Die Bedrohung durch die Akira-Ransomware: Ein unverzichtbarer Leitfaden

Die Ransomware „Akira“ hat sich in den letzten Jahren rasch zu einer der schwerwiegendsten Cyberbedrohungen entwickelt und zielt auf Unternehmen aus verschiedenen Branchen ab. Laut einer Untersuchung der CISA griff die Akira-Ransomware-Gruppe zwischen März 2023 und Januar 2024 über 250 Unternehmen an und forderte Lösegeld in Höhe von insgesamt 42 Millionen US-Dollar.

Unternehmen jeder Größe müssen die Funktionsweise dieser Ransomware verstehen, um ihre Abwehrmaßnahmen zu stärken und Risiken zu minimieren. Lesen Sie diesen Beitrag, um mehr über die Bedrohung durch die Akira-Ransomware, ihren Lebenszyklus und praktische Strategien zur Abwehr künftiger Angriffe zu erfahren.

Sagen Sie mit NAKIVO „Nein“ zu Lösegeldforderungen

Nutzen Sie Backups für eine schnelle Datenwiederherstellung nach Ransomware-Angriffen. Zahlreiche Wiederherstellungsoptionen, unveränderlicher lokaler und Cloud-Speicher, Funktionen zur Automatisierung der Wiederherstellung und vieles mehr.

ERKENNEN SIE DIE LÖSUNG

Die Bedrohung durch die Akira-Ransomware verstehen

Die Akira-Ransomware ist eine gefährliche Ransomware-Variante, die ein Modell der doppelten Erpressung anwendet. Sie stiehlt sensible Daten, bevor sie diese verschlüsselt, und droht mit deren Veröffentlichung, falls das Lösegeld nicht gezahlt wird. Diese Ransomware tauchte im März 2023 auf und wird über das Ransomware als Dienstleistung Modell verbreitet.

Die Zahl der Unternehmen, die Berichten zufolge Opfer dieser Ransomware geworden sind, steigt und umfasst namhafte Organisationen in verschiedenen Ländern (insbesondere in Nordamerika, Europa und Australien). Die Liste der Opfer der Akira-Ransomware enthält zudem Unternehmen aus unterschiedlichen Branchen (Bildungswesen, Finanzwesen, Fertigung, Immobilien, Rechtswesen, Gesundheitswesen, kritische Infrastruktur sowie kommunale/staatliche Dienste).

Die typischen modernen Ransomware-Kampagnen von Akira sind sehr zielgerichtet, technisch ausgefeilt und finanziell motiviert. Diese Faktoren verbinden eine heimliche Infiltration mit verheerenden Auswirkungen auf den Geschäftsbetrieb.

Neben Windows-Rechnern konzentriert sich Akira intensiv auf Angriffe auf ESXi-Hosts, um den Betrieb virtueller Maschinen zu stören und diese durch die Verschlüsselung von Daten zu zerstören. Diese Strategie macht die Ransomware extrem verheerend und legt eine Organisation lahm, die eine virtuelle Infrastruktur für ihren Geschäftsbetrieb nutzt. Etwa 50 % der Angriffe im Jahr 2024 richteten sich unter Ausnutzung mehrerer Schwachstellen gegen VMware ESXi.

Ursprünglich wurde Akira in C++ entwickelt, insbesondere die Windows-Version; IBM X-Force entdeckte im Dezember 2023 ein in C++ kompiliertes Sample. Die Version „Akira_v2“ ist in Rust geschrieben, was die Funktionalität und die Widerstandsfähigkeit gegen Analysen verbessert. Es gibt sowohl Windows- als auch Linux-Varianten, die auf die jeweiligen Plattformen zugeschnitten sind (CryptoAPI vs. Crypto++).

Lebenszyklus eines Akira-Ransomware-Angriffs: Schritt für Schritt

Um sich vor Akira-Ransomware-Angriffen zu schützen, sollten Sie verstehen, wie diese Ransomware in den verschiedenen Phasen eines Cyberangriffs funktioniert. Auf diese Weise können Sie vorbeugende Maßnahmen für die Datensicherheit ergreifen.

