Wprowadzenie do problemu / definicja
Akira to rodzina ransomware działająca w modelu afiliacyjnym, która łączy kradzież danych z próbami szyfrowania systemów ofiar. Opisany incydent pokazuje istotną zmianę w taktyce operatorów: wykorzystanie trybu awaryjnego systemu Windows z obsługą sieci w celu osłabienia lub czasowego wyłączenia narzędzi EDR. Dzięki temu napastnicy próbują uruchomić złośliwy ładunek w środowisku o ograniczonej ochronie.
W skrócie
- Atak rozpoczął się od przejęcia dostępu przez VPN SonicWall bez MFA.
- Napastnicy przeprowadzili rekonesans, zebrali dane i dokonali ich exfiltracji.
- Następnie przełączyli host do trybu awaryjnego z obsługą sieci, aby ograniczyć działanie EDR.
- Do utrzymania zdalnego dostępu po restarcie wykorzystano zmiany rejestru umożliwiające działanie AnyDesk w Safe Mode.
- Sama próba szyfrowania nie powiodła się z powodu błędów pamięci, ale incydent i tak należy uznać za poważny.
Kontekst / historia
Akira od dłuższego czasu stosuje schemat znany z wielu operacji ransomware: uzyskanie zdalnego dostępu, eskalacja uprawnień, rekonesans w Active Directory, przygotowanie danych do wycieku, a następnie próba szyfrowania środowiska. W tym przypadku przebieg operacji wpisywał się w znane wcześniej działania tej grupy.
Nowym elementem było jednak użycie trybu awaryjnego jako sposobu na obejście ochrony endpointów. Tego rodzaju technika była wcześniej obserwowana w ekosystemie ransomware, ale jej zastosowanie przez Akira potwierdza, że operatorzy aktywnie adaptują sprawdzone metody antydetekcyjne. To także sygnał, że współczesne kampanie ransomware coraz mocniej koncentrują się nie tylko na samym szyfrowaniu, ale również na neutralizacji telemetrii, EDR i mechanizmów antywirusowych.
Analiza techniczna
Punktem wejścia do środowiska był wystawiony do Internetu VPN, który nie był chroniony uwierzytelnianiem wieloskładnikowym. Po uzyskaniu dostępu operatorzy poruszali się po sieci, korzystali z RDP, identyfikowali zasoby domenowe i analizowali dostępne udziały plikowe. Do rozpoznania użytkowników, komputerów i grup w Active Directory wykorzystano PowerShell.
Na etapie exfiltracji dane archiwizowano przy użyciu WinRAR, a następnie przesyłano do zewnętrznego zasobu zgodnego z S3 za pomocą narzędzia s5cmd. To pokazuje, że model podwójnego wymuszenia pozostaje kluczowym elementem operacji Akira: nawet w sytuacji, gdy szyfrowanie zawiedzie, wykradzione dane nadal mogą służyć do wywierania presji na ofiarę.
Kluczowy moment incydentu nastąpił po skonfigurowaniu hosta do uruchomienia w trybie awaryjnym z obsługą sieci. W takim trybie system uruchamia ograniczoną liczbę sterowników i usług, co może powodować, że część rozwiązań EDR nie startuje poprawnie albo traci część funkcji. Napastnik dodatkowo zmodyfikował rejestr tak, aby AnyDesk mógł działać również po restarcie w Safe Mode.
Po przejściu do trybu awaryjnego ochrona endpointowa została istotnie osłabiona. EDR przestał skutecznie działać, a ochrona czasu rzeczywistego Microsoft Defender nie była dostępna. To stworzyło krótkie, ale bardzo istotne okno operacyjne, w którym system pozostawał bez pełnej warstwy ochronnej. Właśnie wtedy uruchomiono plik wykonywalny ransomware.
Proces szyfrowania nie zakończył się jednak powodzeniem. Malware napotkał problemy związane z pamięcią i niewystarczającymi zasobami pamięci wirtualnej. Oznacza to, że uproszczone środowisko trybu awaryjnego, choć korzystne z punktu widzenia omijania zabezpieczeń, jednocześnie ograniczyło możliwości samego ładunku ransomware. Ostatecznie pełniejsza funkcjonalność ochrony wróciła dopiero po uruchomieniu systemu w normalnym trybie pracy, co umożliwiło skuteczne usunięcie próbki.
