Akira ransomware dùng Safe Mode để vô hiệu hóa công cụ bảo mật nhưng tự làm hỏng bộ mã hóa
"An Akira ransomware affiliate gained access through a SonicWall SSL VPN account without MFA, enumerated Active Directory, stole data, and deployed AnyDesk and akira.exe before forcing the victim machine into Safe Mode to disable security tools. The Safe Mode reboot also broke the ransomware encryptor due to constrained virtual memory, preventing encryption on that endpoint; Huntress recommends MFA, monitoring for boot-configuration changes, and alerts for Safe Mode activity."
Rủi ro cao do xâm nhập qua VPN không có MFA, đánh cắp dữ liệu và vô hiệu hóa công cụ bảo mật trước khi mã hóa.
Có thể gây gián đoạn vận hành, rò rỉ dữ liệu và tăng chi phí ứng phó sự cố, dù một endpoint có thể tránh bị mã hóa hoàn toàn.
Một chiến dịch Akira ransomware gần đây cho thấy kẻ tấn công đã xâm nhập qua SonicWall SSL VPN bằng một tài khoản hợp lệ không bật MFA, sau đó liệt kê Active Directory, đánh cắp dữ liệu từ các file shares và triển khai AnyDesk cùng akira.exe để duy trì truy cập. Để vô hiệu hóa công cụ phòng thủ, đối tượng đã ép máy nạn nhân khởi động vào Safe Mode with Networking, khiến Huntress agent dừng hoạt động và Microsoft Defender không còn bảo vệ thời gian thực.
Tuy nhiên, quá trình khởi động hạn chế của Safe Mode cũng làm phát sinh lỗi bộ nhớ, khiến bộ mã hóa của ransomware không thể chạy thành công trên endpoint đó. Dù vậy, dữ liệu và thông tin xác thực đã bị lấy cắp trước đó, nên sự cố vẫn gây rủi ro đáng kể.
Khuyến nghị kỹ thuật gồm: bật MFA cho mọi tài khoản VPN, giám sát các đợt credential-spray và đăng nhập thất bại hàng loạt, cảnh báo khi có thay đổi boot configuration hoặc lệnh msconfig.exe / bcdedit, theo dõi các sự kiện Kernel-Boot EID 27, Kernel-General EID 12, và việc dừng dịch vụ bảo mật bên thứ ba. Cũng cần phát hiện việc thêm công cụ vào danh sách dịch vụ tối thiểu của Safe Mode.