Wprowadzenie do problemu / definicja
Operatorzy ransomware coraz częściej nie ograniczają się do samego szyfrowania plików. Coraz większą rolę odgrywa wcześniejsze osłabienie mechanizmów ochronnych, przejęcie poświadczeń oraz kradzież danych, które mogą później posłużyć do wymuszenia okupu. Opisany incydent powiązany z grupą Akira dobrze pokazuje tę zmianę podejścia.
W analizowanym scenariuszu napastnicy wykorzystali uruchomienie systemu Windows w trybie awaryjnym z obsługą sieci, aby ograniczyć działanie części narzędzi bezpieczeństwa. Choć końcowa próba zaszyfrowania danych zakończyła się niepowodzeniem, atak i tak należy uznać za poważny, ponieważ wcześniej doszło do skutecznej eksfiltracji informacji.
W skrócie
- Początkowy dostęp uzyskano przez publicznie dostępne urządzenie VPN SonicWall bez MFA.
- Po zalogowaniu napastnicy przeprowadzili rozpoznanie środowiska Active Directory i przemieścili się na serwer aplikacyjny.
- Dane z udziałów sieciowych zostały spakowane i wyeksportowane do zewnętrznego zasobu S3.
- Host uruchomiono w Safe Mode with Networking, co osłabiło działanie EDR i części funkcji ochronnych.
- Ładunek ransomware Akira nie zaszyfrował plików z powodu błędów pamięci, ale kradzież danych zakończyła się sukcesem.
Kontekst / historia
Akira pozostaje jedną z aktywnych grup ransomware stosujących model podwójnego wymuszenia. W takim podejściu przestępcy nie tylko próbują zaszyfrować zasoby organizacji, ale również grożą ujawnieniem wykradzionych danych. To sprawia, że nawet częściowo nieudany atak może wywołać poważne konsekwencje operacyjne, prawne i reputacyjne.
Sama technika wykorzystania trybu awaryjnego nie jest całkowicie nowa, ponieważ podobne działania obserwowano już wcześniej w kampaniach innych rodzin ransomware. Istotne w tym przypadku jest jednak przypisanie takiego playbooka do działań afilianta Akira oraz połączenie go z klasycznym atakiem typu hands-on-keyboard, opartym na legalnych narzędziach administracyjnych i zdalnym dostępie.
Analiza techniczna
Łańcuch ataku rozpoczął się od przejęcia dostępu przez urządzenie VPN pozbawione wieloskładnikowego uwierzytelniania. Taki wektor wejścia jest szczególnie niebezpieczny, ponieważ aktywność atakującego może początkowo przypominać zwykłe logowanie uprawnionego użytkownika.
Po wejściu do środowiska napastnicy połączyli się z kontrolerem domeny przez RDP i przeprowadzili enumerację użytkowników oraz systemów w Active Directory. Następnie przeszli na serwer aplikacyjny, gdzie rozpoczęli etapowanie danych do eksfiltracji.
Do pakowania plików wykorzystano WinRAR, co wskazuje na klasyczne przygotowanie dużych wolumenów danych przed wysyłką. Następnie użyto narzędzia s5cmd do transferu archiwów do zewnętrznego zasobu S3. Taki zestaw narzędzi jest niebezpieczny, ponieważ łączy prostotę operacyjną z możliwością szybkiego przenoszenia dużej ilości danych poza organizację.
Kolejnym krokiem była instalacja AnyDesk jako kanału zdalnego dostępu. Następnie host przełączono do trybu Safe Mode with Networking. W tym trybie Windows uruchamia ograniczony zestaw sterowników i usług, przez co część agentów EDR oraz dodatkowych mechanizmów ochronnych może nie działać poprawnie lub w ogóle się nie uruchomić.
Według opisu incydentu agent EDR przestał działać, a ochrona czasu rzeczywistego Microsoft Defender została wyłączona. Dodatkowo napastnicy skonfigurowali AnyDesk tak, aby utrzymać dostęp również po restarcie systemu w trybie awaryjnym. To pokazuje, że Safe Mode może być wykorzystany nie tylko do osłabienia detekcji, ale także do utrzymania kontroli nad hostem w krytycznym momencie ataku.
Ostatecznie próba uruchomienia pliku ransomware Akira nie doprowadziła do szyfrowania danych. Z relacji wynika, że zadziałały tu problemy związane z pamięcią wirtualną oraz błędy typu out-of-memory i problemy po stronie PowerShell. Dopiero po powrocie systemu do normalnego trybu pracy standardowe mechanizmy ochronne mogły skutecznie wykryć i usunąć złośliwy plik wykonywalny.
