Hva skjedde: Akira-tilknyttet aktørs Safe Mode-tabbe

Løsepengevare-gjenger bruker mye innsats på å sørge for at skadevaren deres kjører problemfritt. Så det er litt tilfredsstillende å høre at én Akira-tilknyttet aktør klarte å sabotere sitt eget angrep med én enkelt dårlig beslutning.

Ifølge rapportering om hendelsen startet en Akira-tilknyttet aktør offerets kompromitterte datamaskin på nytt i Safe Mode, den nedstrippede Windows-oppstartsmodusen som normalt er reservert for feilsøking. Målet var enkelt: Safe Mode laster bare et minimalt sett med drivere og tjenester, noe som vanligvis hindrer endepunktdeteksjons- og responsverktøy (EDR) og antivirusprogramvare i å starte. Uten disse forsvarsmekanismene i gang, tenkte angriperen, kunne krypteringslasten gjøre jobben sin uten motstand.

I stedet ødela omstarten angriperens egen kryptering. Det samme begrensede miljøet som stengte ned offerets sikkerhetsprogramvare, fjernet også komponenter skadevaren trengte for å fungere. Angrepet stoppet opp, og den tilknyttede aktørens nøye planlagte utpressingsforsøk falt fra hverandre før krypteringsprosessen kunne fullføres.

Det er en liten, nesten svart komisk detalj i en ellers alvorlig historie: løsepengevaregrupper får ikke alltid til ting, og verktøyene deres kan være like skjøre som alt annet som kjører på et kompromittert nettverk.

Hvorfor Safe Mode ødela krypteringen, ikke bare forsvaret

Safe Mode finnes for å hjelpe IT-ansatte og brukere med å feilsøke en Windows-maskin som oppfører seg dårlig, ved å bare laste inn kjernedrivere og systemtjenester. Det er nettopp derfor løsepengevareoperatører har støttet seg på det tidligere: mange EDR-agenter og antivirusprodukter er konfigurert som vanlige oppstartstjenester, og Windows rett og slett ikke laster dem i denne begrensede tilstanden. I teorien rydder det rullebanen for en kryptering som kan låse filer uten at noen eller noe kommer i veien.

Haken er at Safe Mode ikke selektivt deaktiverer bare sikkerhetsprogramvare. Det er et alt-eller-ingenting-miljø som begrenser hvilke drivere, tjenester og systemkomponenter som er tilgjengelige i det hele tatt. Hvis en kryptering er avhengig av noe utenfor det minimale fotavtrykket, enten det er en spesifikk driver, en bakgrunnstjeneste eller en avhengighet skadevareforfatteren ikke tenkte på å ta høyde for, kan lasten feile like lett som antivirusproduktet den prøvde å unngå.

I dette tilfellet var den Akira-tilknyttede aktørens verktøy tilsynelatende ikke bygget for å overleve i den nedstrippede tilstanden. Krypteringen trengte noe Safe Mode ikke ga, og angrepet kollapset under sin egen vekt. Det er en påminnelse om at offensiv verktøy fortsatt er programvare, bygget av folk som gjør antagelser om miljøet den vil kjøre i. Når disse antagelsene ikke holder, kan selv en velutstyrt løsepengevareoperasjon snuble over sitt eget spilleregelverk.

Hvordan angripere vanligvis deaktiverer sikkerhetsverktøy før kryptering

Å starte på nytt i Safe Mode er bare én av flere teknikker løsepengevare-tilknyttede aktører bruker for å rydde vei før de distribuerer en kryptering. Andre inkluderer å bruke stjålne eller kompromitterte administratorlegitimasjoner for å manuelt avinstallere eller deaktivere EDR-agenter, distribuere verktøy som er spesielt utviklet for å drepe sikkerhetsprosesser, utnytte sårbare drivere til å avslutte beskyttede tjenester, og endre registernøkler eller gruppepolicyinnstillinger knyttet til antiviruskonfigurasjoner.

