Группа Akira: новые угрозы программ-вымогателей и методы защиты
Источник: darkatlas.io
С марта 2023 года в области кибербезопасности активно действуют хакеры, использующие программу-вымогатель Akira. Группа поражает более 250 организаций в разных секторах, включая бизнес-услуги и критически важную инфраструктуру, и собирает крупные суммы в качестве выкупа. Анализ методов работы Akira показывает, что они активно используют компрометированные учетные записи для первичного доступа к целевым системам.
Стратегия двойного вымогательства
Akira применяет стратегию двойного вымогательства, которая включает:
- Утечка конфиденциальных данных;
- Создание угрозы публикации данных, если выкуп не будет выплачен.
По предварительным оценкам, удалось собрать около 42 миллионов долларов в качестве выкупа, что подчеркивает уровень угрозы, исходящей от данной группы.
Технические аспекты
Технический анализ показывает, что Akira имеет сходство с вредоносной программой Conti. Среди особенностей работы программы:
- Первоначально ориентирована на системы Windows;
- Недавнее расширение на версию Linux для виртуальных машин VMware ESXi;
- Использование двух различных вариантов выкупа: на C++ и на основе Rust с названием Megazord.
Методы проникновения
Группа использует методы, основанные на уязвимостях в продуктах Cisco, таких как:
- Adaptive Security Appliance (ASA);
- Firepower Threat Defense (FTD).
Эти уязвимости позволяют злоумышленникам выполнять атаки методом перебора и получать несанкционированный доступ. Оказавшись внутри, хакеры используют методы постэксплуатации для поддержания постоянного доступа и манипуляции функциями контроллера домена.
Инструменты и методология
Активно применяются законные инструменты для выполнения операций, такие как:
- AnyDesk для удалённого доступа;
- RClone для передачи данных.
Методология шифрования Akira сочетает ChaCha20 для быстрого шифрования с RSA для безопасного обмена ключами. Зашифрованные файлы обычно получают расширения .akira и .powerranges для разных версий программ.
Рекомендации по противодействию
Эксперты по кибербезопасности предлагают следующие меры для противодействия угрозе Akira:
- Усиление защиты с помощью многофакторной аутентификации;
- Обеспечение доступа через VPN;
- Регулярное резервное копирование данных.
Быстрое развитие и адаптация Akira к защитным мерам подчеркивают необходимость постоянной бдительности и упреждающего анализа угроз для снижения рисков инцидентов, связанных с программами-вымогателями.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