Schritt 1 – Erster Zugriff über Remote-Zugangspunkte

Die Akteure hinter der Akira-Ransomware verschaffen sich häufig über Remote-Zugangspunkte einen ersten Zugriff, indem sie exponierte oder schlecht gesicherte Dienste ausnutzen. Diese Strategie ermöglicht es ihnen, auf das Zielnetzwerk zuzugreifen, ohne es physisch zu berühren.

Ausnutzung anfälliger VPN- und RDP-Dienste

Angreifer verschaffen sich häufig Zugang zum Netzwerk eines Opfers, indem sie Zero-Day- und ungepatchte Schwachstellen in gängigen Virtual-Private-Network-Produkten (VPN) (Gateways) und Software für den Fernzugriff über das Remote Desktop Protocol (RDP) ausnutzen.

Beispiele für die von Akira genutzten Produkte und Schwachstellen:

• Cisco ASA / FTD – wie beispielsweise CVE-2023-20269, eine Schwachstelle zur Rechteausweitung im VPN-Authentifizierungsprozess.
• SonicWall Secure Mobile Access (SMA)-Appliances – insbesondere, wenn sie ungepatcht sind oder keine Multi-Faktor-Authentifizierung (MFA) verwenden.
• Fortinet FortiGate SSL-VPN-Schwachstellen – darunter auch ältere Schwachstellen wie CVE-2018-13379, die auf nicht gewarteten Geräten nach wie vor ausgenutzt werden.

Die Taktiken für den unbefugten Zugriff auf das Netzwerk eines Opfers umfassen die folgenden Elemente:

• Das Internet nach Geräten mit veralteter Firmware absuchen.
• Die Schwachstelle ausnutzen, um die Authentifizierung zu umgehen oder Code auszuführen.
• Gestohlene Sitzungstoken oder im Speicher abgelegte Anmeldeinformationen im Klartext verwenden. Die Akteure der Akira-Ransomware können einen Mini-Dump des LSASS-Prozessspeichers (Local Security Authority Subsystem Service) erstellen, um zusätzliche Anmeldeinformationen zu sammeln.
• Direkte Brute-Force-Angriffe auf schwache Konten.
• Verwendung von durchgesickerten Anmeldeinformationen aus Dark-Web-Marktplätzen.
• Ausnutzung von Schwachstellen im RDP-Gateway oder veralteten Windows-Remotedesktopdiensten.

In einigen Vorfällen nutzte die Akira-Ransomware-Gruppe:

• AnyDesk, TeamViewer oder VNC mit schwachen oder wiederverwendeten Passwörtern.
• MSP-RMM-Tools (Remote Monitoring and Management) wurden eingesetzt, wenn MSP-Konten kompromittiert wurden.
• Cloud-basierte Verwaltungskonsolen (Microsoft 365, AWS) zur Bereitstellung von Skripten innerhalb des Netzwerks.

Hinweis: Microsoft hat obligatorische Multi-Faktor-Authentifizierung implementiert, um dieses Risiko für Microsoft 365-Administratoren zu verringern.

Kompromittierte Anmeldeinformationen

Angreifer verwenden häufig gestohlene Anmeldeinformationen aus früheren Angriffen. Deshalb ist es wichtig, eindeutige Anmeldeinformationen zu verwenden und Sicherheitsmaßnahmen einzuhalten. Diese Methode ermöglicht es den Angreifern der Ransomware „Akira“, auf das Netzwerk eines Opfers zuzugreifen, ohne Sicherheitslücken auszunutzen. Dadurch erscheinen die Angreifer beim Zugriff auf das Netzwerk als legitime Benutzer, ohne dass andere Maßnahmen zur Sicherheit umgangen werden müssen.

Um an die Anmeldeinformationen zu gelangen, wenden die Angreifer zudem herkömmliche Taktiken an, darunter:

• Phishing und Spear-Phishing-E-Mails zum Abfangen von VPN-Benutzernamen und -Passwörtern.
• Keylogger/Informationsdiebe (wie z. B. RedLine Stealer) auf den privaten Geräten von Remote-Benutzern.