Den felles nevneren på tvers av alle disse metodene er at angripere trenger et vindu, hvor kort det enn er, der sikkerhetsverktøy ikke ser på. Det er en del av grunnen til at løsepengevareoperasjoner bruker så mye tid på tilgangs- og rekognoseringsfasen før de i det hele tatt tar i en kryptering. Det bredere mønsteret for Akiras målretting av ofre viser at denne gruppen opererer på tvers av et bredt spekter av bransjer og selskapsstørrelser, noe som antyder en ganske repeterbar spillplan snarere enn engangsimprovisasjon. Denne konsistensen er nettopp det som gjør en tabbe som Safe Mode-svikten bemerkelsesverdig: det er en sjelden sprekk i en ellers godt innarbeidet prosess.

Forsvar-i-dybden-lærdommer for organisasjoner som står overfor Akira-lignende angrep

Den åpenbare lærdommen er ikke at organisasjoner bør håpe at hver angriper gjør en feil som denne. Det er at forsvar i dybden, ikke noe enkelt verktøy, er det som gjør angrep vanskeligere å gjennomføre rent. Hvis et nettverk stoler på ett antivirusprodukt som sin eneste forsvarslinje, kan en Safe Mode-omstart eller en legitimasjonsbasert nedstenging nøytralisere det i ett trekk. Men organisasjoner som kjører EDR med manipulasjonsbeskyttelse, begrensede lokale administratorrettigheter, nettverkssegmentering og overvåkede oppstartskonfigurasjoner gir angripere langt flere muligheter til å feile, eller bli tatt, før kryptering i det hele tatt starter.

Denne hendelsen understreker også hvorfor løsepengevare-trender er verdt å følge over tid i stedet for å reagere på enkeltoppslag. Q2 2026-oppsummeringen for løsepengevare som dekker Qilin, Akira og LockBit5 gir nyttig kontekst om hvordan disse gruppene utvikler taktikken sin kvartal for kvartal, noe som hjelper sikkerhetsteam med å forutse i stedet for bare å reagere.

Hva dette betyr for deg

Hvis du administrerer IT for en liten eller mellomstor bedrift, er denne historien en god påminnelse om å sjekke noen grunnleggende ting: har EDR- eller antivirusprogramvaren din manipuleringbeskyttelse aktivert slik at den ikke kan deaktiveres tilfeldig ved en omstart eller en registerendring? Er lokale administratorrettigheter strengt begrenset slik at en angriper med én kompromittert konto ikke kan rekonfigurere oppstartstjenester? Overvåker noen faktisk for uvanlige omstarter eller Safe Mode-aktivitet på produksjonssystemer, siden det alene kan være et rødt flagg verdt å undersøke?

Ingenting av dette krever eksotiske verktøy. Det krever konsistens, og en vilje til å behandle sikkerhet som lagdelt snarere enn en enkelt avkrysningsboks.

Praktiske tiltak

  • Aktiver manipulasjonsbeskyttelse på EDR- og antivirusverktøy slik at de ikke kan deaktiveres gjennom Safe Mode-omstarter eller registerendringer.
  • Begrens lokale administratorrettigheter for å redusere hvor lett en angriper kan rekonfigurere systemtjenester.
  • Overvåk for uventede Safe Mode-oppstarter eller hendelser der tjenester deaktiveres, som tidlige varseltegn på en aktiv inntrenging.
  • Ta vare på frakoblede, testede sikkerhetskopier slik at et mislykket eller delvis krypteringsforsøk ikke likevel etterlater deg i panikk for å gjenopprette.

Akira-løsepengevarens Safe Mode-svikt er en nyttig påminnelse om at selv sofistikerte kriminelle operasjoner kan bli ødelagt av den samme kompleksiteten de utnytter. Sterke, lagdelte forsvar stopper ikke bare angrep, de øker sjansene for at når noe går galt for angriperen, går det galt i din favør.