Sikkerhedsforskere slår alarm om en taktik, der gør Akira-ransomware-syndikatet særligt svært at opdage: misbrug af legitim fjernovervågnings- og -styringssoftware (RMM). I stedet for udelukkende at stole på skræddersyet malware, bruger Akira-tilknyttede aktører i stigende grad bredt anerkendte værktøjer som TeamViewer og AnyDesk til at fastholde fodfæste i kompromitterede netværk, samtidig med at de glider forbi slutpunktsdetektion og -respons-systemer (EDR).
Dette er ikke et nyt koncept i cyberkriminalitetens verden, men Akiras fortsatte og raffinerede brug af det understreger et bredere problem: den software, organisationer stoler på til legitim IT-support, kan lige så nemt blive en bagdør for angribere, og traditionelle sikkerhedsværktøjer er ofte ikke bygget til at kende forskel.
Hvorfor Legitime Fjernadgangsværktøjer Er Ideelle Angrebsvektorer
RMM-værktøjer findes af en god grund. IT-afdelinger og administrerede tjenesteudbydere bruger dem dagligt til at fejlfinde maskiner, udrulle opdateringer og understøtte fjernansatte. Netop denne legitimitet er det, der gør dem så værdifulde for ransomware-operatører.
Når Akira-tilknyttede aktører installerer eller kaprer værktøjer som TeamViewer og AnyDesk på et offers netværk, ligner de resulterende forbindelser ofte normal administrativ aktivitet snarere end ondsindet kommando- og kontroltrafik. Sikkerhedssoftware, der flagrer ukendte eksekverbare filer eller usædvanlige netværkssignaler, kan simpelthen lukke disse forbindelser igennem, da værktøjerne selv er digitalt signerede, bredt udbredte og sjældent blokeres direkte af virksomhedspolitik.
Denne tilgang kaldes undertiden en "living off the land"-teknik, selvom angriberne i dette tilfælde ikke blot bruger værktøjer, der allerede findes på et system. De aktivt udruller betroet tredjepartssoftware for at blande sig med normale forretningsoperationer, hvilket giver dem en vedvarende og lavsynlig kanal tilbage til netværket, selv efter et indledende indbrud er opdaget og delvist afhjulpet.
Vedholdenhed, Ikke Kun Indledende Adgang
Det, der gør denne tendens særligt bekymrende, er vedholdenhedsvinklen. Ransomware-grupper bevæger sig ikke altid umiddelbart fra indledende kompromittering til kryptering. Akira-tilknyttede aktører har vist et mønster med at etablere flere fodfæster, og RMM-værktøjer giver dem en pålidelig måde at opretholde adgang over tid, selv hvis én indgangsvej lukkes.
Dette betyder noget, fordi det ændrer hændelsesresponsberegningen for organisationer. At fjerne et kendt stykke malware er ikke nok, hvis angribere stadig har et legitimt udseende fjernadgangsværktøj, der sidder stille på en server eller arbejdsstation, klar til at blive reaktiveret. Sikkerhedsteams bør behandle uventede eller uautoriserede installationer af fjernadgangssoftware som et alvorligt rødt flag, ikke en mindre politik-overtrædelse.
Gruppens tekniske sofistikering i at undgå detektion er blevet dokumenteret før. I en sag dækket i vores rapportering om en Akira-tilknyttet aktørs EDR-undvigelsesforsøg, der styrtede sit eget angreb, fandt forskere hos Huntress, at en angribers egne forsøg på at deaktivere slutpunktsbeskyttelse gav bagslag og uforvarende forstyrrede selve det angreb, de forsøgte at udføre. Den hændelse er en påmindelse om, at selvom Akiras metoder er avancerede, er de ikke ufejlbarlige, og forsvarere, der overvåger tæt, kan fange fejl, angribere begår undervejs.
Privatlivets Indsatser for Enkeltpersoner og Virksomheder
Selvom Akira-ransomware primært målretter organisationer snarere end individuelle forbrugere, er de afledte privatlivsimplikationer betydelige. Når Akira med succes krypterer og eksfiltrerer data fra en virksomhed, inkluderer disse data ofte kunderegistre, medarbejderoplysninger, finansielle detaljer og andre personlige data, der tilhører personer, som ikke havde nogen direkte rolle i bruddet.
Ransomware-grupper som Akira kombinerer i stigende grad kryptering med datatyveri og truer med at lække stjålne filer, hvis en løsesum ikke betales. Det betyder, at enhver, hvis personlige oplysninger ligger i en kompromitteret organisations systemer, uanset om det er som kunde, patient eller medarbejder, kan ende med at få deres private data eksponeret, uanset hvor stærke deres egne personlige sikkerhedsvaner er.
Hvad Dette Betyder For Dig
Hvis du arbejder i IT- eller sikkerhedsoperationer, er denne udvikling et direkte kald til at revidere, hvilke fjernadgangsværktøjer der er autoriseret på dit netværk, og til at overvåge for uautoriserede installationer af software som TeamViewer eller AnyDesk. Uforklarlige fjernadgangsværktøjer, der dukker op på slutpunkter, bør udløse samme niveau af granskning som ukendt malware.
For almindelige brugere og forbrugere er budskabet mere indirekte, men stadig vigtigt. Da Akira-ransomware-angreb kan eksponere personlige data, der opbevares af de virksomheder, du interagerer med, er det værd at være opmærksom på brudmeddelelser fra virksomheder, du handler med, og handle hurtigt, hvis dine oplysninger er involveret.
Handlingsorienterede Pointer
Organisationer bør begrænse, hvilke fjernadgangsværktøjer der er tilladt på netværket, og alarmere på alle andre. Overvågning for RMM-software installeret uden for godkendte IT-arbejdsgange er kritisk, da angribere er afhængige af, at disse værktøjer blander sig med normal trafik. Multi-faktor-autentificering på fjernadgangskonti, regelmæssige revisioner af installeret software og tæt gennemgang af usædvanlige udgående forbindelser hjælper alle med at reducere risikoen for, at Akira-ransomware eller lignende grupper stille og roligt kan opretholde adgang. For enkeltpersoner forbliver det at være opmærksom på brudmeddelelser og bruge unikke adgangskoder på tværs af konti en af de enkleste måder at begrænse følgevirkningerne på, når en virksomhed, du er afhængig af, bliver et mål.
