Auf den Punkt: Akira-Ransomware-Angreifer zwingen kompromittierte Windows-Systeme erstmals gezielt in den abgesicherten Modus, um EDR und Microsoft Defender zu deaktivieren – im dokumentierten Fall scheiterte die Verschlüsselung jedoch an Ressourcenproblemen der Malware selbst.
Angreifer der Akira-Ransomware-Gruppe haben erstmals eine Technik eingesetzt, bei der kompromittierte Windows-Systeme gezielt in den abgesicherten Modus mit Netzwerktreibern neu gestartet werden, um Endpoint-Detection-and-Response-Lösungen und Microsoft Defender zu deaktivieren. Für CISOs markiert der Vorfall, dokumentiert von Huntress, eine Weiterentwicklung bekannter Umgehungstechniken, die klassische EDR-Abdeckung gezielt aushebelt.
Der von Huntress-Analyst James Northey beschriebene Vorfall begann am 4. August mit einem Credential-Spraying-Angriff auf ein exponiertes SonicWall-SSL-VPN. Rund sieben Minuten nach Beginn der fehlgeschlagenen Login-Versuche gelang dem Angreifer die erfolgreiche Authentifizierung an einem Account ohne Multi-Faktor-Authentifizierung (MFA). Zwei Stunden später griff der Operator per RDP auf den Domain Controller zu, führte eine umfangreiche Active-Directory-Enumeration durch und wechselte anschließend auf einen Applikationsserver, um gemappte Freigaben mit WinRAR zu archivieren. Die gestohlenen Daten wurden über s5cmd in einen von den Angreifern kontrollierten S3-Bucket hochgeladen – die Datenexfiltrations-Komponente eines Double-Extortion-Angriffs. Anschließend installierte der Angreifer AnyDesk für persistenten Fernzugriff und lieferte darüber die Akira-Payload aus. Statt EDR direkt zu deaktivieren, nutzte der Operator „msconfig.exe“, um das System in den abgesicherten Modus mit Netzwerktreibern zu zwingen.
Der abgesicherte Modus lädt normalerweise nur essenzielle Treiber und Dienste zu Troubleshooting-Zwecken – viele Drittanbieter-Sicherheitsprodukte sind aus dieser minimalen Startkonfiguration ausgeschlossen. Da die Angreifer damit rechneten, dass auch AnyDesk im abgesicherten Modus nicht verfügbar sein könnte, modifizierten sie die Safe-Boot-Registrierungskonfiguration, damit der Remote-Access-Dienst dennoch startet. Neu ist das Prinzip nicht: Ransomware-Familien wie Snatch und AvosLocker nutzen den abgesicherten Modus seit Jahren zur Deaktivierung von Schutzmechanismen, MITRE ATT&CK führt das Verhalten unter T1688 (Impair Defenses: Safe Mode Boot). Dass nun auch Akira darauf zurückgreift, passt zu jüngeren Beobachtungen der Gruppe: Anfang des Jahres hatte ein Akira-Affiliate eigens eine neue virtuelle Maschine auf dem Hypervisor eines Opfers erstellt, um den Encryptor dort auszuführen, wo Huntress nicht installiert war.
Der Versuch scheiterte im konkreten Fall jedoch am eigenen Vorgehen: Nach dem Start von „akira.exe“ im abgesicherten Modus meldete das System Fehler wie „Virtual Memory Minimum Too Low“ und „Out of Virtual Memory“, gefolgt von PowerShell-Fehlern. Die Ransomware konnte offenbar innerhalb der eingeschränkten Umgebung des abgesicherten Modus nicht korrekt arbeiten. Defender erkannte die Akira-Binary letztlich, konnte sie jedoch nicht bereinigen, solange der Echtzeitschutz deaktiviert war – die Quarantäne gelang erst, nachdem der Angreifer das System zurück in den regulären Windows-Betrieb versetzte und damit Defenders Schutzfunktion wiederherstellte.
Huntress warnt ausdrücklich davor, den Verschlüsselungsfehlschlag als verlässlichen Schutzmechanismus misszuverstehen. Er sei vermutlich ein Nebeneffekt der Ressourcenanforderungen von Akira gewesen und nicht auf eine grundsätzliche technische Schwäche zurückzuführen. Mehr Arbeitsspeicher, eine größere Auslagerungsdatei oder Anpassungen am Encryptor könnten eine künftige Version durchaus im abgesicherten Modus lauffähig machen. Priorität muss daher die Erkennung vor einem Neustart bleiben. Huntress empfiehlt, MFA für sämtliche VPN-Konten verpflichtend zu machen, Häufungen fehlgeschlagener VPN-Logins mit nachfolgenden erfolgreichen Authentifizierungen zu korrelieren und EDR auf allen Hosts auszurollen. Zusätzlich sollten SIEM-Feeds auf Aktivitäten von „msconfig.exe“ oder „bcdedit“, Boot-Ereignisse in den abgesicherten Modus, das Stoppen von Sicherheitsdiensten sowie Änderungen an der Safe-Boot-Registrierungskonfiguration überwacht werden.
Quelle: www.csoonline.com · Erschienen 14. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.