Ein Akira-Ransomware-Affiliate nutzte den abgesicherten Modus von Windows mit Netzwerkunterstützung, um Sicherheitstools zu deaktivieren, nachdem er über ein exponiertes SonicWall-VPN-Gerät Zugriff auf ein Netzwerk erhalten hatte. Die Angreifer stahlen Dateien und Zugangsdaten, doch ihre Verschlüsselungssoftware konnte nicht ausgeführt werden.
Akira-Angreifer verschaffen sich Zugang über exponiertes VPN
Der Akira-Angriff im abgesicherten Modus begann am 4. August, als sich ein Affiliate über ein SonicWall-VPN-Konto ohne Multi-Faktor-Authentifizierung anmeldete.
Etwa zwei Stunden später stellte der Angreifer über das Remote Desktop Protocol eine Verbindung zum Domänencontroller her. Dort erfasste er Benutzer und Computer in Active Directory, bevor er sich zu einem Anwendungsserver weiterbewegte.
Die Angreifer verwendeten WinRAR, um eingebundene Dateifreigaben zu archivieren. Anschließend nutzten sie das Kommandozeilentool s5cmd, um die gestohlenen Daten in einen von ihnen kontrollierten Amazon-S3-Bucket hochzuladen.
Zusätzlich installierten sie AnyDesk, um den Fernzugriff auf die kompromittierte Umgebung aufrechtzuerhalten.
Abgesicherter Modus deaktiviert EDR und Echtzeitschutz
Der Akira-Angreifer nutzte AnyDesk, um das kompromittierte Gerät im abgesicherten Modus mit Netzwerkunterstützung neu zu starten. Dieser Windows-Startmodus lädt nur eine begrenzte Anzahl von Treibern und Diensten, wodurch Sicherheitssoftware von Drittanbietern möglicherweise nicht gestartet wird.
Nachdem das Gerät in den abgesicherten Modus gewechselt war, deaktivierten die Angreifer den Huntress-Agenten und den Echtzeitschutz von Microsoft Defender. Rund zehn Minuten lang verfügte das betroffene Gerät über keinen aktiven EDR-Schutz.
Die Angreifer fügten AnyDesk außerdem zur Registrierung für den abgesicherten Modus hinzu. Dadurch konnte das Fernzugriffstool nach einem Neustart automatisch ausgeführt werden und half ihnen, die Kontrolle über das System zu behalten.
Sicherheitsforscher haben bereits beobachtet, dass Ransomware-Gruppen wie Snatch und AvosLocker den abgesicherten Modus nutzen, um Endpoint-Schutzmaßnahmen zu umgehen. Huntress zufolge handelt es sich jedoch um den ersten beobachteten Akira-Vorfall dieser Art.
Ransomware scheitert an Speicherfehlern
Die Angreifer versuchten, die eigentliche Akira-Ransomware über AnyDesk zu starten, während das System weiterhin im abgesicherten Modus lief.
Der Verschlüsselungsversuch scheiterte. Windows meldete zu wenig virtuellen Speicher und erzeugte Speicher- sowie PowerShell-Fehler, wodurch die Ransomware nicht erfolgreich ausgeführt werden konnte.
Ein geplanter Scan von Microsoft Defender erkannte später die Akira-Datei. Defender konnte die Datei zwar identifizieren, sie jedoch nicht unter Quarantäne stellen, solange das System im abgesicherten Modus lief.
Schließlich startete der Angreifer das System im normalen Modus neu. Dadurch wurde der Echtzeitschutz wieder aktiviert und Defender konnte die Ransomware-Datei unter Quarantäne stellen.
Datendiebstahl ermöglicht weiterhin Erpressung
Der gescheiterte Verschlüsselungsversuch hinderte die Angreifer nicht daran, erheblichen Schaden anzurichten. Während des weniger als fünf Stunden dauernden Angriffs stahlen sie Zugangsdaten und Dateien, die für eine Datenerpressung genutzt werden können.
Der Vorfall zeigt, warum Unternehmen einen gescheiterten Ransomware-Einsatz nicht als vollständig abgewehrten Angriff betrachten sollten. Die Angreifer könnten weiterhin über sensible Dateien verfügen und diese nutzen, um Opfer zu einer Zahlung zu drängen.
Unternehmen können das Risiko reduzieren, indem sie für sämtliche VPN-Konten eine Multi-Faktor-Authentifizierung verlangen. Sicherheitsteams sollten außerdem auf Password-Spraying-Aktivitäten, unerwartete Änderungen zum Start im abgesicherten Modus sowie Fernzugriffssoftware achten, die zu den Registrierungseinstellungen des abgesicherten Modus hinzugefügt wird.
0 Kommentare zu „Akira-Ransomware deaktiviert EDR im abgesicherten Modus, kann Dateien jedoch nicht verschlüsseln“