Nach Darstellung von Huntress nutzte der Akira-Angreifer eine bekannte Taktik, die andere Ransomware-Gruppen wie Snatch und AvosLocker bereits seit Jahren einsetzen: den Neustart in den abgesicherten Modus mit Netzwerk. In diesem Windows-Startzustand werden nur begrenzte Treiber und Dienste geladen, wodurch viele Programme und Dienste von Drittanbietern üblicherweise nicht starten. Genau diesen Effekt nutzte der Täter, um Schutzsoftware zu umgehen.
Huntress zufolge war der kompromittierte Host in diesem Zustand für zehn Minuten ohne funktionierende Endpoint Detection and Response, und auch der Virenschutz war faktisch blind. Parallel trugen die Angreifer AnyDesk in die Safe-Mode-Registry von Windows ein. Dadurch konnte das Fernwartungswerkzeug nach dem Neustart erneut starten und der Zugriff auf das bereits kompromittierte System blieb erhalten.
Vor dem Versuch der Verschlüsselung hatten die Täter bereits Daten und Zugangsdaten abgeschöpft. Laut Huntress wurden eingebundene Dateifreigaben mit WinRAR archiviert und anschließend mit s5cmd in einen S3-Bucket hochgeladen, der unter Kontrolle des Angreifers stand. Trotz des gescheiterten letzten Schritts konnten die Akteure so in weniger als fünf Stunden nach dem Erstzugriff Material für eine datengestützte Erpressung entwenden.
Die eigentliche Ransomware-Nutzlast, akira.exe, ließ sich im abgesicherten Modus über AnyDesk jedoch nicht erfolgreich starten. Das System meldete zu wenig virtuellen Speicher; zudem traten Fehler wegen Speichermangels und in PowerShell auf. Damit scheiterte der Verschlüsselungsversuch, obwohl die Abwehr zuvor teilweise außer Kraft gesetzt worden war.
Microsoft Defender erkannte die Akira-Datei später dennoch bei einer geplanten Überprüfung, obwohl der Echtzeitschutz im abgesicherten Modus deaktiviert war. Entfernen konnte Defender die Datei in diesem Zustand laut Huntress nicht. Erst nachdem der Angreifer das System wieder normal gestartet hatte und damit auch der Echtzeitschutz zurückkehrte, verschob Defender die Datei in Quarantäne.
Für Huntress ist der Vorfall vor allem deshalb bemerkenswert, weil das Unternehmen diese Methode in einem Akira-Angriff nach eigenen Angaben erstmals beobachtet hat. Als Gegenmaßnahmen empfehlen die Forscher Multi-Faktor-Authentifizierung für alle VPN-Konten, Mechanismen zur Erkennung von Credential Spraying sowie die Überwachung von Änderungen an der Boot-Konfiguration für den abgesicherten Modus und von Fernzugriffswerkzeugen, die in die zugehörige Dienst-Registry eingetragen werden.
Huntress verweist zudem darauf, dass gute Präventionswerte verschleiern können, was nach dem ersten Zugriff geschieht. Sobald Angreifer mit gültigen Zugangsdaten arbeiten, sinke die Wirksamkeit der Prävention deutlich. Diese Einschätzung stützt das Unternehmen auf seinen Blue Report 2026, der Abwehrmaßnahmen Technik für Technik über 338 Millionen Simulationen in Produktionsumgebungen von Kunden vermisst.