Auf den Punkt: Ein Akira-Angreifer legte EDR und Defender zehn Minuten lang über den abgesicherten Windows-Modus lahm und stahl Daten in unter fünf Stunden, obwohl die Verschlüsselung selbst scheiterte.
Ein Akira-Partner hat EDR- und Virenschutzlösungen über einen erzwungenen Neustart in den abgesicherten Windows-Modus umgangen. Die eigentliche Verschlüsselung scheiterte zwar an einem Speicherfehler, dennoch gelang der Diebstahl von Zugangsdaten und Dateien.
<p>Nach Angaben des auf Managed Detection and Response spezialisierten Unternehmens Huntress verschaffte sich ein Akira-Ransomware-Partner am 4. August Zugang zu einem Unternehmensnetzwerk über ein exponiertes SonicWall-VPN-Gerät, das nicht durch Multi-Faktor-Authentifizierung abgesichert war. Rund zwei Stunden nach der VPN-Anmeldung verband sich der Angreifer per RDP mit dem Domänencontroller, listete dort Benutzer und Rechner in Active Directory auf und wechselte anschließend zu einem Anwendungsserver. Mit WinRAR archivierte er Dateifreigaben und lud die Daten über das Kommandozeilenwerkzeug s5cmd in einen selbst kontrollierten S3-Speicherbereich hoch, bevor er zusätzlich die Fernwartungssoftware AnyDesk installierte.</p>
<p>Über AnyDesk erzwang der Angreifer anschließend einen Neustart des kompromittierten Rechners in den abgesicherten Modus mit Netzwerktreibern und deaktivierte darüber sowohl den Huntress-Agenten als auch den Echtzeitschutz von Microsoft Defender. Der abgesicherte Modus lädt planmäßig nur einen eingeschränkten Satz an Treibern und Diensten, wodurch die meisten Drittanbieterprogramme gar nicht erst starten. Huntress zufolge hatte das System zehn Minuten lang keine funktionierende EDR-Lösung, der Virenschutz war in dieser Zeit blind. Um den Zugriff auch nach einem weiteren Neustart zu sichern, trug der Angreifer AnyDesk zusätzlich in die für den abgesicherten Modus zuständige Windows-Registrierung ein.</p>
<p>Der anschließende Versuch, die Ransomware-Datei akira.exe über AnyDesk im abgesicherten Modus auszuführen, scheiterte an einem Mangel an virtuellem Arbeitsspeicher, das System erzeugte entsprechende Fehlermeldungen und PowerShell-Fehler. Ein regulärer, geplanter Scan von Microsoft Defender erkannte die Akira-Datei trotz deaktiviertem Echtzeitschutz auch im abgesicherten Modus, konnte sie dort jedoch nicht entfernen. Erst nach der Rückkehr in den normalen Modus und der damit verbundenen Reaktivierung des Echtzeitschutzes isolierte Defender die Datei in Quarantäne.</p>
<p>Trotz der gescheiterten Verschlüsselung gelang es dem Angreifer, Zugangsdaten und Dateien für eine anschließende Erpressung zu entwenden. Von der ersten Anmeldung bis zum Datendiebstahl vergingen dabei weniger als fünf Stunden. Huntress weist darauf hin, dass andere Ransomware-Familien wie Snatch und AvosLocker diese Technik bereits seit Jahren nutzen, es sich für das Unternehmen jedoch um den ersten beobachteten Fall bei einem Akira-Angriff handelt.</p>
<p>Für CISOs ergeben sich daraus konkrete Handlungsempfehlungen: Huntress rät zur konsequenten Absicherung sämtlicher VPN-Konten mit Multi-Faktor-Authentifizierung, zur Implementierung von Erkennungsmechanismen gegen das systematische Ausprobieren gestohlener Zugangsdaten sowie zur gezielten Überwachung von Veränderungen an der Boot-Konfiguration für den abgesicherten Modus und dort neu eingetragenen Fernzugriffswerkzeugen in der Registrierung. Da der abgesicherte Modus gängige EDR-Agenten systematisch aushebeln kann, sollten Erkennungsregeln für Neustarts in diesen Modus sowie für zugehörige Registrierungsänderungen fester Bestandteil des Monitorings sein.</p>
Quelle: www.it-daily.net · Erschienen 17. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.