Beveiligingsonderzoekers slaan alarm over een tactiek die de Akira-ransomwaregroep bijzonder moeilijk te detecteren maakt: het misbruik van legitieme software voor extern beheer en monitoring (RMM). In plaats van uitsluitend te vertrouwen op op maat gemaakte malware, schakelen Akira-gelieerden steeds vaker over op algemeen vertrouwde tools zoals TeamViewer en AnyDesk om een voet aan de grond te houden in gecompromitteerde netwerken, terwijl ze langs endpoint detection and response-systemen (EDR) glippen.

Dit is geen nieuw concept in de wereld van cybercriminaliteit, maar het voortdurende en verfijnde gebruik ervan door Akira onderstreept een breder probleem: de software waar organisaties op vertrouwen voor legitieme IT-ondersteuning kan net zo gemakkelijk een achterdeur worden voor aanvallers, en traditionele beveiligingstools zijn vaak niet gebouwd om het verschil te zien.

Waarom Legitieme Tools voor Externe Toegang Ideale Aanvalsvectoren Zijn

RMM-tools bestaan om een goede reden. IT-afdelingen en managed service providers gebruiken ze dagelijks om computers te troubleshooten, updates door te voeren en externe medewerkers te ondersteunen. Die legitimiteit is precies wat ze zo waardevol maakt voor ransomware-operators.

Wanneer Akira-gelieerden tools zoals TeamViewer en AnyDesk installeren of kapen op het netwerk van een slachtoffer, lijken de resulterende verbindingen vaak op normale administratieve activiteit in plaats van kwaadaardig command-and-control-verkeer. Beveiligingssoftware die onbekende uitvoerbare bestanden of ongebruikelijke netwerkbakens markeert, laat deze verbindingen mogelijk gewoon door, omdat de tools zelf digitaal zijn ondertekend, breed zijn geïmplementeerd en zelden volledig worden geblokkeerd door bedrijfsbeleid.

Deze aanpak wordt soms een 'living off the land'-techniek genoemd, hoewel aanvallers in dit geval niet alleen tools gebruiken die al op een systeem aanwezig zijn. Ze implementeren actief vertrouwde software van derden om op te gaan in normale bedrijfsactiviteiten, waardoor ze een persistent en laagzichtbaar kanaal terug naar het netwerk hebben, zelfs nadat een eerste inbraak is ontdekt en gedeeltelijk is verholpen.

Persistentie, Niet Alleen Initiële Toegang

Wat deze trend bijzonder zorgwekkend maakt, is de persistentiehoek. Ransomwaregroepen gaan niet altijd onmiddellijk van een eerste compromittering naar encryptie. Akira-gelieerden hebben een patroon laten zien van het vestigen van meerdere toegangspunten, en RMM-tools geven hen een betrouwbare manier om toegang in de loop van de tijd te behouden, zelfs als een toegangspunt wordt afgesloten.

Dit is belangrijk omdat het de incidentresponse-berekening voor organisaties verandert. Het simpelweg verwijderen van een bekend stuk malware is niet genoeg als aanvallers nog steeds een legitiem ogende tool voor externe toegang op een server of workstation hebben staan, klaar om te worden gereactiveerd. Beveiligingsteams moeten onverwachte of ongeautoriseerde installaties van software voor externe toegang behandelen als een serieuze rode vlag, niet als een kleine beleidsschending.

De technische verfijning van de groep in het ontwijken van detectie is eerder gedocumenteerd. In één geval dat werd behandeld in onze berichtgeving over een poging van een Akira-gelieerde om EDR-detectie te ontwijken die de eigen aanval deed crashen, ontdekten onderzoekers van Huntress dat de eigen poging van een aanvaller om endpointbescherming uit te schakelen averechts werkte en per ongeluk de aanval verstoorde die ze probeerden uit te voeren. Dat incident herinnert ons eraan dat hoewel de methoden van Akira geavanceerd zijn, ze niet onfeilbaar zijn, en verdedigers die nauwlettend in de gaten houden, fouten kunnen opmerken die aanvallers onderweg maken.

De Privacy-Inzet voor Individuen en Bedrijven

Hoewel Akira-ransomware voornamelijk organisaties target in plaats van individuele consumenten, zijn de downstream-privacy-implicaties aanzienlijk. Wanneer Akira met succes gegevens van een bedrijf versleutelt en exfiltreert, bevatten die gegevens vaak klantgegevens, werknemersinformatie, financiële details en andere persoonlijke gegevens van mensen die geen directe rol hadden in de inbreuk.

Ransomwaregroepen zoals Akira combineren encryptie steeds vaker met gegevensdiefstal, waarbij ze dreigen gestolen bestanden te lekken als er geen losgeld wordt betaald. Dat betekent dat iedereen wiens persoonlijke informatie in de systemen van een gecompromitteerde organisatie staat, of het nu als klant, patiënt of werknemer is, uiteindelijk zijn of haar privégegevens blootgesteld kan zien, ongeacht hoe sterk hun eigen persoonlijke beveiligingsgewoonten zijn.

Wat Dit Voor Jou Betekent

Als je in IT- of beveiligingsoperaties werkt, is deze ontwikkeling een directe oproep om te controleren welke tools voor externe toegang op jouw netwerk zijn geautoriseerd en om te monitoren op ongeautoriseerde installaties van software zoals TeamViewer of AnyDesk. Onverklaarbare tools voor externe toegang die op endpoints verschijnen, moeten hetzelfde niveau van onderzoek triggeren als onbekende malware.

Voor alledaagse gebruikers en consumenten is de les meer indirect maar nog steeds belangrijk. Omdat Akira-ransomware-aanvallen persoonlijke gegevens kunnen blootleggen die worden bewaard door de bedrijven waarmee je interacteert, is het de moeite waard om aandacht te besteden aan inbreukmeldingen van bedrijven waar je zaken mee doet en snel te handelen als jouw informatie erbij betrokken is.

Praktische Aanbevelingen

Organisaties moeten beperken welke tools voor externe toegang op het netwerk zijn toegestaan en waarschuwen voor alle andere. Monitoring op RMM-software die buiten goedgekeurde IT-workflows is geïnstalleerd, is cruciaal, omdat aanvallers vertrouwen op deze tools om op te gaan in normaal verkeer. Multi-factorauthenticatie op accounts voor externe toegang, regelmatige audits van geïnstalleerde software en nauwkeurige controle van ongebruikelijke uitgaande verbindingen helpen allemaal om het risico te verminderen dat Akira-ransomware of vergelijkbare groepen stilletjes toegang kunnen behouden. Voor individuen blijft het alert zijn op inbreukmeldingen en het gebruik van unieke wachtwoorden voor accounts een van de eenvoudigste manieren om de schade te beperken wanneer een bedrijf waar je op vertrouwt een doelwit wordt.