Wat er gebeurde: de Veilige modus-misstap van een Akira-affiliate

Ransomwarebendes steken veel moeite in het soepel laten draaien van hun malware. Het is dan ook enigszins bevredigend om te lezen dat één Akira-affiliate erin slaagde zijn eigen aanval te saboteren met één enkele slechte beslissing.

Volgens berichtgeving over het incident startte een Akira-ransomware-affiliate een gecompromitteerde computer van het slachtoffer opnieuw op in Veilige modus, de uitgeklede Windows-opstartmodus die normaal gesproken is voorbehouden aan probleemoplossing. Het doel was eenvoudig: Veilige modus laadt alleen een minimale set stuurprogramma's en services, waardoor endpoint detection and response (EDR)-tools en antivirussoftware doorgaans niet worden gestart. Zonder die beveiliging actief, zo redeneerde de aanvaller, kon de encryptie-payload ongehinderd zijn werk doen.

In plaats daarvan brak de herstart de eigen encryptor van de aanvaller. Juist dezelfde beperkte omgeving die de beveiligingssoftware van het slachtoffer uitschakelde, verwijderde ook componenten die de malware nodig had om te functioneren. De aanval stokte en de zorgvuldig geplande afpersingspoging van de affiliate viel in duigen voordat het versleutelingsproces kon worden voltooid.

Het is een klein, bijna zwartgallig komisch detail in een verder serieus verhaal: ransomwaregroepen doen het niet altijd goed, en hun tools kunnen net zo broos zijn als alles wat er op een gecompromitteerd netwerk draait.

Waarom Veilige modus de encryptor brak, en niet alleen de beveiliging

Veilige modus bestaat om IT-medewerkers en gebruikers te helpen een slecht functionerende Windows-machine op te lossen door alleen kernstuurprogramma's en systeemservices te laden. Dat is precies waarom ransomware-operators er in het verleden gebruik van hebben gemaakt: veel EDR-agents en antivirusproducten zijn geconfigureerd als gewone opstartservices, en Windows laadt ze in deze beperkte staat simpelweg niet. In theorie maakt dat de baan vrij voor een encryptor om bestanden te versleutelen zonder dat iemand of iets in de weg zit.

De adder onder het gras is dat Veilige modus niet selectief alleen beveiligingssoftware uitschakelt. Het is een alles-of-nietsomgeving die beperkt welke stuurprogramma's, services en systeemcomponenten er überhaupt beschikbaar zijn. Als een encryptor afhankelijk is van iets buiten die minimale voetafdruk, of het nu een specifiek stuurprogramma, een achtergrondservice of een afhankelijkheid is waar de malwaremaker niet aan heeft gedacht, kan de payload net zo makkelijk falen als het antivirusproduct dat hij probeerde te ontwijken.

In dit geval was de tooling van de Akira-affiliate kennelijk niet gebouwd om in die uitgeklede toestand te overleven. De encryptor had iets nodig dat Veilige modus niet bood, en de aanval bezweek onder zijn eigen gewicht. Het is een herinnering dat offensieve tooling nog steeds software is, gebouwd door mensen die aannames doen over de omgeving waarin die zal draaien. Als die aannames niet kloppen, kan zelfs een goed gefinancierde ransomware-operatie over haar eigen draaiboek struikelen.

Hoe aanvallers beveiligingstools doorgaans uitschakelen vóór de versleuteling

Opnieuw opstarten in Veilige modus is slechts een van de technieken die ransomware-affiliates gebruiken om de weg vrij te maken voordat ze een encryptor inzetten. Andere zijn onder meer het gebruik van gestolen of gecompromitteerde beheerdersreferenties om EDR-agents handmatig te verwijderen of uit te schakelen, het inzetten van tools die specifiek zijn ontworpen om beveiligingsprocessen te stoppen, het misbruiken van kwetsbare stuurprogramma's om beschermde services te beëindigen, en het wijzigen van registersleutels of groepsbeleidsinstellingen die zijn gekoppeld aan antivirusconfiguraties.

