Un affiliato del gruppo ransomware Akira ha tentato di disabilitare gli strumenti di sicurezza riavviando il sistema di una vittima in Modalità Provvisoria, ma l'operazione si è ritorcita contro, impedendo l'effettiva crittografia dei file.
Un affiliato del noto gruppo ransomware Akira ha recentemente messo in atto una tattica di evasione che, anziché facilitare l'attacco, ha finito per sabotarlo. L'attaccante ha cercato di neutralizzare le difese di sicurezza della vittima riavviando il sistema compromesso in Modalità Provvisoria con Rete (Safe Mode with Networking). Tuttavia, questa mossa avventata ha causato errori di memoria nel sistema, impedendo al malware di procedere con la crittografia dei file.
La scoperta è stata fatta dai ricercatori di Huntress, una società specializzata in sicurezza gestita, che hanno analizzato un incidente avvenuto all'inizio di agosto. L'attacco è iniziato con un tentativo di credential spraying contro una VPN SSL di SonicWall, sfruttando l'assenza di autenticazione a più fattori (MFA). Una volta ottenuto l'accesso, l'attaccante ha utilizzato il Remote Desktop Protocol (RDP) per raggiungere il domain controller, procedendo poi con l'enumerazione di Active Directory (AD), un modus operandi tipico degli attacchi Akira.
Successivamente, l'attore della minaccia si è spostato sul server applicativo, ha raccolto i file e li ha trasferiti su uno storage cloud utilizzando s5cmd, un'utility per trasferimenti rapidi su Amazon S3. Questa fase rientra nella classica strategia di doppia estorsione: rubare i dati prima di crittografarli, per poi minacciare la vittima di pubblicarli su forum underground o siti darknet in caso di mancato pagamento del riscatto.
È stato a questo punto che l'attacco si è discostato dallo schema abituale di Akira. Prima di lanciare il payload del ransomware, l'attaccante ha eseguito msconfig.exe per forzare il riavvio del sistema in Modalità Provvisoria con Rete. Come spiegato da Huntress, questa modalità disabilita l'avvio di servizi di terze parti, inclusi gli agenti EDR (Endpoint Detection and Response) e la protezione in tempo reale di Microsoft Defender. L'obiettivo era chiaro: operare in un ambiente privo di sorveglianza e difese attive.
Questa tecnica, nota anche come "Impair Defences: Safe Mode Boot" (T1688) nel framework MITRE ATT&CK, è stata associata in passato a gruppi come Snatch e AvosLocker. Tuttavia, nel caso specifico di Akira, la mossa si è rivelata controproducente. Il sistema operativo, avviato in un ambiente ridotto e con una memoria virtuale limitata, non è riuscito a gestire le richieste del processo del ransomware. L'attaccante si è trovato di fronte a messaggi di errore come "Out of Virtual Memory" e una serie di errori PowerShell, che coincidevano esattamente con il momento in cui il payload tentava di avviarsi.
Sebbene in questo specifico caso le difese siano state temporaneamente disabilitate, il fallimento dell'attacco è stato un effetto collaterale fortuito dell'errore dell'attaccante, piuttosto che il risultato di una contromisura pianificata. Huntress ha sottolineato che le vittime future di Akira potrebbero non essere così fortunate. È possibile che sistemi con maggiore memoria fisica o un file di paging più ampio possano consentire al ransomware di operare con successo anche in Modalità Provvisoria. Inoltre, gli sviluppatori o gli affiliati di Akira potrebbero ottimizzare il loro encryptor per ridurre il consumo di memoria o rendere più affidabile la sequenza di avvio in Modalità Provvisoria.
Per mitigare i rischi associati a questo tipo di attacchi, Huntress ha fornito una serie di raccomandazioni fondamentali:
msconfig.exe, bcdedit, log del kernel con opzione SAFEBOOT e l'arresto di servizi di sicurezza di terze parti. Verificare anche l'aggiunta di strumenti alla lista dei servizi minimi in Modalità Provvisoria.Questo incidente evidenzia come anche le tattiche di evasione più sofisticate possano fallire a causa di errori imprevisti, ma sottolinea anche l'importanza di una difesa multilivello e di un monitoraggio costante per contrastare le minacce ransomware in continua evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.