Akira Ransomware banker 42 miljoner dollar i lösensumma under ett enda år

Sedan början av 2023 har Akira ransomware riktat sig mot mer än 250 offer globalt och samlat in över 42 miljoner dollar i lösensumma, enligt CISA, FBI, Europol och Nederländernas nationella cybersäkerhetscenter (NCSC-NL).

Operatörerna av Akira ransomware har observerats attackera organisationer inom olika sektorer, inklusive tjänster och varor, tillverkning, utbildning, konstruktion, kritisk infrastruktur, finans, hälsovård och juridiska industrier.

Initialt fokuserat på Windows-system, har Akira utökat sin räckvidd för att infektera virtuella VMware ESXi-maskiner sedan april 2023 och har använts tillsammans med Megazord sedan augusti 2023, vilket framhålls i en rådgivning från CISA, FBI, Europol och NCSC-NL.

För att få initial åtkomst riktade operatörerna av Akira ransomware VPN-tjänster som saknade multifaktorautentisering, främst genom att utnyttja kända sårbarheter i Cisco-produkter (som CVE-2020-3259 och CVE-2023-20269). De använde också fjärrskrivbordsprotokoll (RDP), spear-phishing och stulna referenser för att bryta mot offrens miljöer.

Efter att ha fått tillgång skapade hotaktörerna nya domänkonton för beständighet, inklusive administrativa konton i vissa fall, extraherade autentiseringsuppgifter och genomförde nätverks- och domänkontrollantspaning.

Hotskådespelare som driver Akira kör två distinkta varianter

Baserat på trovärdiga undersökningar från tredje part har Akira-hotaktörer observerats distribuera två distinkta ransomware-varianter som riktar sig till olika systemarkitekturer inom samma kompromisshändelse. Detta representerar en förändring från tidigare rapporterad Akira ransomware-aktivitet, uppgav rådgivaren.

Som förberedelse för sidorörelse inom nätverk inaktiverade Akira-operatörerna säkerhetsprogramvaran för att undvika upptäckt. De observerades också med hjälp av verktyg som FileZilla, WinRAR, WinSCP och RClone för dataexfiltrering och AnyDesk, Cloudflare Tunnel, MobaXterm, Ngrok och RustDesk för att upprätta kommando-och-kontroll (C&C) kommunikation.

I likhet med andra ransomware-grupper exfiltrerar Akira offrens data innan den krypterar den. Offren instrueras att kontakta angriparna via en Tor-baserad webbplats och uppmanas därefter att betala lösen i Bitcoin.

För att utöva ytterligare påtryckningar hotar Akira-hotaktörer att publicera exfiltrerad data på Tor-nätverket och har till och med kontaktat utsatta företag i vissa fall, noterade CISA, FBI, Europol och NCSC-NL.