Što se dogodilo: pogrešan potez Akira suradnika sa Safe Modeom

Ransomware skupine ulažu mnogo truda kako bi osigurale da njihov zlonamjerni softver radi glatko. Zato je pomalo zadovoljavajuće saznati da je jedan Akira suradnik uspio sabotirati vlastiti napad jednom jedinom lošom odlukom.

Prema izvješćima o incidentu, jedan suradnik Akira ransomwarea ponovno je pokrenuo kompromitirano računalo žrtve u Safe Mode, reducirani način pokretanja sustava Windows koji je inače namijenjen rješavanju problema. Cilj je bio jasan: Safe Mode učitava samo minimalan skup upravljačkih programa i usluga, što obično sprječava pokretanje alata za otkrivanje i odgovor na krajnjim točkama (EDR) te antivirusnog softvera. Bez tih obrana koje rade, zaključio je napadač, program za šifriranje mogao bi obaviti svoj posao bez otpora.

Umjesto toga, ponovno pokretanje srušilo je napadačev vlastiti program za šifriranje. To isto ograničeno okruženje koje je isključilo sigurnosni softver žrtve također je uklonilo komponente koje su zlonamjernom softveru bile potrebne za rad. Napad je zastao, a pažljivo planirani pokušaj iznude suradnika raspao se prije nego što se proces šifriranja uspio dovršiti.

To je mali, gotovo crnohumorni detalj u inače ozbiljnoj priči: ransomware skupine ne uspiju uvijek sve napraviti kako treba, a njihovi alati mogu biti jednako krhki kao i bilo što drugo što radi na kompromitiranoj mreži.

Zašto je Safe Mode srušio program za šifriranje, a ne samo obrane

Safe Mode postoji kako bi IT osoblju i korisnicima pomogao pri rješavanju problema s neispravnim Windows računalom tako što učitava samo osnovne upravljačke programe i sistemske usluge. Upravo zato su se ransomware operateri u prošlosti oslanjali na njega: mnogi EDR agenti i antivirusni proizvodi konfigurirani su kao uobičajene usluge pri pokretanju, a Windows ih u tom ograničenom stanju jednostavno neće učitati. U teoriji, to čisti put programu za šifriranje da zaključa datoteke bez da mu se bilo tko ili bilo što nađe na putu.

Kvaka je u tome što Safe Mode ne isključuje selektivno samo sigurnosni softver. To je okruženje sve ili ništa koje ograničava koji su upravljački programi, usluge i komponente sustava uopće dostupni. Ako se program za šifriranje oslanja na bilo što izvan tog minimalnog opsega, bio to određeni upravljački program, pozadinska usluga ili ovisnost o kojoj autor zlonamjernog softvera nije razmišljao, teret može zakazati jednako lako kao i antivirusni proizvod koji pokušava izbjeći.

U ovom slučaju, alati Akira suradnika očito nisu bili napravljeni da prežive u tom reduciranom stanju. Programu za šifriranje trebalo je nešto što Safe Mode nije pružao, pa je napad propao pod vlastitom težinom. To je podsjetnik da je ofenzivni alat i dalje softver koji su izgradili ljudi s pretpostavkama o okruženju u kojem će se izvoditi. Kad te pretpostavke nisu točne, čak i dobro opremljena ransomware operacija može se spotaknuti o vlastiti scenarij.

Kako napadači obično onemogućuju sigurnosne alate prije šifriranja

Ponovno pokretanje u Safe Mode samo je jedna od nekoliko tehnika koje suradnici ransomware skupina koriste kako bi očistili put prije postavljanja programa za šifriranje. Ostale uključuju korištenje ukradenih ili kompromitiranih administratorskih vjerodajnica za ručno deinstaliranje ili onemogućavanje EDR agenata, postavljanje alata posebno dizajniranih za gašenje sigurnosnih procesa, iskorištavanje ranjivih upravljačkih programa za prekid zaštićenih usluga te mijenjanje ključeva registra ili postavki grupne politike povezanih s antivirusnim konfiguracijama.

