Akira Ransomware encaisse 42 millions de dollars de rançons sur une seule année

Depuis début 2023, le ransomware Akira a ciblé plus de 250 victimes dans le monde et collecté plus de 42 millions de dollars de rançons, selon la CISA, le FBI, Europol et le Centre national de cybersécurité des Pays-Bas (NCSC-NL).

Les opérateurs du ransomware Akira ont été observés attaquant des organisations dans divers secteurs, notamment les services et biens, l'industrie manufacturière, l'éducation, la construction, les infrastructures critiques, la finance, la santé et les secteurs juridiques.

Initialement axé sur les systèmes Windows, Akira a étendu sa portée pour infecter les machines virtuelles VMware ESXi depuis avril 2023 et est utilisé conjointement avec Megazord depuis août 2023, comme le souligne un avis de la CISA, du FBI, d'Europol et du NCSC-NL.

Pour obtenir un premier accès, les opérateurs du ransomware Akira ont ciblé les services VPN dépourvus d'authentification multifacteur, exploitant principalement les vulnérabilités connues des produits Cisco (telles que CVE-2020-3259 et CVE-2023-20269). Ils ont également eu recours au protocole de bureau à distance (RDP), au spear phishing et aux informations d'identification volées pour pirater l'environnement des victimes.

Après avoir obtenu l'accès, les acteurs malveillants ont créé de nouveaux comptes de domaine à des fins de persistance, y compris des comptes administratifs dans certains cas, extrait les informations d'identification et effectué une reconnaissance du réseau et des contrôleurs de domaine.

L’acteur menaçant exploitant Akira exécute deux variantes distinctes

Sur la base d'enquêtes tierces crédibles, les acteurs de la menace Akira ont été observés en train de déployer deux variantes distinctes de ransomware ciblant différentes architectures système au sein du même événement de compromission. Cela représente un changement par rapport à l'activité du ransomware Akira précédemment signalée, indique l'avis.

En prévision d'un mouvement latéral au sein des réseaux, les opérateurs d'Akira ont désactivé le logiciel de sécurité pour échapper à la détection. Ils ont également été observés en train d'utiliser des outils tels que FileZilla, WinRAR, WinSCP et RClone pour l'exfiltration de données, ainsi qu'AnyDesk, Cloudflare Tunnel, MobaXterm, Ngrok et RustDesk pour établir une communication de commande et de contrôle (C&C).

Semblable à d'autres groupes de ransomwares, Akira exfiltre les données des victimes avant de les chiffrer. Les victimes sont invitées à contacter les attaquants via un site Web basé sur Tor et sont ensuite invitées à payer une rançon en Bitcoin.

Pour exercer une pression supplémentaire, les acteurs malveillants d'Akira menacent de publier les données exfiltrées sur le réseau Tor et ont même contacté les entreprises victimes dans certains cas, ont noté la CISA, le FBI, Europol et le NCSC-NL.