De rode draad in al deze methoden is dat aanvallers een venster nodig hebben, hoe kort ook, waarin beveiligingstools niet meekijken. Dat is een reden waarom ransomware-operaties zoveel tijd besteden aan de toegangs- en verkenningsfase voordat ze een encryptor ook maar aanraken. Het bredere patroon van Akira's slachtofferselectie laat zien dat deze groep actief is in uiteenlopende sectoren en bij bedrijven van verschillende grootte, wat wijst op een redelijk herhaalbaar draaiboek in plaats van eenmalige improvisatie. Juist die consistentie maakt een misstap zoals het Veilige modus-falen opmerkelijk: het is een zeldzame scheur in een verder beproefd proces.

Lessen in gelaagde verdediging voor organisaties die te maken krijgen met Akira-achtige aanvallen

De voor de hand liggende les is niet dat organisaties moeten hopen dat elke aanvaller zo'n fout maakt. Het is dat gelaagde verdediging, en niet één enkel hulpmiddel, aanvallen moeilijker netjes uitvoerbaar maakt. Als een netwerk op één antivirusproduct vertrouwt als enige verdedigingslinie, kan een herstart in Veilige modus of het uitschakelen met gestolen inloggegevens dat in één beweging neutraliseren. Maar organisaties die EDR met bescherming tegen manipulatie, beperkte lokale beheerdersrechten, netwerksegmentatie en gemonitorde opstartconfiguraties gebruiken, geven aanvallers veel meer kansen om te falen, of betrapt te worden, voordat de versleuteling zelfs maar begint.

Dit incident onderstreept ook waarom het de moeite waard is om ransomwaretrends over langere tijd te volgen in plaats van op individuele krantenkoppen te reageren. Het Q2 2026 ransomware-overzicht over Qilin, Akira en LockBit5 biedt nuttige context over hoe deze groepen hun tactieken per kwartaal ontwikkelen, wat beveiligingsteams helpt te anticiperen in plaats van alleen te reageren.

Wat dit voor u betekent

Als u IT beheert voor een klein of middelgroot bedrijf, is dit verhaal een goede aanleiding om een paar basiszaken te controleren: is bescherming tegen manipulatie ingeschakeld voor uw EDR of antivirus, zodat deze niet zomaar kan worden uitgeschakeld door een herstart of een registerwijziging? Zijn lokale beheerdersrechten strikt beperkt, zodat een aanvaller met één gecompromitteerd account opstartservices niet opnieuw kan configureren? Houdt iemand daadwerkelijk toezicht op ongebruikelijke herstarts of Veilige modus-activiteit op productiesystemen, aangezien dat alleen al een rode vlag kan zijn die onderzoek waard is?

Voor geen van dit alles is exotische tooling nodig. Het vereist consistentie en de bereidheid om beveiliging als gelaagd te behandelen in plaats van als één enkel selectievakje.

Concrete actiepunten

  • Schakel bescherming tegen manipulatie in voor EDR- en antivirustools, zodat ze niet kunnen worden uitgeschakeld via herstarts in Veilige modus of registerwijzigingen.
  • Beperk lokale beheerdersrechten om te verkleinen hoe makkelijk een aanvaller systeemservices opnieuw kan configureren.
  • Monitor op onverwachte opstarts in Veilige modus of gebeurtenissen waarbij services worden uitgeschakeld als vroege waarschuwingssignalen van een actieve inbraak.
  • Zorg voor offline, geteste back-ups zodat een mislukte of gedeeltelijke versleutelingspoging u niet alsnog dwingt tot koortsachtig herstel.

Het Veilige modus-falen van Akira-ransomware is een nuttige herinnering dat zelfs geavanceerde criminele operaties ten onder kunnen gaan aan dezelfde complexiteit die ze misbruiken. Sterke, gelaagde verdediging stopt aanvallen niet alleen, het vergroot de kans dat wanneer er iets misgaat voor de aanvaller, het in uw voordeel misgaat.