Um afiliado do ransomware Akira desabilitou uma solução de detecção e resposta a endpoints (EDR) em um sistema comprometido reiniciando a máquina no Modo de Segurança com Rede. Em seguida, os atacantes roubaram dados, mas não conseguiram criptografar os arquivos.
Detalhes Técnicos
Acesso Inicial: O afiliado do Akira ganhou acesso inicial por meio de um VPN SonicWall exposto sem autenticação multifator, utilizando credential spraying.
Desabilitação do EDR: Após comprometer o controlador de domínio, o atacante reiniciou a máquina no Modo de Segurança com Rede para desabilitar a proteção do EDR e do antivírus.
Roubo de Dados: Os atacantes coletaram e exfiltraram dados utilizando WinRAR e s5cmd para armazenamento em nuvem.
Mecanismo de Acesso Persistente: O AnyDesk foi instalado como um mecanismo de acesso remoto persistente.
Falha na Criptografia: O ambiente do Modo de Segurança fez com que o ransomware falhasse durante a tentativa de criptografia.
Recomendações
Implementar autenticação multifator para acessos VPN.
Manter o EDR e o antivírus atualizados e configurados corretamente.
Monitorar atividades suspeitas de credential spraying e acessos não autorizados.
Utilizar ferramentas de detecção de anomalias para identificar possíveis ataques.
Próximos Passos
Verificar logs de acesso VPN para identificar possíveis tentativas de credential spraying.
Analisar a configuração do EDR e do antivírus para garantir que estejam operando corretamente.
Realizar uma varredura de segurança para detectar possíveis IOCs (Indicadores de Compromisso) relacionados ao Akira.
