Akira

Überblick

Akira ist eine Ransomware-Gruppe, deren Ursprünge im Umfeld der aufgelösten CONTI-Operation vermutet werden. Nach dem Ende von CONTI verteilten sich Beteiligte auf eigenständige Kampagnen wie Royal oder BlackBasta; für Akira werden zudem Verbindungen zu Operationen wie Snatch und BlackByte beschrieben, unter anderem weil ein offenes Verzeichnis mit Werkzeugen eines Akira-Akteurs auch Bezüge zu Snatch aufwies. Die erste Verschlüsselungsvariante war in C++ geschrieben, versah Dateien mit der Endung „.akira“ und hinterlegte die Erpressernachricht „akira_readme.txt“; sie basierte teilweise auf Quellcode von Conti V2. Nachdem für diese Fassung ein Entschlüsselungswerkzeug verfügbar wurde, folgte eine korrigierte Version, die in Rust entwickelt wurde, als „megazord.exe“ auftritt und die Endung „.powerranges“ verwendet. Der Zugang erfolgt überwiegend über Brute-Force-Angriffe auf Cisco-VPN-Geräte mit einfacher Authentisierung sowie über die Ausnutzung bekannter Schwachstellen in exponierten Systemen. Betroffen sind Einrichtungen unterschiedlicher Branchen.

Taktiken & Vorgehen

Der Einstieg erfolgt über gültige Zugangsdaten, kompromittierte VPN-Konten, Domänenkonten und die Ausnutzung von Schwachstellen in öffentlich erreichbaren Cisco-Geräten. Anschließend werden lokale und Domänenkonten angelegt, Befehle über PowerShell, die Windows-Eingabeaufforderung, WMI und Dienstausführung abgesetzt. Zur Verteidigungsumgehung dienen Binary Padding, das Tarnen von Dateien unter legitimen Namen, Registry-Änderungen sowie PowerTool und Treiber wie Zemana Anti-Rootkit oder ThrottleStop zum Abschalten von Schutzsoftware. Zugangsdaten werden mit Mimikatz, LaZagne, DonPAPI und LSASS-Dumps erbeutet, Kerberos-Tickets abgegriffen. Die Erkundung nutzt Advanced IP Scanner, Advanced Port Scanner, Masscan, SoftPerfect NetScan, BloodHound, SharpHound, SharpShares, ShareFinder, ldapdomaindump, nltest, AdFind und net. Bewegung im Netz erfolgt per RDP, CrackMapExec, Impacket und NetExec. Daten werden aus SharePoint entnommen, mit WinRAR archiviert und über FileZilla, WinSCP, RClone, MEGA oder Temp[.]sh exfiltriert. Fernzugriff halten AnyDesk, RustDesk, Radmin, TeamViewer, MeshAgent, MobaXterm, OpenSSH, Ngrok und Cloudflared. Abschließend werden Schattenkopien mit vssadmin gelöscht, Administratorkonten entfernt und Dateien im Double-Extortion-Modell verschlüsselt.

Schutzmaßnahmen

VPN- und Fernzugänge, insbesondere Cisco-Gateways, sollten zwingend mit Mehr-Faktor-Authentisierung ausgestattet und gegen Brute-Force-Versuche gesperrt werden; exponierte Systeme sind zeitnah zu patchen. RDP sollte nur segmentiert und überwacht freigegeben werden. Das Anlegen neuer lokaler und Domänenkonten sowie das Löschen von Administratorkonten sind zu alarmieren. Der Zugriff auf den LSASS-Speicher ist zu überwachen und durch Credential Guard einzuschränken. Die Ausführung von PowerShell, WMI und vssadmin sollte protokolliert und eingeschränkt werden, das Laden anfälliger Treiber wie Zemana oder ThrottleStop über Treiber-Sperrlisten blockiert. Auffällige Nutzung von Fernwartungswerkzeugen wie AnyDesk, RustDesk, TeamViewer oder Tunneldiensten wie Ngrok und Cloudflared sowie Abflüsse via RClone, MEGA, FileZilla und WinSCP sind zu unterbinden. Active-Directory-Abfragen durch BloodHound, AdFind oder nltest sollten erkannt werden.