Konsekwencje / ryzyko
Najważniejszy wniosek z tego incydentu jest prosty: brak skutecznego szyfrowania nie oznacza, że atak zakończył się niepowodzeniem. Napastnicy zrealizowali kilka kluczowych celów, w tym uzyskali dostęp do środowiska, przeprowadzili rekonesans, wykradli dane i czasowo ograniczyli działanie ochrony. Dla wielu organizacji sam wyciek informacji może powodować skutki prawne, reputacyjne i operacyjne porównywalne z pełnym zaszyfrowaniem infrastruktury.
Technika wykorzystania Safe Mode do obchodzenia EDR jest szczególnie niebezpieczna, ponieważ podważa skuteczność narzędzi uznawanych często za ostatnią linię obrony. Jeżeli organizacja nie monitoruje wymuszonych restartów z parametrami SAFEBOOT albo nie wie, jak jej rozwiązania bezpieczeństwa zachowują się w trybie awaryjnym, napastnik może zyskać cenny czas na działania destrukcyjne lub dalszą exfiltrację.
Dodatkowe ryzyko wynika z faktu, że niepowodzenie Akira mogło być efektem wyłącznie ograniczeń konkretnego hosta. Na systemach z większą ilością pamięci lub inną konfiguracją pliku stronicowania ta sama technika może okazać się skuteczna. Możliwe jest również, że kolejne warianty malware zostaną zoptymalizowane pod kątem pracy w bardziej ograniczonym środowisku.
Rekomendacje
Priorytetem powinno być zabezpieczenie dostępu zdalnego. Wszystkie bramy VPN, portale dostępowe i usługi RDP powinny być chronione MFA, ograniczeniami źródłowych adresów IP oraz monitoringiem nietypowych logowań. Brak MFA na usługach brzegowych nadal pozostaje jednym z najczęściej wykorzystywanych wektorów wejścia.
Po stronie detekcji warto wdrożyć alerty dla aktywności związanej z uruchamianiem systemu w trybie awaryjnym. Dotyczy to w szczególności użycia narzędzi takich jak msconfig.exe i bcdedit, zmian konfiguracji rozruchu oraz zdarzeń wskazujących na start z opcją SAFEBOOT. Istotne jest również wykrywanie zmian w rejestrze, które umożliwiają uruchamianie narzędzi zdalnego dostępu, takich jak AnyDesk, w Safe Mode.
Organizacje powinny także monitorować nagłe zatrzymanie usług bezpieczeństwa, anomalie w pracy EDR po restarcie hosta, aktywność PowerShell, próby rekonesansu w Active Directory oraz transfer danych do zewnętrznych usług chmurowych zgodnych z S3. W przypadku wykrycia wycieku danych należy uruchomić pełne procedury reagowania na incydenty, nawet jeśli szyfrowanie systemów nie nastąpiło.
W praktyce uzasadnione jest również testowanie odporności rozwiązań EDR w scenariuszach restartu, awarii i uruchomienia systemu w trybach ograniczonych. Zespoły bezpieczeństwa powinny dokładnie wiedzieć, które komponenty ochronne działają w Safe Mode, a które tracą widoczność lub przestają chronić host.
Podsumowanie
Incydent związany z Akira pokazuje, że nowoczesne operacje ransomware coraz częściej łączą klasyczne techniki kradzieży danych z bardziej zaawansowanymi metodami obchodzenia zabezpieczeń endpointów. W tym przypadku wykorzystanie trybu awaryjnego nie było jedynie dodatkiem technicznym, lecz centralnym elementem całej operacji.
Mimo że szyfrowanie nie powiodło się z powodu błędów pamięci, skutki incydentu pozostają poważne. Atakujący zdołali wyeksfiltrować dane i uzyskać czasowe okno działania bez pełnej ochrony. Dla organizacji oznacza to konieczność wzmocnienia ochrony dostępu zdalnego, rozszerzenia detekcji o zdarzenia związane z Safe Mode oraz przyjęcia założenia, że przyszłe warianty Akira mogą skuteczniej wykorzystać tę samą technikę.