes d'exploitation criminelle.
Le nom 3AM fait référence à une charge utile spécifique ransomware, mais la menace réelle est dans l'opérateur qui a accès. Affiliés peuvent échanger des outils et charges utiles selon la disponibilité, détection ou erreurs techniques.
Il convient donc d'analyser 3AM en plus du comportement post-exploitation. La charge utile est la phase d'impact visible; la chaîne précédente détermine si l'organisation aurait pu l'empêcher.
Exploitation et chaîne d'attaque
L'auteur de reportages publics mentionne Cobalt Strike-comme utilisation dans le courant jusqu'à 3AM-impact. L'acteur utilise l'accès post-exploitation pour l'exploration, le mouvement latéral et la préparation.
Dans la préparation de l'impact des outils de sécurité peuvent être arrêtés, les services sont ajustés et données ou systèmes sélectionnés. Le ransomware peut ensuite chiffrer les fichiers et placer des notes de rançon.
Les principaux points de détection sont le balisage, les lignes de commande suspectes PowerShell ou, de nouveaux services, l'exécution à distance des processus, l'utilisation de partages d'administrateurs, le dumping de justificatifs, la datataging et les rafales soudaines d'écriture de fichiers.
3AM souligne l'importance de la session et de la remise des titres. Si seul le chiffrement est supprimé mais que l'acteur a encore des jetons ou des droits de domaine valides, l'attaque reste active.
IOC et artefacts connus
Les artefacts sont des notes de 3AM-ransom, des fichiers chiffrés, l'exécution de charge utile, des spores de type Cobalt Strike, l'exécution à distance et des modifications possibles du service.
Les indicateurs de comportement sont plus importants que le nom de la charge utile : C2-beaconing, escalade des privilèges, mouvement latéral, création de services à distance, interférence des outils de sécurité et changements massifs de fichiers.
Comme 3AM peut apparaître comme un repli, la chasse devrait également regarder en arrière à des tentatives d'impact échouées précédentes. Recherche de bloqués de type LockBit ou d'autres charges utiles suivies de nouveaux fichiers ou scripts de sortie.
Caractéristiques des victimes et enseignements tirés
3AM n'est pas connu comme un groupe dominant massif, mais la perception limitée le rend éducatif. Une seule organisation peut être touchée par des opérateurs qui essaient plusieurs charges utiles dans la même intrusion.
La leçon est que le blocage d'un dispositif de chiffrement n'est pas un confinement automatique. Les équipes d'incidents doivent couper complètement l'accès, les identifiants, C2, le mouvement latéral et la diode de données.
Une deuxième leçon est que les détections doivent être génériques, et une nouvelle charge utile ou moins connue deviendra alors visible par le comportement : exécution à distance, arrêts de service, datatage et cryptage.
Comment vous armer
Détecter la post-exploitation avant les ransomwares. Cobalt Strike-comme une balise, rare PowerShell, création de service à distance et l'utilisation d'advisorshare devraient être rapidement corrélés.
Bloc Ransomware exécute directement les titres de créance et le consentement de session. Réinitialisez les comptes touchés, retirez les jetons, isolez les itinéraires latéraux et vérifiez que C2 est toujours actif.
Faites de la préparation à l'impact visible. Surveillez les services de sécurité, le retrait des copies d'ombres, bcdedit/vssadmin/wbadmin, les nouvelles tâches programmées et les opérations massives de fichiers.
Identité, noms et attribution
Une évaluation fiable de 3AM commence par une identification précise. Le dossier local mentionne les noms ou alias suivants : ThreeAM, 3AM ransomware. Un alias facilite la recherche, mais ne prouve pas l’existence d’opérateurs communs. Des noms proches, des logos réutilisés et des textes d’extorsion similaires ne suffisent pas. Conservez l’orthographe originale et distinguez l’auteur de la publication, la famille de logiciel malveillant et l’opérateur présumé de l’intrusion. Ces rôles peuvent appartenir à des personnes différentes. Un incident ne doit pas être attribué sur la seule ressemblance d’un nom de fichier. Toute relation supposée nécessite une source propre, traçable et datée.
Indicateurs de compromission (IOC)
Les indicateurs sont des observations historiques, pas la preuve d’une infection actuelle. Vérifiez la source, l’ancienneté et le contexte avant toute détection ou tout blocage ; les outils d’administration légitimes peuvent générer des faux positifs.
| Type | Valeur | Source | Contexte |
|---|---|---|---|
| tooling | Cobalt Strike-style post-exploitation activity | Symantec 3AM reporting | Observé avant l'impact. |
| behavior | fallback ransomware payload after another payload failed | Symantec reporting | Un modèle opérationnel important. |
| behavior | remote execution, service manipulation and encryption impact | public 3AM analysis | Détection sur le comportement de la chaîne. |
Sources
- Symantec: 3AM ransomware used as fallback
- Ransomware.live: 3AM
- MITRE ATT&CK — Valid Accounts (defensive context)
- MITRE ATT&CK — External Remote Services (defensive context)
- MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
- MITRE ATT&CK — Inhibit System Recovery (defensive context)
- Ransomware.live — 3AM
Éléments probants et limites
L’attribution reflète l’évaluation de la source, pas une identité vérifiée. Une inscription sur un site de fuite ne prouve à elle seule ni chiffrement, ni vol de données, ni vulnérabilité précise, ni relation d’affiliation. Les informations manquantes restent explicitement signalées.