Akiraのハッカー、セーフモードでEDRを無効化しデータを窃取するも暗号化には失敗

Akiraランサムウェアのアフィリエイトが、侵害したシステムをネットワーク機能付きセーフモードで再起動することで、エンドポイント検知・対応(EDR)ソリューションを無効化していたことが分かりました。

この攻撃は8月4日に発生したもので、ハッカーは多要素認証(MFA)が設定されていない外部公開のSonicWall VPNデバイスを通じて初期侵入を果たしていました。

マネージド検知・対応(MDR)サービス企業のHuntressによると、VPNへのログインに成功してからおよそ2時間後、攻撃者はRDP経由でドメインコントローラーに接続し、Active Directoryのユーザーとコンピューターを列挙した後、アプリケーションサーバーへと移動したとのことです。

攻撃者はWinRARを使ってマップされたファイル共有をアーカイブ化し、s5cmdコマンドラインツールを使って窃取したデータを攻撃者が管理するS3バケットにアップロードした後、リモートアクセス用にAnyDeskをインストールしました。

この段階で攻撃者はAnyDeskを使い、侵害したホストを強制的にネットワーク機能付きセーフモードで起動させ、Huntressのエージェントおよび Microsoft Defenderのリアルタイム保護の両方を無効化しました。

セーフモードは、トラブルシューティングや診断作業向けに設計されたWindowsの起動状態です。限られたドライバーとサービスのみでWindowsを起動するため、通常はほとんどのサードパーティ製ソフトウェアやサービスの読み込みが妨げられます。

セーフモードでいた10分間、「このホストにはEDRが機能しておらず、AVは無力化されていた」とHuntressは述べています。

その間、攻撃者はAnyDeskをWindowsのセーフモードのレジストリに追加し、再起動後も自動起動できるようにして、侵害したマシンへのリモートアクセスを維持していました。

しかし、セーフモード中にAnyDesk経由でメインのランサムウェアペイロード(akira.exe)を起動しようとしたところ、実行に失敗しました。システムが仮想メモリ不足を報告し、メモリ不足エラーとPowerShellエラーが発生したためです。

定期実行されていたDefenderのスキャンが最終的にAkiraの実行ファイルを検知しましたが、セーフモードではリアルタイム保護が無効化されていたにもかかわらず、マシンがそのモードのままである限りセキュリティツールはこれを削除できませんでした。

Defenderがこのファイルを検疫できたのは、攻撃者がシステムを通常モードで再起動し、リアルタイム保護が復元された後のことでした。

ファイルの暗号化には失敗したものの、Akiraのオペレーターは初期侵入からわずか5時間足らずで、データ恐喝のための認証情報とファイルの窃取には成功していました。

Huntressによると、SnatchやAvosLockerなど他のランサムウェアファミリーは何年も前からこの手口を使ってきたものの、Akiraによる攻撃で同社がこれを確認したのは今回が初めてだということです。

研究者らは、すべてのVPNアカウントにMFAを追加すること、クレデンシャルスプレー攻撃の検知対策を導入すること、そしてセーフモードの起動設定変更やリモートアクセスツールがセーフモードのサービスレジストリに追加されていないかを監視することを推奨しています。