O grupo de ransomware Akira, ativo desde março de 2023, utiliza uma tática para desativar soluções de detecção e resposta a ameaças (EDR) reiniciando sistemas comprometidos no Modo de Segurança com Rede. Recentemente, um afiliado do Akira invadiu uma empresa através de uma VPN SonicWall sem autenticação multifator, roubou credenciais e compartilhou arquivos, e então reiniciou o host comprometido no Modo de Segurança para matar a segurança.
Detalhes Técnicos
Acesso Inicial: O Akira ganha acesso inicial através de mecanismos de acesso externo com autenticação de único fator, como VPNs, utilizando credenciais comprometidas.
Desvio de EDR: Os atacantes desativam a solução EDR reiniciando o sistema no Modo de Segurança com Rede.
Movimento Lateral: Utilizam ferramentas disponíveis publicamente para movimento lateral.
Extorsão Dupla: O Akira realiza atividades de ransomware de "extorsão dupla", exfiltrando dados de ambientes de vítimas antes da criptografia, ameaçando publicar arquivos se o resgate não for pago.
Falha na Criptografia: Problemas de memória causaram a falha do criptografador, impedindo a criptografia dos dados.
Recomendações
Implementar autenticação multifator em todos os pontos de acesso.
Manter soluções EDR atualizadas e configuradas para detectar atividades suspeitas.
Realizar backups regulares e testá-los periodicamente.
Treinar funcionários sobre segurança cibernética e phishing.
