Que s'est-il passé : le faux pas d'un affilié d'Akira avec le mode sans échec

Les gangs de ransomware consacrent beaucoup d'efforts à s'assurer que leurs malwares fonctionnent sans accroc. Il est donc plutôt satisfaisant d'apprendre qu'un affilié d'Akira a réussi à saboter sa propre attaque avec une seule mauvaise décision.

Selon les rapports sur l'incident, un affilié du ransomware Akira a redémarré l'ordinateur compromis d'une victime en mode sans échec, ce mode de démarrage Windows allégé normalement réservé au dépannage. L'objectif était simple : le mode sans échec ne charge qu'un ensemble minimal de pilotes et de services, ce qui empêche généralement les outils de détection et de réponse sur les terminaux (EDR) et les antivirus de se lancer. Sans ces défenses actives, pensait l'attaquant, la charge utile de chiffrement pourrait agir sans opposition.

Au lieu de cela, le redémarrage a cassé le propre chiffreur de l'attaquant. Ce même environnement limité qui a désactivé les logiciels de sécurité de la victime a également supprimé des composants dont le malware avait besoin pour fonctionner. L'attaque s'est enlisée et la tentative d'extorsion soigneusement planifiée de l'affilié s'est effondrée avant que le processus de chiffrement ne puisse aboutir.

C'est un détail presque sombrement comique dans une histoire par ailleurs sérieuse : les groupes de ransomware ne font pas toujours tout juste, et leurs outils peuvent être tout aussi fragiles que n'importe quel autre logiciel fonctionnant sur un réseau compromis.

Pourquoi le mode sans échec a cassé le chiffreur, et pas seulement les défenses

Le mode sans échec existe pour aider le personnel informatique et les utilisateurs à dépanner une machine Windows qui se comporte mal en ne chargeant que les pilotes et services système essentiels. C'est exactement pour cette raison que les opérateurs de ransomware s'en sont servis par le passé : de nombreux agents EDR et produits antivirus sont configurés comme des services de démarrage classiques, et Windows ne les charge tout simplement pas dans cet état restreint. En théorie, cela dégage la voie pour qu'un chiffreur verrouille les fichiers sans que personne ni rien ne s'y oppose.

Le hic, c'est que le mode sans échec ne désactive pas sélectivement les seuls logiciels de sécurité. C'est un environnement tout ou rien qui limite les pilotes, services et composants système disponibles. Si un chiffreur dépend de quoi que ce soit en dehors de cette empreinte minimale, qu'il s'agisse d'un pilote spécifique, d'un service en arrière-plan ou d'une dépendance que l'auteur du malware n'a pas pensé à prendre en compte, la charge utile peut échouer tout aussi facilement que l'antivirus qu'elle tentait d'éviter.

Dans ce cas, l'outillage de l'affilié d'Akira n'était apparemment pas conçu pour survivre dans cet état allégé. Le chiffreur avait besoin de quelque chose que le mode sans échec ne fournissait pas, et l'attaque s'est effondrée sous son propre poids. C'est un rappel que l'outillage offensif reste un logiciel, construit par des personnes qui font des hypothèses sur l'environnement dans lequel il va s'exécuter. Quand ces hypothèses ne tiennent pas, même une opération de ransomware bien dotée peut trébucher sur son propre manuel.

Comment les attaquants désactivent généralement les outils de sécurité avant le chiffrement

Redémarrer en mode sans échec n'est que l'une des techniques que les affiliés de ransomware utilisent pour dégager le terrain avant de déployer un chiffreur. D'autres consistent à utiliser des identifiants d'administrateur volés ou compromis pour désinstaller ou désactiver manuellement les agents EDR, à déployer des outils conçus spécifiquement pour tuer les processus de sécurité, à exploiter des pilotes vulnérables pour mettre fin à des services protégés, et à modifier des clés de registre ou des paramètres de stratégie de groupe liés aux configurations antivirus.