Schwachstellen werden ausgenutzt:

• Keine Multi-Faktor-Authentifizierung (MFA) bei VPN- und E-Mail-Anmeldungen.
• Schwache Passwörter, die per Brute-Force geknackt werden können.
• MFA-Fatigue-Angriffe (wiederholte Anmeldeaufforderungen, bis ein Benutzer zustimmt).

Cyberkriminelle können einen Brute-Force-Angriff durchführen, wenn keine passenden Anmeldeinformationen gefunden werden. Diese Angriffsart zielt in der Regel auf RDP- und SSH-Dienste ab und kann erfolgreich sein, wenn weit verbreitete oder schwache Passwörter verwendet werden.

Eine typische Fernzugriffskette für die Ransomware „Akira“ sieht wie folgt aus:

Internetscan → Identifizierung eines exponierten Dienstes → Ausnutzung einer VPN-Schwachstelle oder Diebstahl von Anmeldeinformationen → Authentifizierung beim Remote-Dienst → Platzierung von Tools zur Erkundung und zum Sammeln von Anmeldeinformationen → Laterale Bewegung

Schritt 2 – Persistenz und Rechteausweitung

Eine Kombination aus legitimen ADMIN-Tools, Fehlkonfigurationen und benutzerdefinierten Skripten ermöglicht es der Ransomware „Akira“, langfristigen Zugriff aufrechtzuerhalten und mit vollen Systemrechten zu agieren. Persistenz bedeutet, auch nach einer Erkennung oder einem Neustart in der Umgebung des Opfers verbleiben zu können. Nach dem Zugriff auf die Netzwerke sichern sich die Angreifer ihre Persistenz durch Techniken, die ihre Aktionen unentdeckt lassen, darunter das Anlegen neuer Konten und die Ausweitung von Berechtigungen.

Anlegen neuer Konten

Bei der Infizierung von Windows-Systemen fügt die Akira-Ransomware lokale Windows-Administratoren oder Domänenadministratoren hinzu, um sich einen dauerhaften Zugriff zu sichern. Manchmal tarnt sie sich unter generischen Namen ( ADMIN , helpdesk ). In Active-Directory-Umgebungen erstellt Akira versteckte Konten mit delegierten Rechten. Ist MFA aktiviert, können die Angreifer manchmal aktive Sitzungstoken oder Cookie-Werte aus Browsern stehlen, um die erneute Authentifizierung zu umgehen.

Konfigurieren von geplanten Aufgaben und Diensten

Die Akira-Ransomware erstellt geplante Aufgaben, die beim Systemstart schädliche Skripte oder Reverse-Shells ausführen. Anschließend passt die Ransomware Dienste an, um ihre Tools zu starten, und benennt die schädlichen Dienste so um, dass sie wie legitime Betriebssystemdienste (OS) aussehen.

Installation von Fernzugriffstools

Die Akira-Ransomware setzt AnyDesk-, TeamViewer- oder RMM-Agenten ein, um den Zugriff auch dann aufrechtzuerhalten, wenn die Anmeldeinformationen für das VPN widerrufen werden. Sie konfiguriert diese so, dass sie automatisch starten und in der Taskleiste ausgeblendet werden. Unter Windows werden Registrierungseinstellungen durch die Änderung von Autostart-Elementen und Registrierungsschlüsseln angepasst. Akira verändert:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun

sowie

HKLMSoftwareMicrosoftWindowsCurrentVersionRun

Diese Techniken stellen sicher, dass die Payloads beim Neustart erneut geladen werden.

Nach Durchführung dieser Aktionen löscht die Akira-Ransomware die Systemprotokolle, um Aufzeichnungen zu beseitigen, die auf ihre Aktivität hinweisen könnten. Diese Taktiken erschweren die Identifizierung eines Angriffs. Die Persistenz stellt sicher, dass Akira auch nach „Bereinigungs“-Versuchen zurückkehren kann, im Laufe der Zeit langsam Daten für doppelte Erpressung exfiltriert und die endgültige Ransomware-Nutzlast erst dann bereitstellt, wenn die vollständige Kontrolle über das Netzwerk erlangt wurde.

