Un affiliato del ransomware Akira ha disattivato la protezione degli endpoint avviando il sistema in Safe Mode, sottratto dati sensibili e credenziali, ma non è riuscito a cifrare i file a causa di errori di memoria. L'attacco, durato meno di cinque ore, evidenzia la necessità di MFA e monitoraggio avanzato.
Un affiliato del ransomware Akira ha condotto un attacco sofisticato contro un'azienda sfruttando una VPN SonicWall esposta e priva di autenticazione a più fattori (MFA). L'incidente, avvenuto il 4 agosto, è stato analizzato dagli esperti di Huntress, che hanno ricostruito le fasi dell'intrusione: dopo aver ottenuto l'accesso iniziale tramite VPN, l'attaccante si è collegato al domain controller tramite RDP, ha effettuato la scansione degli utenti e dei computer Active Directory e si è spostato su un server applicativo.
Disattivazione della sicurezza tramite Safe Mode
L'attaccante ha utilizzato WinRAR per archiviare le condivisioni di rete e il tool _s5cmd_ per caricare i dati rubati su un bucket S3 sotto il suo controllo. Successivamente, ha installato AnyDesk per mantenere l'accesso remoto e ha forzato il riavvio del sistema compromesso in Safe Mode con Networking. In questa modalità, sia l'agente Huntress sia la protezione in tempo reale di Microsoft Defender sono stati disabilitati, lasciando la macchina priva di difese per circa dieci minuti. L'attaccante ha inoltre configurato AnyDesk per l'avvio automatico in Safe Mode, garantendosi la persistenza dell'accesso remoto.
Fallimento della cifratura e risposta difensiva
Nonostante la preparazione, il tentativo di eseguire il payload principale del ransomware (akira.exe) tramite AnyDesk in Safe Mode è fallito: il sistema ha segnalato errori di memoria virtuale insufficiente e problemi con PowerShell. Un successivo scan programmato di Defender ha rilevato il file Akira, ma non è riuscito a rimuoverlo finché la macchina non è stata riavviata in modalità normale, ripristinando la protezione in tempo reale e consentendo la quarantena del malware.
Dati sottratti e raccomandazioni di sicurezza
Sebbene la cifratura dei file non sia andata a buon fine, l'operatore Akira è riuscito comunque a sottrarre credenziali e dati sensibili per finalità di estorsione, completando l'operazione in meno di cinque ore dall'accesso iniziale. Huntress sottolinea che la tecnica di sfruttare il Safe Mode per aggirare le difese era già stata osservata in altri ransomware come Snatch e AvosLocker, ma è la prima volta che viene documentata in un attacco Akira. Gli esperti raccomandano di abilitare l'MFA su tutti gli account VPN, implementare sistemi di rilevamento per attacchi di credential spraying e monitorare attentamente le modifiche alla configurazione di avvio in Safe Mode e l'aggiunta di strumenti di accesso remoto al registro dei servizi di Safe Mode.