Le point commun à toutes ces méthodes est que les attaquants ont besoin d'une fenêtre, même brève, pendant laquelle les outils de sécurité ne surveillent pas. C'est en partie pour cela que les opérations de ransomware passent autant de temps sur la phase d'accès et de reconnaissance avant de toucher un chiffreur. Le schéma plus large de ciblage des victimes par Akira montre que ce groupe opère dans une large gamme de secteurs et de tailles d'entreprises, ce qui suggère un manuel relativement reproductible plutôt qu'une improvisation ponctuelle. Cette régularité est précisément ce qui rend un faux pas comme l'échec du mode sans échec notable : c'est une fissure rare dans un processus par ailleurs bien rodé.

Leçons de défense en profondeur pour les organisations confrontées à des attaques de type Akira

La conclusion évidente n'est pas que les organisations devraient espérer que chaque attaquant commette une erreur de ce genre. C'est que les défenses superposées, et non un outil unique, sont ce qui rend les attaques plus difficiles à exécuter proprement. Si un réseau s'appuie sur un seul antivirus comme unique ligne de défense, un redémarrage en mode sans échec ou une désactivation au moyen d'identifiants peut le neutraliser en une seule manœuvre. Mais les organisations qui utilisent un EDR avec protection contre l'altération, des droits d'administrateur local restreints, une segmentation du réseau et une surveillance des configurations de démarrage donnent aux attaquants beaucoup plus d'occasions d'échouer, ou de se faire repérer, avant même que le chiffrement ne commence.

Cet incident souligne aussi pourquoi il vaut la peine de suivre les tendances des ransomwares dans le temps plutôt que de réagir à des titres isolés. Le récapitulatif des ransomwares du T2 2026 couvrant Qilin, Akira et LockBit5 fournit un contexte utile sur la façon dont ces groupes font évoluer leurs tactiques trimestre après trimestre, ce qui aide les équipes de sécurité à anticiper plutôt qu'à simplement réagir.

Ce que cela signifie pour vous

Si vous gérez l'informatique d'une petite ou moyenne entreprise, cette histoire est une bonne occasion de vérifier quelques bases : votre EDR ou antivirus a-t-il la protection contre l'altération activée, de sorte qu'il ne puisse pas être désactivé à la légère par un redémarrage ou une modification du registre ? Les droits d'administrateur local sont-ils strictement limités, de sorte qu'un attaquant disposant d'un compte compromis ne puisse pas reconfigurer les services de démarrage ? Quelqu'un surveille-t-il réellement les redémarrages inhabituels ou l'activité en mode sans échec sur les systèmes de production, car cela seul peut être un signal d'alarme qui mérite d'être examiné ?

Rien de tout cela ne nécessite d'outils exotiques. Cela exige de la régularité et la volonté de traiter la sécurité comme une approche superposée plutôt que comme une simple case à cocher.

Points d'action concrets

  • Activez la protection contre l'altération sur les outils EDR et antivirus afin qu'ils ne puissent pas être désactivés par des redémarrages en mode sans échec ou des modifications du registre.
  • Limitez les privilèges d'administrateur local pour réduire la facilité avec laquelle un attaquant peut reconfigurer les services système.
  • Surveillez les démarrages en mode sans échec inattendus ou les événements de désactivation de services comme signes avant-coureurs d'une intrusion active.
  • Conservez des sauvegardes hors ligne testées afin qu'une tentative de chiffrement échouée ou partielle ne vous laisse pas malgré tout en difficulté pour récupérer.

L'échec du mode sans échec du ransomware Akira est un rappel utile que même les opérations criminelles sophistiquées peuvent être défaites par la complexité même qu'elles exploitent. Des défenses solides et superposées ne font pas qu'arrêter les attaques : elles augmentent les chances que, lorsque quelque chose tourne mal pour l'attaquant, cela tourne en votre faveur.