Rechteausweitung

Die Rechteausweitung ermöglicht es Akira, von normalen Benutzerrechten auf die Kontrolle auf System- oder Domain-Ebene überzugehen. Die Akira-Ransomware kann Schwachstellen zur lokalen Rechteausweitung ausnutzen, indem sie öffentliche Exploits für ungepatchte Windows-Sicherheitslücken verwendet (zum Beispiel CVE-2021-34527 „PrintNightmare“). Sie zielt außerdem auf Schwachstellen auf Kernel-Ebene ab, um SYSTEM-Rechte zu erlangen.

Das Dumping von Anmeldeinformationen umfasst das Auslesen von im Windows-Cache gespeicherten Anmeldeinformationen, Domänenadministrator-Hashes und LSA-Geheimnissen. Sobald die Anmeldeinformationen eines Domänenadministrators gestohlen wurden, kann das Active Directory vollständig kontrolliert werden. Akira nutzt gestohlene NTLM-Hashes oder Kerberos-Tickets, um sich als privilegierte Benutzer auszugeben, ohne deren Passwörter im Klartext zu kennen. Durch die Ausweitung von Berechtigungen kann die Akira-Ransomware bei der Verschlüsselung maximale Wirkung erzielen, da sie Zugriff auf Backups, Schattenkopien und sensible Server erhält, wodurch die Abwehrmaßnahmen domänenweit außer Kraft gesetzt werden können.

Schritt 3 – Laterale Bewegung und Aufklärung

Die Betreiber der Akira-Ransomware führen laterale Bewegungen und Aufklärung methodisch durch. Während die meisten Ransomware-Programme nach dem „Fire-and-Forget“-Prinzip vorgehen, verhält sich Akira eher wie ein ausgeklügelter, von Menschen gesteuerter Angriff. Es kann sogar bestimmte Sicherheitssoftware deaktivieren.

Sobald sie sich im System befinden, versuchen die Angreifer, besonders wertvolle Daten und Systeme zu identifizieren, um das Ziel weiteren Schaden zuzufügen. Der nächste Schritt besteht darin, sich im gesamten Netzwerk Zugang zu verschaffen, bevor die Verschlüsselung erfolgt. Bevor Akira sich also seitlich ausbreiten kann, muss er wissen, was sich im Netzwerk befindet und wo sich die wertvollen Ziele befinden.

Das Scannen des Netzwerks ist der erste Schritt der Erkundung. Durch die Netzwerkzuordnung kann die Ransomware ihre Ziele für den ersten Angriff identifizieren. Integrierte Tools wie ping , arp -a und netstat werden verwendet, um aktive Hosts zu finden. Andere Scanner, wie Advanced IP Scanner oder nmap , können Subnetze abbilden. PowerShell-Skripte fragen Active Directory nach der Domänenstruktur, Gruppenmitgliedschaften, der Hierarchie der Organisationseinheiten (OU) und den Standorten von Administratorkonten ab.

Weiter identifiziert die Ransomware „Akira“ kritische Ressourcen. Die Ziele sind Dateiserver, Domänencontroller, NAS-Geräte und Datenbankserver. Sie sucht nach einer Infrastruktur für Backups, um diese später zu deaktivieren oder zu verschlüsseln, und sucht nach freigegebenen Laufwerken und Cloud-Synchronisierungsordnern.

Akira ermöglicht den Fernzugriff auf Dienste, selbst wenn diese deaktiviert sind:

• RDP (Remote Desktop Protocol) – oft nach der Aktivierung über GPO (Group Policy Objects), falls es deaktiviert ist.
• KMU (Server Message Block) – zum Kopieren von Tools und Payloads zwischen Hosts.
• WMI (Windows Management Instrumentation) – zum Ausführen von Befehlen aus der Ferne, ohne RDP-Protokolle auszulösen.

