Auf den Punkt: Ein Akira-Angreifer legte EDR und Defender über den abgesicherten Windows-Modus lahm, entkam trotz gescheiterter Verschlüsselung mit gestohlenen Daten und Zugangsdaten – der gesamte Angriff dauerte unter fünf Stunden.
Ein Akira-Ransomware-Partner hat EDR-Software und Microsoft-Defender-Echtzeitschutz erfolgreich über den abgesicherten Windows-Modus außer Kraft gesetzt – die eigentliche Verschlüsselung scheiterte laut Huntress jedoch an einem technischen Fehler.
Nach Angaben des auf Managed Detection and Response spezialisierten Unternehmens Huntress verschaffte sich ein Angreifer am 4. August zunächst über ein exponiertes SonicWall-VPN-Gerät ohne Multi-Faktor-Authentifizierung Zugang zum Netzwerk. Rund zwei Stunden nach der VPN-Anmeldung verband sich der Angreifer per RDP mit dem Domänencontroller, listete Benutzer und Rechner in Active Directory auf und wechselte zu einem Anwendungsserver. Mit WinRAR archivierte er freigegebene Dateifreigaben und lud die Daten über das Kommandozeilenwerkzeug s5cmd in einen von ihm kontrollierten S3-Speicherbereich hoch, bevor er zusätzlich die Fernwartungssoftware AnyDesk installierte.
Über AnyDesk zwang der Angreifer den kompromittierten Rechner anschließend zu einem Neustart in den abgesicherten Modus mit Netzwerktreibern und deaktivierte darüber sowohl den Huntress-Agenten als auch den Echtzeitschutz von Microsoft Defender. Der abgesicherte Modus ist für Diagnose- und Fehlerbehebungszwecke vorgesehen und startet Windows nur mit einem eingeschränkten Satz an Treibern und Diensten, wodurch die meisten Drittanbieter-Programme gar nicht erst geladen werden. Huntress zufolge hatte das System „zehn Minuten lang, während sich das System im abgesicherten Modus befand, keine funktionierende EDR-Lösung, und der Virenschutz war blind.“ Um den Zugang über einen Neustart hinweg abzusichern, trug der Angreifer AnyDesk zusätzlich in die für den abgesicherten Modus zuständige Windows-Registrierung ein.
Der anschließende Versuch, die Ransomware-Datei akira.exe über AnyDesk im abgesicherten Modus auszuführen, scheiterte: Das System meldete zu wenig virtuellen Arbeitsspeicher und erzeugte entsprechende Fehlermeldungen sowie PowerShell-Fehler. Ein regulärer, geplanter Microsoft-Defender-Scan erkannte die Akira-Datei zwar auch im abgesicherten Modus trotz deaktiviertem Echtzeitschutz, konnte sie jedoch nicht entfernen. Erst nach der Rückkehr in den normalen Modus und der damit verbundenen Reaktivierung des Echtzeitschutzes isolierte Defender die Datei in Quarantäne.
Trotz gescheiterter Verschlüsselung gelang dem Akira-Partner dennoch der Diebstahl von Zugangsdaten und Dateien für eine anschließende Erpressung. Vom ersten Login bis zum Datendiebstahl benötigten die Angreifer weniger als fünf Stunden. Huntress zufolge nutzen Ransomware-Familien wie Snatch und AvosLocker diese Technik bereits seit Jahren, für Akira handelt es sich jedoch um den ersten von dem Unternehmen beobachteten Fall.
Huntress empfiehlt Unternehmen, für sämtliche VPN-Konten eine Multi-Faktor-Authentifizierung einzurichten, Erkennungsmechanismen gegen das systematische Ausprobieren gestohlener Zugangsdaten zu implementieren sowie gezielt auf Veränderungen an der Boot-Konfiguration für den abgesicherten Modus und dort neu eingetragene Fernzugriffswerkzeuge in der Registrierung zu überwachen.
Quelle: www.it-daily.net · Erschienen 17. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.