Zajednička nit svih tih metoda jest da napadačima treba vremenski prozor, koliko god kratak, u kojem sigurnosni alati ne gledaju. To je dio razloga zašto ransomware operacije provode toliko vremena na fazi pristupa i izviđanja prije nego što uopće dotaknu program za šifriranje. Širi obrazac ciljanja žrtava Akira ransomwarea pokazuje da ta skupina djeluje u širokom rasponu industrija i veličina tvrtki, što upućuje na prilično ponovljiv plan, a ne na jednokratnu improvizaciju. Upravo ta dosljednost čini pogrešku poput neuspjeha sa Safe Modeom vrijednom pažnje: to je rijetka pukotina u inače dobro uhodanom procesu.

Lekcije o slojevitoj obrani za organizacije koje se suočavaju s napadima u stilu Akire

Očita pouka nije da se organizacije trebaju nadati da će svaki napadač napraviti ovakvu pogrešku, nego da su slojevite obrane, a ne bilo koji pojedinačni alat, ono što otežava čisto izvođenje napada. Ako se mreža oslanja na jedan antivirusni proizvod kao jedinu liniju obrane, ponovno pokretanje u Safe Mode ili gašenje pomoću vjerodajnica može je neutralizirati u jednom potezu. No organizacije koje koriste EDR sa zaštitom od neovlaštenog mijenjanja, ograničenim lokalnim administratorskim pravima, segmentacijom mreže i nadzorom konfiguracija pokretanja napadačima daju daleko više prilika da ne uspiju ili budu uhvaćeni prije nego što šifriranje uopće počne.

Ovaj incident također naglašava zašto ransomware trendove vrijedi pratiti tijekom vremena umjesto reagiranja na pojedinačne naslove. Tromjesečni pregled ransomwarea za drugo tromjesečje 2026. koji obuhvaća Qilin, Akiru i LockBit5 daje koristan kontekst o tome kako te skupine razvijaju svoju taktiku iz tromjesečja u tromjesečje, što sigurnosnim timovima pomaže da predviđaju, a ne samo reagiraju.

Što to znači za vas

Ako upravljate IT-om za malu ili srednju tvrtku, ova je priča dobar poticaj da provjerite nekoliko osnova: ima li vaš EDR ili antivirus uključenu zaštitu od neovlaštenog mijenjanja kako ga se ne bi moglo usputno onemogućiti ponovnim pokretanjem ili izmjenom registra? Jesu li lokalna administratorska prava strogo ograničena kako napadač s jednim kompromitiranim računom ne bi mogao rekonfigurirati usluge pri pokretanju? Prati li netko doista neuobičajena ponovna pokretanja ili aktivnost Safe Modea na produkcijskim sustavima, budući da to samo po sebi može biti crvena zastavica vrijedna istrage?

Ništa od toga ne zahtijeva egzotične alate. Zahtijeva dosljednost i spremnost da se sigurnost tretira slojevito, a ne kao jedna stavka s popisa.

Praktične preporuke

  • Uključite zaštitu od neovlaštenog mijenjanja na EDR i antivirusnim alatima kako ih se ne bi moglo onemogućiti ponovnim pokretanjem u Safe Mode ili promjenama registra.
  • Ograničite lokalne administratorske ovlasti kako biste smanjili koliko lako napadač može rekonfigurirati sistemske usluge.
  • Pratite neočekivana pokretanja u Safe Modeu ili događaje onemogućivanja usluga kao rane znakove upozorenja na aktivni upad.
  • Čuvajte izvanmrežne, testirane sigurnosne kopije kako vas neuspjeli ili djelomični pokušaj šifriranja i dalje ne bi ostavio u grčevitoj potrazi za oporavkom.

Neuspjeh Akira ransomwarea sa Safe Modeom koristan je podsjetnik da čak i sofisticirane kriminalne operacije može srušiti ista složenost koju iskorištavaju. Snažne, slojevite obrane ne samo da zaustavljaju napade, već povećavaju izglede da, kada nešto krene po zlu za napadača, to krene u vašu korist.