Akira nutzt gestohlene NTLM-Hashes oder Kerberos-Tickets, um sich auf anderen Systemen zu authentifizieren, ohne das Passwort zu kennen. Durch das Auslesen von Anmeldeinformationen können AV-/EDR-Agenten mithilfe gestohlener ADMIN-Rechte deaktiviert werden.

Diese Ransomware nutzt legitime Tools wie:

• PsExec (von Sysinternals), um Befehle auf Remote-Systemen auszuführen.
• PowerShell Remoting um Payloads auszuführen, ohne sie auf die Festplatte zu schreiben.
• Net use um Remote-Freigaben einzubinden und Dateien zu exfiltrieren.

Akira kann bereits in der Umgebung bereitgestellte MSP-RMM-Tools (ConnectWise, AnyDesk usw.) nutzen, um sich unbemerkt auf andere Rechner auszubreiten, ohne Warnmeldungen auszulösen. Managed Services Provider sollten vorsichtig sein und Herausforderungen im Bereich Cybersicherheit bei MSPs umsetzen, um ihre eigenen Daten und die ihrer Kunden zu schützen.

Ransomware-Tools und Payloads werden auf andere Rechner kopiert, um die weitere Phase des Angriffs vorzubereiten. 

Durch Aufklärung und laterale Bewegung kann die Ransomware die Auswirkungen der Verschlüsselung maximieren, indem sie gleichzeitig so viele Rechner wie möglich als Ziele ins Visier nimmt. Dadurch kann die Ransomware auf sensible Daten zugreifen, um eine doppelte Erpressung (Datendiebstahl + Verschlüsselung) durchzuführen, und Backups zerstören, um die Opfer zur Zahlung des Lösegelds zu zwingen.

Schritt 4 – Datenexfiltration

Die Ransomware „Akira“ beginnt häufig damit, sensible Daten zu sammeln und zu komprimieren, um deren Übertragung zu vereinfachen und sie zu verschleiern. Zu den häufig verwendeten Tools gehören WinRAR , um Dateien in Archive (RAR-Format) zu komprimieren. Angreifer können außerdem FileZilla , WinSCP und rclone verwenden, um gestohlene Daten zu verpacken und zu übertragen. Diese Tools sind legitim (vertrauenswürdig und auf der Whitelist) und wirken nicht verdächtig wie spezifische, selbst erstellte Tools. Bei einigen Angriffen wurden Daten direkt auf von den Angreifern konfigurierte MEGA-Cloud-Speicher hochgeladen.

WinRAR-Archive wurden mithilfe eines Chrome-Webbrowsers ( Chrome.exe ) exfiltriert, wobei komprimierte Dateien an externe IP-Bereiche gesendet wurden, um legitimen Datenverkehr vorzutäuschen. Akira leakt Daten mithilfe verschiedener Tools, um diesen Vorgang schnell und effektiv zu gestalten. Bei einem der Akira-Ransomware-Angriffe komprimierten die Angreifer 34 GB an Daten mit WinRAR und sendeten diese an eine externe Ressource. Nachdem sie sich Zugang zum Netzwerk der Organisation verschafft hatten, benötigten sie etwa zwei Stunden, um den Angriff abzuschließen.

Schritt 5 – Verschlüsselung und Betriebsstörung

Akira verwendet ein hybrides Verschlüsselungsmodell. Diese Ransomware verschlüsselt Daten zunächst mit einem schnellen symmetrischen Verschlüsselungsalgorithmus (ChaCha20 oder KCipher-2) und sichert den symmetrischen Schlüssel anschließend mithilfe eines fest codierten öffentlichen RSA-Schlüssels, typischerweise RSA-4096. Jede betroffene Datei erhält den symmetrischen Schlüssel als Anhang am Ende und wird mit dem eingebetteten RSA-Schlüssel verschlüsselt. Akira verschlüsselt Dateien möglicherweise teilweise blockweise statt als Ganzes, um die Verschlüsselung zu beschleunigen und gleichzeitig den Schaden zu maximieren. Beispielsweise werden kleine Dateien (< 2 MB) möglicherweise nur zu 50 % verschlüsselt, während größere Dateien zur selektiven Verschlüsselung in mehrere komprimierte Blöcke aufgeteilt werden.