Techniczna lekcja z tego incydentu jest jasna: skuteczność operacji ransomware nie zależy wyłącznie od uruchomienia szyfratora. Jeżeli napastnik wcześniej wyniósł dane, przejął poświadczenia i osłabił telemetrykę ochronną, to organizacja i tak znajduje się w stanie pełnoprawnego naruszenia bezpieczeństwa.
Konsekwencje / ryzyko
Największym zagrożeniem w takim scenariuszu jest błędne założenie, że brak zaszyfrowanych plików oznacza brak istotnych szkód. W praktyce organizacja może już mierzyć się z wyciekiem danych, utratą poufności informacji, ryzykiem szantażu oraz możliwością dalszego wykorzystania przejętych poświadczeń w kolejnych etapach ataku.
Incydent podkreśla również znaczenie ochrony urządzeń brzegowych i usług zdalnego dostępu. VPN bez MFA pozostaje jednym z najprostszych i najskuteczniejszych punktów wejścia dla napastników, szczególnie gdy organizacja opiera zaufanie wyłącznie na haśle.
Dodatkowe ryzyko wynika z wykorzystania legalnych narzędzi, takich jak RDP, AnyDesk, WinRAR czy usługi chmurowe. Ich obecność w środowisku bywa uzasadniona biznesowo, co utrudnia zespołom SOC szybkie odróżnienie legalnej aktywności od działań przeciwnika.
Rekomendacje
Podstawowym działaniem obronnym powinno być bezwzględne wdrożenie MFA dla wszystkich kanałów VPN i zdalnego dostępu. Dotyczy to zarówno użytkowników końcowych, jak i kont uprzywilejowanych oraz serwisowych.
Równie ważne jest monitorowanie zachowań, które mogą wskazywać na próbę obejścia zabezpieczeń przez Safe Mode. Organizacje powinny rozważyć wdrożenie detekcji obejmującej:
- zmiany konfiguracji rozruchu systemu Windows,
- uruchomienie trybu awaryjnego z obsługą sieci,
- modyfikacje kluczy rejestru związanych z usługami startującymi w Safe Mode,
- instalację i użycie narzędzi zdalnego dostępu, takich jak AnyDesk,
- nietypowe wykorzystanie WinRAR, 7-Zip i podobnych narzędzi na serwerach,
- transfery do zasobów S3 lub innych zewnętrznych magazynów obiektowych,
- logowania VPN z niestandardowych lokalizacji, urządzeń lub godzin,
- aktywność RDP prowadzącą do szybkiej enumeracji AD i dostępu do wielu udziałów.
W odpowiedzi na incydent należy zakładać, że nieudane szyfrowanie nie zamyka sprawy. Jeśli wcześniej doszło do eksfiltracji, organizacja powinna uruchomić pełną procedurę obsługi naruszenia danych, w tym reset poświadczeń, przegląd trwałości dostępu, analizę zakresu wycieku oraz ocenę obowiązków prawnych i kontraktowych.
Warto także sprawdzić, czy używane rozwiązania EDR i AV zapewniają odpowiednią ochronę lub przynajmniej telemetrykę podczas restartu hosta do trybu awaryjnego. Tam, gdzie to możliwe, należy ograniczać możliwość nieautoryzowanych restartów, kontrolować narzędzia zdalnego dostępu i alarmować o podejrzanych zmianach w rejestrze rozruchowym.
Podsumowanie
Atak przypisywany afiliantowi Akira pokazuje, że nowoczesne operacje ransomware są coraz bardziej elastyczne i nastawione na obejście detekcji oraz maksymalizację presji na ofiarę. Safe Mode with Networking może pełnić rolę praktycznego mechanizmu osłabienia ochrony bez potrzeby stosowania bardziej zaawansowanych exploitów.
Najważniejszy wniosek dla organizacji jest prosty: brak zaszyfrowanych plików nie oznacza braku strat. Jeśli doszło do eksfiltracji danych i przejęcia poświadczeń, incydent nadal ma wysoki priorytet i wymaga pełnej reakcji bezpieczeństwa.
Źródła
- Akira hackers disable EDR with Safe Mode, steal data but fail to encrypt — https://www.bleepingcomputer.com/news/security/akira-hackers-disable-edr-with-safe-mode-steal-data-but-fail-to-encrypt/
- Huntress research referenced in incident coverage — https://www.huntress.com/