Un attacco ransomware che si è annullato da solo

I ricercatori di sicurezza di Huntress hanno documentato un caso in cui un affiliato del ransomware Akira ha accidentalmente sabotato il proprio attacco mentre cercava di disabilitare gli strumenti di rilevamento e risposta degli endpoint (EDR) su una rete bersaglio. Invece di oltrepassare le difese senza essere rilevato, il tentativo di elusione dell'attaccante ha mandato in crash il processo di crittografia del ransomware stesso, lasciando il payload previsto incompleto.

Non è la prima volta che un affiliato di Akira compromette la propria operazione mentre cerca di aggirare le protezioni EDR. In un incidente separato trattato in precedenza, un affiliato ha riavviato una macchina Windows compromessa in Modalità provvisoria con rete proprio per rimuovere le difese degli endpoint prima di distribuire il ransomware. Anche quella mossa si è ritorta contro gli attaccanti, disturbando gli stessi sistemi di cui avevano bisogno per completare il processo di crittografia. Nel complesso, questi episodi suggeriscono uno schema: gli affiliati di Akira stanno sperimentando in modo aggressivo tecniche anti-EDR e quelle tecniche si stanno dimostrando fragili nella pratica.

Perché la manomissione dell'EDR continua a ritorcersi contro

Il software EDR è progettato per operare in profondità all'interno del sistema operativo, monitorando processi, attività sui file e chiamate di sistema in tempo reale. È proprio questa profonda integrazione a renderlo prezioso per i difensori, ed è anche il motivo per cui manometterlo è tecnicamente rischioso per gli attaccanti. Quando gli operatori ransomware provano a terminare i processi EDR, disabilitare i driver o forzare un sistema in uno stato ridotto all'osso per evitare il rilevamento, stanno operando in un territorio sconosciuto sulla rete di qualcun altro. Basta un singolo passo falso, una dipendenza mancante, un driver che non si disattiva in modo pulito o un processo che termina in modo imprevisto per mandare in crash proprio il payload che l'attaccante sta cercando di distribuire.

La documentazione di Huntress su questo episodio si aggiunge a un numero crescente di prove che gli strumenti anti-EDR, pur essendo una minaccia reale e attiva, non sono infallibili nemmeno dal lato dell'attaccante. Si tratta di strumenti personalizzati o semi-personalizzati, costruiti rapidamente e distribuiti sotto pressione durante un'intrusione dal vivo. Quel contesto lascia poco spazio ai test e piccoli errori possono avere conseguenze sproporzionate per l'operazione dell'attaccante.

Cosa significa per la privacy e la protezione dei dati

Sebbene questo episodio rappresenti una vittoria tecnica per i difensori coinvolti, è bene essere chiari su cosa significhi e cosa non significhi per la privacy. Un payload di crittografia andato in crash non significa necessariamente che l'attaccante non abbia mai avuto accesso ai dati sensibili. Molte operazioni ransomware, inclusa quella di Akira, che ha preso di mira un'ampia gamma di settori e dimensioni aziendali, seguono ormai un modello di doppia estorsione. Spesso i dati vengono esfiltrati prima ancora che venga tentata la crittografia, il che significa che una fase di crittografia fallita non impedisce automaticamente che si verifichi una violazione di informazioni personali o aziendali, né che queste vengano sfruttate in seguito per l'estorsione.

Questo è importante per chiunque consideri questa storia dal punto di vista della privacy. Le organizzazioni che subiscono un attacco ransomware parzialmente fallito dovrebbero comunque trattare l'episodio come un potenziale evento di esposizione dei dati, non solo come un pericolo scampato. Gli obblighi di notifica, l'indagine forense e il monitoraggio di dati trapelati non dovrebbero essere saltati solo perché il sintomo visibile, una rete crittografata, non si è mai concretizzato del tutto.

Questo episodio si inserisce anche in un panorama ransomware più ampio in cui i gruppi perfezionano costantemente le proprie tattiche. Il monitoraggio recente del settore ha mostrato che Akira resta tra le operazioni ransomware più attive accanto ad altri nomi di spicco, sottolineando che gli affiliati sono sotto pressione per muoversi rapidamente e provare nuovi metodi di elusione, a volte a scapito dell'affidabilità.

Cosa significa per te

Per i team IT e di sicurezza, la lezione non è l'autocompiacimento. È la conferma che le configurazioni EDR anti-manomissione e il monitoraggio stratificato aumentano davvero costi e rischi di fallimento per gli attaccanti. Anche un'intrusione parzialmente fallita può comunque portare al furto di dati, quindi i piani di risposta agli incidenti dovrebbero presupporre che sia avvenuta l'esfiltrazione, a meno che le prove non dimostrino il contrario. Per gli utenti comuni e le organizzazioni più piccole senza team di sicurezza dedicati, il messaggio è più semplice: mantenere aggiornati gli strumenti di protezione degli endpoint, evitare di disabilitare il software di sicurezza anche solo temporaneamente e considerare qualsiasi segno di modifiche non autorizzate al sistema, inclusi riavvii imprevisti o richieste di modalità provvisoria, come un campanello d'allarme da indagare immediatamente.

Consigli pratici

  • Non dare per scontato che una crittografia ransomware fallita o incompleta significhi che non ci sia stato furto di dati; indaga comunque su un'eventuale esfiltrazione, indipendentemente dall'esito.
  • Mantieni gli strumenti EDR e di protezione degli endpoint aggiornati e, dove possibile, configurati con la protezione anti-manomissione attiva.
  • Fai attenzione a comportamenti anomali del sistema, come riavvii imprevisti in modalità provvisoria, usati come tattica di elusione dell'EDR dagli affiliati di Akira.
  • Riesamina regolarmente i piani di backup e ripristino, perché i tentativi di ransomware, riusciti o meno, spesso indicano una compromissione più ampia della rete.

Tentativi di elusione dell'EDR del ransomware Akira come questo mostrano che gli attaccanti stanno ancora perfezionando il proprio playbook e che anche i gruppi più sofisticati possono inciampare nei propri strumenti. Restare vigili, invece di credere che un attacco andato quasi a segno sia un attacco completamente fallito, rimane l'approccio più sicuro per i difensori.