Verschlüsselte Dateien erhalten die Erweiterung „. akira “ (sowie andere wie . powerranges oder . akiranew in neueren Varianten). Die Ransomware schließt systemkritische Dateien und Verzeichnisse bewusst aus, wie z. B. . exe , . dll , Systemordner, Recycle Bin und Windows , um die Systemstabilität bis zum Abschluss des Vorgangs aufrechtzuerhalten. Akira löst eine Störung aus, indem es alle Windows-Volume-Schattenkopien mithilfe von PowerShell (oder WMI) löscht und so die Rollback-Optionen für die Opfer effektiv deaktiviert.

Die Ransomware „Akira“ geht besonders aggressiv gegen VMware ESXi Hypervisoren vor. Sie kann ganze Hosts verschlüsseln, um mehrere Virtuelle Maschinen in einem Angriff lahmzulegen, Sicherheitsdienste deaktivieren, VMs anhalten und ESXi-Anmeldeinformationen manipulieren, um Administratoren auszuschließen.

Sobald die Verschlüsselung fertiggestellt ist, hinterlässt die Akira-Ransomware in jedem betroffenen Verzeichnis Lösegeldnotizen, die üblicherweise akira_readme.txt oder fn.txt heißen. Diese Dateien enthalten einen eindeutigen Opfercode und einen TOR-basierten Verhandlungslink, drohen mit dem Freigeben von Daten und fordern Lösegeld in Bitcoin.

Angriffe auf ESXi-Hosts

Während Windows-Systeme die primären Ziele für den Start des Angriffs und dessen Ausbreitung über das Netzwerk zur Infizierung anderer Rechner sind, sind auch ESXi-Hosts häufige Ziele. Schauen wir uns an, wie die Akira-Ransomware ESXi-Hosts angreift.

• Nach dem Zugriff auf das Netzwerk suchen die Angreifer nach ESXi-Hosts, die mit vCenter verbunden oder direkt über SSH erreichbar sind.
• Die Akira-Ransomware kann anfällige Versionen von vCenter/ESXi ausnutzen. Fehlen Patches, können bekannte Schwachstellen wie CVE-2021-21972, CVE-2021-21985 und CVE-2020-3992 ausgenutzt werden.
• Sobald die Angreifer über SSH auf ESXi zugreifen (was auf Hosts in der Regel für ADMIN-Zwecke aktiviert ist), laden sie den Akira-Linux-ELF-Verschlüsseler hoch und führen ihn direkt auf dem Host aus. Die Ransomware deaktiviert die ESXi-Sicherheitsdienste.
• Die Ransomware bindet Datenspeicher-Volumes auf einem anderen System ein oder nutzt integrierte Tools ( vmkfstools , scp ), um . vmdk und . vmx Dateien zu kopieren und so Daten aus Virtuellen Maschinen zu stehlen.
• Sobald die Daten gestohlen sind, fährt Akira die Virtuellen Maschinen mit folgendem Befehl herunter:

vim-cmd vmsvc/getallvms

vim-cmd vmsvc/power.off <VMID>

und verschlüsselt Dateien auf den Datenspeichern mit dem Programm für die Verschlüsselung, ähnlich wie unter Linux.

So erkennen und wehren Sie sich gegen die Akira-Ransomware

Erkennungsstrategien sind wesentliche Präventivmaßnahmen, die einen komplexen Ansatz erfordern und mehrere Aktionen umfassen sollten.

