Wprowadzenie do problemu / definicja
Operatorzy ransomware Akira wykorzystali technikę uruchomienia przejętego systemu Windows w trybie awaryjnym z obsługą sieci, aby ograniczyć skuteczność narzędzi EDR i ochrony antywirusowej. Taki scenariusz pozwala napastnikom osłabić telemetrię bezpieczeństwa, utrzymać zdalny dostęp do hosta i przygotować środowisko do eksfiltracji danych oraz próby uruchomienia szyfrującego ładunku.
Incydent pokazuje, że nawet nowoczesne mechanizmy ochronne nie wystarczą, jeśli organizacja pozostawia podstawowe luki operacyjne. W tym przypadku kluczowym błędem okazał się publicznie dostępny VPN bez wieloskładnikowego uwierzytelniania.
W skrócie
Atak rozpoczął się od uzyskania dostępu przez urządzenie SonicWall VPN bez MFA. Następnie napastnik przemieścił się przez RDP do kontrolera domeny, przeprowadził rekonesans Active Directory, spakował dane z udziałów sieciowych i wyeksfiltrował je do zewnętrznego zasobu S3.
W dalszej fazie wdrożono AnyDesk i wymuszono restart systemu do trybu Safe Mode with Networking, co ograniczyło działanie zabezpieczeń endpointowych. Ostateczna próba uruchomienia ransomware nie powiodła się z powodu błędów pamięci, ale atakujący i tak zdołali wykraść dane oraz poświadczenia.
Kontekst / historia
Nadużywanie trybu awaryjnego nie jest nową techniką w ekosystemie ransomware. Safe Mode uruchamia Windows z minimalnym zestawem sterowników i usług, co z jednej strony ułatwia diagnostykę, a z drugiej może zostać wykorzystane do czasowego ograniczenia działania agentów bezpieczeństwa.
Przypadek powiązany z Akira potwierdza, że grupy ransomware nadal skutecznie łączą klasyczne błędy konfiguracyjne z prostymi metodami obchodzenia ochrony. To także sygnał, że ataki coraz częściej koncentrują się nie tylko na szyfrowaniu, ale również na eksfiltracji danych jako osobnym wektorze wymuszenia.
Analiza techniczna
Łańcuch ataku był stosunkowo krótki, ale dobrze zaplanowany. Po uzyskaniu dostępu do VPN napastnik zalogował się do środowiska, a po około dwóch godzinach nawiązał połączenie RDP z kontrolerem domeny. Tam przeprowadzono rekonesans zasobów Active Directory, w tym użytkowników i komputerów, aby ułatwić dalszy ruch boczny.
Kolejnym etapem było przejście na serwer aplikacyjny. Napastnik użył WinRAR do spakowania mapowanych udziałów sieciowych, a następnie s5cmd do przesłania danych do kontrolowanego przez siebie bucketa S3. Taki schemat działania wskazuje na model podwójnego wymuszenia, w którym kradzież danych poprzedza szyfrowanie lub staje się jego substytutem.
Kluczowy moment nastąpił po wdrożeniu AnyDesk. Za pomocą tego narzędzia atakujący wymusił restart hosta do trybu awaryjnego z obsługą sieci i dodał AnyDesk do konfiguracji Safe Mode w rejestrze Windows, aby zachować możliwość dalszego zdalnego dostępu po ponownym uruchomieniu. W efekcie rozwiązania EDR i ochrona czasu rzeczywistego działały w ograniczonym zakresie lub nie uruchamiały się automatycznie.
Następnie operator próbował uruchomić ładunek ransomware wskazywany jako akira.exe bezpośrednio z sesji AnyDesk. Próba zakończyła się niepowodzeniem z powodu problemów z pamięcią wirtualną, komunikatów out-of-memory oraz błędów PowerShell. Oznacza to, że pomimo częściowego obejścia ochrony atak nie doprowadził do pełnego szyfrowania danych.
Warto też zwrócić uwagę na zachowanie Microsoft Defender. Zaplanowane skanowanie wykryło plik wykonywalny Akira nawet przy wyłączonej ochronie czasu rzeczywistego, jednak usunięcie zagrożenia nie było możliwe do momentu powrotu systemu do normalnego trybu pracy. Dopiero wtedy plik został objęty kwarantanną.
Konsekwencje / ryzyko
Najważniejszy wniosek z tego incydentu jest prosty: brak skutecznego szyfrowania nie oznacza braku szkody. Atakujący zdołali wykraść dane i poświadczenia, co stwarza ryzyko szantażu związanego z ujawnieniem informacji, dalszych włamań oraz wtórnych incydentów w środowiskach powiązanych.
Z perspektywy organizacji szczególnie groźne są trzy elementy: publicznie dostępny VPN bez MFA, użycie legalnych narzędzi administracyjnych po przejęciu poświadczeń oraz możliwość czasowego „oślepienia” hosta poprzez przejście do Safe Mode. Dla zespołów SOC i IR oznacza to konieczność monitorowania nie tylko samego malware, ale też zmian stanu rozruchu systemu, modyfikacji rejestru i nietypowego użycia narzędzi zdalnych oraz archiwizujących.
Rekomendacje
Priorytetem powinno być wdrożenie MFA dla wszystkich usług zdalnego dostępu, w szczególności VPN, RDP i paneli administracyjnych. Usługi wystawione do Internetu warto dodatkowo zabezpieczyć ograniczeniami adresów źródłowych, politykami dostępu warunkowego oraz detekcją prób password spray.
- Monitorować przejścia systemów do trybu Safe Mode with Networking.
- Wykrywać modyfikacje kluczy rejestru odpowiedzialnych za uruchamianie usług i aplikacji w Safe Mode.
- Ograniczać i ewidencjonować użycie narzędzi zdalnego dostępu, takich jak AnyDesk.
- Tworzyć alerty na nietypowe użycie WinRAR, s5cmd i podobnych narzędzi do pakowania oraz transferu danych.
- Segmentować sieć i ograniczać ruch RDP wyłącznie do zatwierdzonych ścieżek administracyjnych.
- Wzmacniać ochronę kontrolerów domeny i serwerów aplikacyjnych zgodnie z zasadą least privilege.
- Testować scenariusze detekcji dla legalnych narzędzi wykorzystywanych w fazie post-exploitation.
- Utrzymywać kopie zapasowe offline i regularnie testować procedury odtwarzania.
W praktyce obrona hostowa powinna obejmować również kontrolę aplikacji, ochronę rejestru oraz korelację sygnałów z warstwy endpoint, tożsamości i sieci. Tylko takie podejście zwiększa szansę wykrycia ataku jeszcze przed etapem eksfiltracji lub próbą szyfrowania.
Podsumowanie
Incydent związany z Akira pokazuje, że współczesne operacje ransomware coraz częściej opierają się na połączeniu prostego wektora początkowego z technikami ograniczania skuteczności ochrony endpointów. Nawet jeśli szyfrowanie kończy się niepowodzeniem, sama kradzież danych i poświadczeń może oznaczać pełnowymiarowy kryzys bezpieczeństwa.
Dla organizacji to wyraźny sygnał, że skuteczna obrona nie może opierać się wyłącznie na EDR. Kluczowe pozostają MFA, kontrola dostępu zdalnego, monitoring zmian trybu rozruchu oraz szybka detekcja działań po uzyskaniu ważnych poświadczeń.