Alerta #StopRansomware: Ransomware Akira (CISA AA24-109A)

Recursos afectados:

El enfoque principal del ataque son los servicios de acceso remoto, infraestructura de copias de seguridad y sistemas operativos Windows.

• Redes Privadas Virtuales (VPN): Específicamente aquellas que carecen de Autenticación Multifactor (MFA).

• Vulnerabilidades Conocidas Explotadas: Incluyendo las de Cisco (ej. CVE-2023-20269 y CVE-2020-3259) y se observó la explotación de fallas en componentes de Veeam (ej. CVE-2023-27532 y CVE-2024-40711).

• Sistemas Windows: Akira está diseñado para evadir defensas y deshabilitar mecanismos de recuperación, como las copias de volumen en la sombra (VSS).

Detalle:

La alerta AA24-109A documenta que el grupo Akira continúa siendo una amenaza significativa de doble extorsión, caracterizado por su enfoque en la explotación de vulnerabilidades conocidas para obtener acceso inicial de forma rápida.

• Acceso Inicial: Los métodos primarios incluyen el acceso a VPNs sin MFA, la explotación de las vulnerabilidades mencionadas (Cisco/Veeam) y el abuso de credenciales válidas robadas.

• Velocidad de Ataque: En algunos incidentes, los actores de amenazas de Akira lograron exfiltrar datos en poco más de dos horas desde el acceso inicial.

• Extorsión: Además de cifrar datos y publicar la nota de rescate (akira_readme.txt o fn.txt), el grupo ejerce presión sobre las víctimas amenazando con publicar los datos robados y, en algunos casos, realizando llamadas directas a las empresas victimizadas.

Descripción:

La alerta detalla las TTPs (Tácticas, Técnicas y Procedimientos) clave, que son:

• Evasión de Defensas: Deshabilitan software de seguridad (como antivirus) y utilizan herramientas como PowerTool para explotar controladores vulnerables (BYOVD – Bring Your Own Vulnerable Driver), incluyendo el uso de malware como STONESTOP para cargar instaladores maliciosos (POORTRY).

• Movimiento Lateral y Persistencia: Crean nuevas cuentas de dominio (ej. itadm) para establecer persistencia. Utilizan herramientas legítimas como FileZilla, WinRAR, WinSCP, RClone, AnyDesk y MobaXterm para la exfiltración de datos y el Comando y Control (C2).

• Escalada de Privilegios: Buscan credenciales en la memoria LSASS y utilizan técnicas como Kerberoasting y herramientas como Mimikatz o LaZagne para escalar privilegios.

• Cifrado:

  • Variante original: C++ con extensión .akira.

  • Variante posterior (desde agosto de 2023): Megazord (basado en Rust) con extensión .powerranges.

  • Una versión más nueva, Akira_v2, ha sido observada con velocidades de cifrado más rápidas y mayor inhibición de la recuperación del sistema.

Solución:

CISA recomienda encarecidamente la implementación de las siguientes medidas prioritarias para reducir el riesgo de ser víctima de Akira:

1. MFA Resistente al Phishing: Implementar y aplicar la Autenticación Multifactor (MFA) para todos los servicios, especialmente para el correo web, VPN y cuentas con acceso a sistemas críticos.

2. Parcheo Prioritario: Remediar y parchear prioritariamente las vulnerabilidades explotadas conocidas, incluyendo las de Cisco y Veeam.

3. Copias de Seguridad Offline: Mantener copias de seguridad periódicas y actualizadas de los datos críticos, asegurándose de que estén almacenadas offline (desconectadas de la red) y que el proceso de restauración sea probado regularmente.

4. Principio de Mínimo Privilegio: Auditar las cuentas de usuario con privilegios administrativos y configurar el control de acceso según el principio de mínimo privilegio.

5. Segmentación de Red: Segmentar la red para prevenir la propagación rápida del ransomware.