• Überwachung des Endpunkt- und Netzwerkverhaltens. Verwenden Sie EDR/XDR-Systeme (Endpoint Detection and Response/Extended Detection and Response), um verdächtiges Verhalten zu erkennen (Deaktivierung von Sicherheitstools, Löschen von Schattenkopien, ungewöhnliche laterale Bewegungen, LSASS-Dumps usw.). Achten Sie außerdem auf eine ungewöhnliche Nutzung von Dateikomprimierungsprogrammen.
• Halten Sie Ausschau nach Fernwartungsprogrammen (AnyDesk, RustDesk, Radmin), Tunneling-Tools (Ngrok, Cloudflare Tunnel) oder Methoden zum Diebstahl von Anmeldeinformationen (Mimikatz, LaZagne). Wenn weder Sie noch Ihre Kollegen diese Programme installiert haben, könnte dies ein frühes Anzeichen für einen Ransomware-Angriff sein.
• Überwachen Sie die Bereitstellung verdächtig signierter Treiber, wie beispielsweise rwdrv.sys (ThrottleStop), die Akira nutzt, um bösartige Treiber ( hlpdrv.sys ) zu laden und Malware-Schutzsoftware zu deaktivieren. Akira kann signierte Treiber missbrauchen; diese Angriffe werden als BYOVD-Angriffe (Bring Your Own Vulnerable Driver) bezeichnet.
• Achten Sie auf das massenhafte Herunterfahren virtueller Maschinen. Ransomware kann diese herunterfahren, um mit dem Kopieren und der Verschlüsselung von Dateien zu beginnen.
• Achten Sie auf ungewöhnliche Dateiaktivitäten und Dateien, deren Namen mit . akira , . akiranew oder ähnlichen Endungen umbenannt wurden.
• Konfigurieren Sie Warnmeldungen zu Konten und Zugriffen. Markieren Sie neue oder wiederentdeckte „Geister“-Konten, die von Angreifern erstellt wurden, insbesondere wenn diese auf Anmeldebildschirmen verborgen sind.
• Erkennen Sie Anomalien beim VPN-/RDP-Zugriff, wie z. B. ungewöhnliche Anmeldungen, fehlgeschlagene Authentifizierungsversuche oder Zugriffe von ungewöhnlichen geografischen Standorten.

Zusammen mit den Erkennungsmaßnahmen sollten Sie Abwehrstrategien gegen die Ransomware „Akira“ implementieren.

• Konfigurieren Sie die Multi-Faktor-Authentifizierung für den Zugriff auf VPN, RDP, Web-Admin-Tools, E-Mails usw. Verwenden Sie sichere Passwörter und eine robuste Sicherheitsrichtlinie. Legen Sie die Anzahl der zulässigen Passwortversuche fest.
• Schränken Sie den externen VPN-/RDP-Zugriff ein; nutzen Sie Geofencing und löschen Sie regelmäßig inaktive Anmeldeinformationen/Konten. Konfigurieren Sie Firewalls und filtern Sie den Netzwerkverkehr. Deaktivieren Sie nicht genutzte Ports.
• Installieren Sie regelmäßig Patches für VPN-Appliances und -Systeme, insbesondere für solche, die als bekannte Ziele von Akira gelten.
• Implementieren Sie Netzwerksegmentierung und ziehen Sie Zero-Trust-Sicherheit in Betracht. Segmentieren Sie Netzwerke, um die laterale Ausbreitung von Ransomware einzuschränken und deren Verbreitung zu verhindern. Wenden Sie nach Möglichkeit das Prinzip der geringsten Berechtigungen an, um Zugriff nur für erforderliche Aufgaben zu gewähren.
• Installieren Sie ein Antivirenprogramm (AV) mit EDR/XDR-Software, um Computer im Netzwerk zu schützen. Anwenden Sie eine Treiber-Whitelist, um die Ausführung anfälliger, signierter Treiber zu verhindern. Fügen Sie Schutzmaßnahmen wie „Moving Target Defense“ hinzu, die durch ein sich ständig veränderndes Systemverhalten das Dumping von Anmeldeinformationen, laterale Zugriffstools und Ransomware blockieren.

Implementieren Sie eine zuverlässige Backup-Strategie , die für die gesamte Datensicherheitsstrategie unerlässlich ist.

