Ein Partner der Akira-Ransomware konnte die Endpoint-Detection-and-Response-Lösung (EDR) auf einem kompromittierten System deaktivieren, indem er das Gerät im „abgesicherten Modus mit Netzwerkunterstützung“ neu startete, bevor er Dateien und Zugangsdaten aus der Zielumgebung stahl. Der Angriff ereignete sich am 4. August, nachdem der Angreifer über ein exponiertes SonicWall-VPN-Gerät ersten Zugriff erhalten hatte, das nicht durch Multi-Faktor-Authentifizierung geschützt war.
Das auf Managed Detection and Response spezialisierte Unternehmen Huntress erklärte, der Angreifer habe sich etwa zwei Stunden nach der erfolgreichen Anmeldung am virtuellen privaten Netzwerk über das Remote Desktop Protocol (RDP) mit dem Domänencontroller verbunden. Anschließend führte er eine Bestandsaufnahme der Benutzer und Computer in Active Directory durch und wechselte dann zu einem Anwendungsserver.
Ablauf des Eindringens und Datendiebstahls
Die Angreifer verwendeten WinRAR, um die zugehörigen Dateifreigaben zu archivieren, und nutzten anschließend das Befehlszeilentool s5cmd, um die gestohlenen Daten in einen von ihnen kontrollierten S3-Bucket hochzuladen. Außerdem installierten sie AnyDesk, um einen Fernzugriff auf das kompromittierte Gerät bereitzustellen.
In einer späteren Phase verwendeten die Angreifer AnyDesk, um das Gerät zum Start im abgesicherten Modus mit Netzwerkunterstützung zu zwingen, wodurch der Huntress-Agent und der Echtzeitschutz von Microsoft Defender deaktiviert wurden. Windows verwendet in diesem Modus nur eine begrenzte Auswahl an Treibern und Diensten, wodurch das Laden vieler Programme und Dienste von Drittanbietern normalerweise verhindert wird.
Huntress zufolge blieb das Gerät 10 Minuten lang ohne aktives EDR, während der Echtzeitschutz der Antivirensoftware nicht arbeiten konnte. Um ihren Fernzugriff nach dem Neustart aufrechtzuerhalten, fügten die Angreifer AnyDesk zur Windows-Registrierung der Dienste des abgesicherten Modus hinzu, sodass das Programm in diesem Modus automatisch gestartet wurde.
Eine fehlgeschlagene Verschlüsselung bedeutet keinen fehlgeschlagenen Angriff
Als die Angreifer versuchten, die als akira.exe bezeichnete Haupt-Ransomware-Nutzlast über AnyDesk auszuführen, während sich das System im abgesicherten Modus befand, scheiterte der Vorgang. Das System meldete einen Mangel an virtuellem Speicher sowie Fehler wegen unzureichenden Speichers und mit PowerShell verbundene Fehler.
Ein geplanter Scan von Microsoft Defender konnte die Akira-Datei trotz des im abgesicherten Modus deaktivierten Echtzeitschutzes erkennen, doch das Tool konnte die Datei nicht entfernen, solange sich das Gerät in diesem Modus befand. Nachdem der Angreifer das System im normalen Modus neu gestartet hatte, wurde der Echtzeitschutz wieder aktiviert, und Defender konnte die Datei isolieren.
Obwohl die Dateien nicht verschlüsselt wurden, gelang es den Akira-Betreibern, innerhalb von weniger als fünf Stunden nach Beginn des Zugriffs Zugangsdaten und Dateien zu stehlen, um sie für eine auf Datenlecks basierende Erpressung zu nutzen. Huntress zufolge verwenden andere Ransomware-Familien, darunter Snatch und AvosLocker, diese Methode bereits seit Jahren; dieser Vorfall war jedoch das erste Mal, dass das Unternehmen ihren Einsatz im Rahmen eines Akira-Angriffs beobachtete.
Empfehlungen zur Überwachung der Methode
Huntress empfiehlt Unternehmen, folgende Maßnahmen zu ergreifen:
- Multi-Faktor-Authentifizierung für alle VPN-Konten hinzufügen.
- Mechanismen zur Erkennung von Versuchen des Passwort-Spraying implementieren.
- Änderungen an den Einstellungen für den Start im abgesicherten Modus überwachen.
- Das Hinzufügen von Fernzugriffstools zur Registrierung der Dienste des abgesicherten Modus überwachen.
Der Vorfall zeigt, dass eine deaktivierte Verschlüsselung die Auswirkungen eines Ransomware-Angriffs nicht beseitigt; Angreifer können weiterhin Dateien und Zugangsdaten stehlen, selbst wenn die Hauptnutzlast bei der Durchführung der Verschlüsselung scheitert.