Cosa è successo: il passo falso di un affiliato di Akira con la modalità provvisoria

Le bande ransomware dedicano molti sforzi a fare in modo che il loro malware funzioni senza intoppi. Quindi è piuttosto soddisfacente scoprire che un affiliato di Akira è riuscito a sabotare il proprio attacco con una sola decisione sbagliata.

Secondo quanto riportato sull'incidente, un affiliato del ransomware Akira ha riavviato il computer compromesso di una vittima in modalità provvisoria, la modalità di avvio ridotta di Windows normalmente riservata alla risoluzione dei problemi. L'obiettivo era semplice: la modalità provvisoria carica solo un insieme minimo di driver e servizi, cosa che in genere impedisce l'avvio degli strumenti di rilevamento e risposta degli endpoint (EDR) e dei software antivirus. Senza quelle difese attive, ha pensato l'aggressore, il payload di cifratura avrebbe potuto agire indisturbato.

Invece, il riavvio ha rotto il suo stesso cifratore. Lo stesso ambiente limitato che aveva disattivato il software di sicurezza della vittima ha anche eliminato componenti di cui il malware aveva bisogno per funzionare. L'attacco si è arrestato e il tentativo di estorsione pianificato con cura dall'affiliato è crollato prima che il processo di cifratura potesse terminare.

È un dettaglio piccolo, quasi di comicità nera, in una storia per il resto seria: i gruppi ransomware non fanno sempre tutto giusto e i loro strumenti possono essere fragili quanto qualsiasi altra cosa in esecuzione su una rete compromessa.

Perché la modalità provvisoria ha bloccato il cifratore, non solo le difese

La modalità provvisoria esiste per aiutare il personale IT e gli utenti a risolvere i problemi di una macchina Windows che non funziona correttamente, caricando solo driver e servizi di sistema essenziali. È proprio per questo che in passato gli operatori ransomware vi hanno fatto ricorso: molti agenti EDR e prodotti antivirus sono configurati come normali servizi di avvio e Windows semplicemente non li carica in questo stato limitato. In teoria, questo libera la strada a un cifratore che può bloccare i file senza che niente o nessuno si metta in mezzo.

Il problema è che la modalità provvisoria non disattiva selettivamente solo il software di sicurezza. È un ambiente tutto o niente che limita quali driver, servizi e componenti di sistema siano disponibili. Se un cifratore dipende da qualcosa al di fuori di quell'impronta minima, che si tratti di un driver specifico, di un servizio in background o di una dipendenza che l'autore del malware non ha considerato, il payload può fallire con la stessa facilità del prodotto antivirus che stava cercando di eludere.

In questo caso, gli strumenti dell'affiliato di Akira evidentemente non erano stati costruiti per sopravvivere in quello stato ridotto. Il cifratore aveva bisogno di qualcosa che la modalità provvisoria non forniva e l'attacco è crollato sotto il suo stesso peso. È un promemoria del fatto che gli strumenti offensivi restano software, creati da persone che fanno ipotesi sull'ambiente in cui verranno eseguiti. Quando quelle ipotesi non reggono, anche un'operazione ransomware ben finanziata può inciampare nel proprio stesso playbook.

Come gli aggressori disattivano in genere gli strumenti di sicurezza prima della cifratura

Il riavvio in modalità provvisoria è solo una delle diverse tecniche che gli affiliati ransomware usano per liberare la strada prima di distribuire un cifratore. Altre includono l'uso di credenziali di amministratore rubate o compromesse per disinstallare o disattivare manualmente gli agenti EDR, l'impiego di strumenti progettati appositamente per terminare i processi di sicurezza, lo sfruttamento di driver vulnerabili per arrestare servizi protetti e la modifica di chiavi di registro o impostazioni di Criteri di gruppo legate alla configurazione dell'antivirus.

Il filo conduttore di tutti questi metodi è che gli aggressori hanno bisogno di una finestra, anche breve, in cui gli strumenti di sicurezza non stiano guardando. Questo è parte del motivo per cui le operazioni ransomware dedicano così tanto tempo alla fase di accesso e ricognizione prima ancora di toccare un cifratore. Il quadro più ampio del targeting delle vittime di Akira mostra che questo gruppo opera in un'ampia gamma di settori e dimensioni aziendali, il che suggerisce un playbook piuttosto ripetibile invece di improvvisazioni una tantum. È proprio questa coerenza a rendere degno di nota un passo falso come il fallimento della modalità provvisoria: è una rara crepa in un processo altrimenti ben collaudato.

Lezioni di difesa in profondità per le organizzazioni che affrontano attacchi in stile Akira

Il punto ovvio non è che le organizzazioni dovrebbero sperare che ogni aggressore commetta un errore come questo. È che le difese stratificate, non un singolo strumento, sono ciò che rende gli attacchi più difficili da portare a termine in modo pulito. Se una rete si affida a un solo prodotto antivirus come unica linea di difesa, un riavvio in modalità provvisoria o una disattivazione basata su credenziali può neutralizzarlo in una sola mossa. Ma le organizzazioni che eseguono EDR con protezione anti-manomissione, diritti di amministratore locale limitati, segmentazione di rete e configurazioni di avvio monitorate danno agli aggressori molte più occasioni di fallire, o di essere scoperti, prima che la cifratura inizi.

Questo incidente sottolinea anche perché vale la pena monitorare le tendenze del ransomware nel tempo, invece di reagire ai singoli titoli. Il riepilogo sul ransomware del Q2 2026 che copre Qilin, Akira e LockBit5 fornisce un contesto utile su come questi gruppi stanno evolvendo le proprie tattiche trimestre dopo trimestre, aiutando i team di sicurezza ad anticipare piuttosto che limitarsi a rispondere.

Cosa significa per te

Se gestisci l'IT di una piccola o media impresa, questa storia è un buon spunto per verificare alcune basi: il tuo EDR o antivirus ha la protezione anti-manomissione attiva, così da non poter essere disattivato con un semplice riavvio o una modifica del registro? I diritti di amministratore locale sono limitati in modo rigoroso, così che un aggressore con un solo account compromesso non possa riconfigurare i servizi di avvio? C'è qualcuno che monitora davvero riavvii anomali o attività in modalità provvisoria sui sistemi di produzione, dato che già questo può essere un campanello d'allarme da analizzare?

Niente di tutto ciò richiede strumenti esotici. Richiede coerenza e la disponibilità a considerare la sicurezza come qualcosa di stratificato, non come una singola casella da spuntare.

Punti d'azione concreti

  • Abilita la protezione anti-manomissione sugli strumenti EDR e antivirus, così non possano essere disattivati tramite riavvii in modalità provvisoria o modifiche del registro.
  • Limita i privilegi di amministratore locale per ridurre quanto facilmente un aggressore possa riconfigurare i servizi di sistema.
  • Monitora avvii in modalità provvisoria imprevisti o eventi di disattivazione dei servizi come segnali premonitori di un'intrusione attiva.
  • Mantieni backup offline e testati, così un tentativo di cifratura fallito o parziale non ti lasci comunque in difficoltà nel recupero.

Il fallimento della modalità provvisoria del ransomware Akira è un utile promemoria del fatto che anche operazioni criminali sofisticate possono essere sconfitte dalla stessa complessità che sfruttano. Difese robuste e stratificate non si limitano a fermare gli attacchi: aumentano le probabilità che, quando qualcosa va storto per l'aggressore, vada storto a tuo favore.