• Konfigurieren Sie regelmäßige Backups . Stellen Sie sicher, dass die Backups verschlüsselt, unveränderlich sind und regelmäßig auf ihre Wiederherstellungsbereitschaft getestet werden.
• Befolgen Sie die 3-2-1-Regel für Backups . Halten Sie mindestens 3 Kopien der Daten bereit, davon 2 auf unterschiedlichen Medien und 1 außerhalb des Standorts. Sie sollten außerdem über ein air-gapped Backup verfügen, auf das Ransomware keinen Zugriff hat.
• Führen Sie regelmäßige Benutzerschulungen durch : Schulen Sie die Benutzer darin, verdächtige Aktivitäten zu erkennen und zu wissen, was zu tun ist, wenn ungewöhnliches Verhalten bemerkt wird. Benutzer müssen den Computer sofort vom Netzwerk trennen, wenn verdächtige Aktivitäten oder Anzeichen einer Ransomware-Infektion auftreten, und das Problem einem Systemadministrator melden.
• Konfigurieren Sie Infrastrukturüberwachung . Überwachen Sie Protokolle, ungewöhnliche Dateiübertragungen, die Erstellung von Administratorkonten und seltsames Netzwerkverhalten mithilfe von SIEM oder Überwachungstools von Drittanbietern.
• Erstellen Sie einen Ransomware-Reaktionsplan als Teil der umfassenderen Katastrophenwiederherstellung und Notfallplan . Entwickeln und testen Sie einen Ransomware-spezifischen Notfallplanmit klaren Rollen und Verfahren.

Zahlen Sie kein Lösegeld, wenn ein Ransomware-Angriff stattfindet. Behörden (FBI, CISA und andere) raten von der Zahlung von Lösegeld ab, da es keine Garantie dafür gibt, dass Sie Ihre Daten zurückerhalten. Die Wiederherstellung nach einem Akira-Ransomware-Angriff setzt voraus, dass die Ransomware von den infizierten Computern entfernt oder sogar die Software neu installiert wird, eine Infrastrukturprüfung durchgeführt wird, alle möglichen Schwachstellen behoben werden und die Daten aus einem Backup wiederhergestellt werden.

Verwenden Sie NAKIVO Backup & Replication für die Datensicherung und -wiederherstellung. Die NAKIVO-Lösung unterstützt die Sicherung von physischen Maschinen, virtuellen Maschinen, Amazon EC2-Instanzen, Microsoft 365 und Oracle-Datenbanken (über RMAN). Mit einer breiten Palette an Speicheroptionen für Backups können Sie eine zuverlässige Backup-Strategie umsetzen. Datenverschlüsselung und die Unveränderlichkeit der Backups schützen Daten vor unbefugtem Zugriff und Änderungen, sodass Sie Ihre Dateien im Falle einer Katastrophe oder eines Ransomware-Angriffs wiederherstellen können.

Fazit

Die Ransomware „Akira“ stellt nach wie vor eine große Bedrohung für die Cybersicherheit dar und nutzt ausgefeilte Taktiken, um in Netzwerke einzudringen, Daten zu verschlüsseln und Opfer zu erpressen. Das Verständnis ihres Lebenszyklus und der Erkennungsmethoden ist unerlässlich, um starke Abwehrmaßnahmen aufzubauen und potenzielle Schäden zu minimieren. Zuverlässige Backups, Tools wie NAKIVO Backup & Replication und eine proaktive Überwachung können die Auswirkungen eines Angriffs erheblich verringern. Indem sie sich auf dem Laufenden halten und gut vorbereitet sind, können Unternehmen ihre Resilienz gegenüber der Ransomware „Akira“ stärken.

Probieren Sie NAKIVO Backup & Replication aus

Nutzen Sie die kostenlose Testversion, um alle Funktionen der Datensicherheit der Lösung kennenzulernen. 15 Tage kostenlos. Keine Einschränkungen hinsichtlich Funktionen oder Kapazitäten. Keine Kreditkarte erforderlich.

Kostenlos testen