Akira Ransomware obtiene 42 millones de dólares en pagos de rescate en un solo año

Desde principios de 2023, el ransomware Akira se ha dirigido a más de 250 víctimas en todo el mundo y ha recaudado más de 42 millones de dólares en pagos de rescate, según CISA, el FBI, Europol y el Centro Nacional de Seguridad Cibernética de los Países Bajos (NCSC-NL).

Se ha observado que los operadores del ransomware Akira atacan a organizaciones de diversos sectores, incluidos servicios y bienes, manufactura, educación, construcción, infraestructura crítica, finanzas, atención médica y industrias legales.

Inicialmente centrado en sistemas Windows, Akira ha ampliado su alcance para infectar máquinas virtuales VMware ESXi desde abril de 2023 y se ha utilizado junto con Megazord desde agosto de 2023, como se destaca en un aviso de CISA, el FBI, Europol y NCSC-NL.

Para obtener acceso inicial, los operadores del ransomware Akira se dirigieron a servicios VPN que carecían de autenticación multifactor, explotando principalmente vulnerabilidades conocidas en los productos de Cisco (como CVE-2020-3259 y CVE-2023-20269). También utilizaron protocolo de escritorio remoto (RDP), phishing y credenciales robadas para violar los entornos de las víctimas.

Después de obtener acceso, los actores de amenazas crearon nuevas cuentas de dominio para la persistencia, incluidas cuentas administrativas en algunos casos, extrajeron credenciales y realizaron un reconocimiento de controladores de dominio y de red.

El actor de amenazas que opera Akira ejecuta dos variantes distintas

Según investigaciones creíbles de terceros, se ha observado que los actores de amenazas de Akira implementan dos variantes distintas de ransomware dirigidas a diferentes arquitecturas de sistemas dentro del mismo evento de compromiso. Esto representa un cambio con respecto a la actividad de ransomware Akira informada anteriormente, según el aviso.

En preparación para el movimiento lateral dentro de las redes, los operadores de Akira desactivaron el software de seguridad para evadir la detección. También se les observó utilizando herramientas como FileZilla, WinRAR, WinSCP y RClone para la exfiltración de datos, y AnyDesk, Cloudflare Tunnel, MobaXterm, Ngrok y RustDesk para establecer comunicación de comando y control (C&C).

Al igual que otros grupos de ransomware, Akira extrae los datos de las víctimas antes de cifrarlos. A las víctimas se les indica que se pongan en contacto con los atacantes a través de un sitio web basado en Tor y posteriormente se les indica que paguen el rescate en Bitcoin.

Para ejercer mayor presión, los actores de amenazas de Akira amenazan con publicar datos exfiltrados en la red Tor e incluso se han puesto en contacto con empresas victimizadas en algunos casos, señalaron CISA, el FBI, Europol y NCSC-NL.