Pesquisadores de segurança estão alertando sobre uma tática que torna o sindicato de ransomware Akira especialmente difícil de detectar: o abuso de softwares legítimos de monitoramento e gerenciamento remoto (RMM). Em vez de depender apenas de malware personalizado, os afiliados do Akira estão cada vez mais recorrendo a ferramentas amplamente confiáveis, como TeamViewer e AnyDesk, para manter uma posição dentro de redes comprometidas, enquanto escapam dos sistemas de detecção e resposta de endpoints (EDR).

Isso não é um conceito novo no mundo do cibercrime, mas o uso contínuo e refinado dessa abordagem pelo Akira ressalta um problema mais amplo: o software no qual as organizações confiam para suporte de TI legítimo pode facilmente se tornar um backdoor para atacantes, e as ferramentas de segurança tradicionais muitas vezes não são projetadas para distinguir a diferença.

Por Que Ferramentas Legítimas de Acesso Remoto São Vetores de Ataque Ideais

As ferramentas RMM existem por um bom motivo. Departamentos de TI e provedores de serviços gerenciados as usam diariamente para solucionar problemas em máquinas, aplicar atualizações e dar suporte a funcionários remotos. Essa legitimidade é exatamente o que as torna tão valiosas para operadores de ransomware.

Quando os afiliados do Akira instalam ou sequestram ferramentas como TeamViewer e AnyDesk na rede de uma vítima, as conexões resultantes muitas vezes parecem atividade administrativa normal, em vez de tráfego malicioso de comando e controle. Softwares de segurança que sinalizam executáveis desconhecidos ou beacons de rede incomuns podem simplesmente deixar essas conexões passarem, já que as próprias ferramentas são assinadas digitalmente, amplamente implantadas e raramente bloqueadas por políticas corporativas.

Essa abordagem às vezes é chamada de técnica "living off the land", embora neste caso os atacantes não estejam apenas usando ferramentas já presentes no sistema. Eles estão ativamente implantando softwares de terceiros confiáveis para se misturar às operações normais de negócios, dando a si mesmos um canal persistente e de baixa visibilidade de volta à rede, mesmo depois que uma intrusão inicial é descoberta e parcialmente remediada.

Persistência, Não Apenas Acesso Inicial

O que torna essa tendência particularmente preocupante é o aspecto da persistência. Grupos de ransomware nem sempre passam imediatamente do comprometimento inicial para a criptografia. Os afiliados do Akira demonstraram um padrão de estabelecer múltiplas posições, e as ferramentas RMM lhes dão uma maneira confiável de manter o acesso ao longo do tempo, mesmo que um ponto de entrada seja fechado.

Isso importa porque muda o cálculo de resposta a incidentes para as organizações. Simplesmente remover uma peça conhecida de malware não é suficiente se os atacantes ainda tiverem uma ferramenta de acesso remoto com aparência legítima instalada silenciosamente em um servidor ou estação de trabalho, pronta para ser reativada. As equipes de segurança precisam tratar instalações inesperadas ou não autorizadas de softwares de acesso remoto como um sério sinal de alerta, não como uma violação menor de política.

A sofisticação técnica do grupo em evitar detecção já foi documentada antes. Em um caso coberto em nossa reportagem sobre a tentativa de um afiliado do Akira de evadir o EDR que derrubou seu próprio ataque, pesquisadores da Huntress descobriram que os próprios esforços de um atacante para desativar a proteção de endpoints saíram pela culatra, interrompendo inadvertidamente o próprio ataque que tentavam realizar. Esse incidente é um lembrete de que, embora os métodos do Akira sejam avançados, eles não são infalíveis, e defensores que monitoram de perto podem pegar erros que os atacantes cometem ao longo do caminho.

Os Riscos de Privacidade para Indivíduos e Empresas

Embora o ransomware Akira tenha como alvo principal organizações, e não consumidores individuais, as implicações de privacidade a jusante são significativas. Quando o Akira criptografa e exfiltra dados de uma empresa com sucesso, esses dados geralmente incluem registros de clientes, informações de funcionários, detalhes financeiros e outros dados pessoais pertencentes a pessoas que não tiveram papel direto na violação.

Grupos de ransomware como o Akira cada vez mais combinam criptografia com roubo de dados, ameaçando vazar arquivos roubados se um resgate não for pago. Isso significa que qualquer pessoa cujas informações pessoais estejam nos sistemas de uma organização comprometida, seja como cliente, paciente ou funcionário, pode acabar tendo seus dados privados expostos, independentemente de quão fortes sejam seus próprios hábitos de segurança pessoal.

O Que Isso Significa Para Você

Se você trabalha em TI ou operações de segurança, esse desenvolvimento é um chamado direto para auditar quais ferramentas de acesso remoto são autorizadas em sua rede e monitorar instalações não autorizadas de softwares como TeamViewer ou AnyDesk. Ferramentas de acesso remoto inexplicáveis aparecendo em endpoints devem acionar o mesmo nível de escrutínio que malware desconhecido.

Para usuários comuns e consumidores, a lição é mais indireta, mas ainda importante. Como ataques de ransomware Akira podem expor dados pessoais mantidos pelas empresas com as quais você interage, vale a pena prestar atenção às notificações de violação de empresas com as quais você faz negócios e agir rapidamente se suas informações estiverem envolvidas.

Conclusões Acionáveis

As organizações devem restringir quais ferramentas de acesso remoto são permitidas na rede e alertar sobre quaisquer outras. Monitorar softwares RMM instalados fora dos fluxos de trabalho aprovados de TI é crítico, já que os atacantes dependem dessas ferramentas para se misturar ao tráfego normal. Autenticação multifator em contas de acesso remoto, auditorias regulares de softwares instalados e revisão cuidadosa de conexões de saída incomuns ajudam a reduzir o risco de que o ransomware Akira ou grupos semelhantes possam manter acesso silenciosamente. Para indivíduos, permanecer alerta a notificações de violação e usar senhas únicas em todas as contas continua sendo uma das maneiras mais simples de limitar os danos quando uma empresa da qual você depende se torna um alvo.