Auf den Punkt: Ein Akira-Ransomware-Affiliate deaktivierte EDR durch Neustart in den Windows-Abgesicherten-Modus, konnte Daten stehlen, scheiterte aber an der Verschlüsselung.
Ein Affiliate der Akira-Ransomware-Gruppe hat auf einem kompromittierten System die EDR-Lösung ausgehebelt, indem er die Maschine in den Abgesicherten Modus mit Netzwerktreibern neu gestartet hat. Die Angreifer konnten Daten stehlen, scheiterten in diesem Fall jedoch an der Verschlüsselung.
Bei dem beschriebenen Vorfall nutzte ein Akira-Affiliate eine simple, aber wirksame Methode: Der Neustart eines Windows-Systems im Abgesicherten Modus mit Netzwerktreibern sorgt dafür, dass viele EDR-Agenten nicht mehr geladen werden, da diese regulär als reguläre Dienste im Normalbetrieb starten und im abgesicherten Zustand von Windows standardmäßig übersprungen werden. Damit verlief die Umgebung ohne aktive Überwachung durch die installierte Sicherheitslösung, während die Angreifer weiterhin über Netzwerkzugriff verfügten, um Daten zu exfiltrieren.
Für Sicherheitsverantwortliche ist relevant, dass diese Technik keine neue Schwachstelle oder einen Exploit voraussetzt, sondern eine Systemfunktion von Windows missbraucht, die in vielen Umgebungen nicht ausreichend abgesichert oder überwacht wird. EDR-Hersteller haben in der Vergangenheit bereits Schutzmechanismen nachgerüstet, die ein Laden ihrer Agenten auch im Abgesicherten Modus erzwingen sollen; ob und in welchem Umfang diese im konkreten Fall vorhanden bzw. konfiguriert waren, geht aus dem Bericht nicht hervor.
Bemerkenswert an dem Vorfall ist, dass die Verschlüsselungsphase des Angriffs fehlschlug, während die Datenexfiltration erfolgreich war. Dies deutet darauf hin, dass Erkennungs- und Reaktionsfähigkeiten teilweise wirksam blieben, der Diebstahl sensibler Daten aber nicht verhindert werden konnte. Für Verteidiger bedeutet das: Neustarts in den Abgesicherten Modus sollten als Alarmsignal behandelt und überwacht werden, etwa über Log-Analysen von Boot-Konfigurationsänderungen (bcdedit) oder durch zusätzliche Kontrollen außerhalb des Betriebssystemkontexts, die auch bei deaktiviertem EDR greifen.
Aus Sicht der Reaktion empfiehlt sich, Richtlinien zu überprüfen, die Boot-Modus-Änderungen einschränken oder protokollieren, sowie mit dem eigenen EDR-Anbieter zu klären, ob und wie ein Schutz im Abgesicherten Modus konfiguriert ist. Ergänzend bleibt Netzwerksegmentierung und die Überwachung von Datenabflüssen relevant, da im beschriebenen Fall trotz fehlgeschlagener Verschlüsselung ein Datendiebstahl stattfand.
Quelle: www.bleepingcomputer.com · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.