O que aconteceu: o tropeço de um afiliado do Akira no Modo de Segurança

Grupos de ransomware investem muito esforço para garantir que seu malware funcione sem problemas. Por isso, é um pouco satisfatório saber que um afiliado do Akira conseguiu sabotar o próprio ataque com uma única decisão ruim.

De acordo com relatos sobre o incidente, um afiliado do ransomware Akira reiniciou o computador comprometido da vítima em Modo de Segurança, o modo de inicialização reduzido do Windows normalmente reservado para solução de problemas. O objetivo era simples: o Modo de Segurança carrega apenas um conjunto mínimo de drivers e serviços, o que normalmente impede que ferramentas de detecção e resposta em endpoints (EDR) e softwares antivírus sejam iniciados. Sem essas defesas em execução, imaginou o atacante, o payload de criptografia poderia agir sem oposição.

Em vez disso, a reinicialização quebrou o próprio criptografador do atacante. O mesmo ambiente limitado que desativou o software de segurança da vítima também removeu componentes que o malware precisava para funcionar. O ataque travou, e a tentativa de extorsão cuidadosamente planejada pelo afiliado desmoronou antes que o processo de criptografia pudesse ser concluído.

É um detalhe pequeno, quase sombriamente cômico, em uma história que de outra forma é séria: grupos de ransomware nem sempre acertam, e suas ferramentas podem ser tão frágeis quanto qualquer outra coisa em execução em uma rede comprometida.

Por que o Modo de Segurança quebrou o criptografador, e não apenas as defesas

O Modo de Segurança existe para ajudar a equipe de TI e os usuários a solucionar problemas em uma máquina Windows com mau funcionamento, carregando apenas drivers e serviços de sistema essenciais. É exatamente por isso que operadores de ransomware já recorreram a ele no passado: muitos agentes de EDR e produtos antivírus são configurados como serviços de inicialização comuns, e o Windows simplesmente não os carrega nesse estado restrito. Em teoria, isso limpa o caminho para que um criptografador bloqueie arquivos sem que nada nem ninguém atrapalhe.

O problema é que o Modo de Segurança não desativa seletivamente apenas o software de segurança. É um ambiente tudo ou nada que limita quais drivers, serviços e componentes do sistema estão disponíveis. Se um criptografador depende de qualquer coisa fora dessa pegada mínima — seja um driver específico, um serviço em segundo plano ou uma dependência que o autor do malware não considerou — o payload pode falhar com a mesma facilidade que o antivírus que ele tentava evitar.

Nesse caso, as ferramentas do afiliado do Akira aparentemente não foram criadas para sobreviver nesse estado reduzido. O criptografador precisava de algo que o Modo de Segurança não fornecia, e o ataque desmoronou sob o próprio peso. É um lembrete de que ferramentas ofensivas ainda são software, criadas por pessoas que fazem suposições sobre o ambiente em que serão executadas. Quando essas suposições não se sustentam, até mesmo uma operação de ransomware bem financiada pode tropeçar no próprio manual.

Como os atacantes normalmente desativam as ferramentas de segurança antes da criptografia

Reiniciar em Modo de Segurança é apenas uma das várias técnicas que afiliados de ransomware usam para limpar o caminho antes de implantar um criptografador. Outras incluem usar credenciais de administrador roubadas ou comprometidas para desinstalar ou desativar manualmente agentes de EDR, implantar ferramentas projetadas especificamente para encerrar processos de segurança, explorar drivers vulneráveis para finalizar serviços protegidos e modificar chaves de registro ou configurações de política de grupo ligadas às configurações de antivírus.

O ponto comum entre todos esses métodos é que os atacantes precisam de uma janela, por mais breve que seja, em que as ferramentas de segurança não estejam observando. É em parte por isso que operações de ransomware passam tanto tempo na fase de acesso e reconhecimento antes de sequer tocar em um criptografador. O padrão mais amplo de segmentação de vítimas do Akira mostra esse grupo operando em uma ampla variedade de setores e tamanhos de empresa, o que sugere um manual bastante repetível em vez de improvisação pontual. Essa consistência é exatamente o que torna um tropeço como a falha no Modo de Segurança digno de nota: é uma rachadura rara em um processo já bem consolidado.

Lições de defesa em profundidade para organizações que enfrentam ataques no estilo do Akira

A conclusão óbvia não é que as organizações devam torcer para que todo atacante cometa um erro como esse. É que defesas em camadas, e não uma única ferramenta, são o que torna os ataques mais difíceis de executar de forma limpa. Se uma rede depende de um único produto antivírus como sua única linha de defesa, uma reinicialização em Modo de Segurança ou uma desativação baseada em credenciais pode neutralizá-la em um único movimento. Mas organizações que executam EDR com proteção contra adulteração, direitos de administrador local restritos, segmentação de rede e configurações de inicialização monitoradas dão aos atacantes muito mais oportunidades de falhar, ou de serem pegos, antes que a criptografia comece.

Esse incidente também reforça por que vale a pena acompanhar as tendências de ransomware ao longo do tempo, em vez de reagir a manchetes isoladas. O resumo de ransomware do segundo trimestre de 2026 que cobre Qilin, Akira e LockBit5 oferece contexto útil sobre como esses grupos estão evoluindo suas táticas trimestre a trimestre, o que ajuda as equipes de segurança a antecipar, em vez de apenas responder.

O que isso significa para você

Se você gerencia a TI de uma empresa de pequeno ou médio porte, essa história é um bom incentivo para verificar alguns pontos básicos: seu EDR ou antivírus tem proteção contra adulteração ativada para que não possa ser desativado casualmente por uma reinicialização ou um ajuste no registro? Os direitos de administrador local são rigidamente restritos para que um atacante com uma única conta comprometida não consiga reconfigurar os serviços de inicialização? Alguém está de fato monitorando reinicializações incomuns ou atividade de Modo de Segurança em sistemas de produção, já que isso por si só pode ser um sinal de alerta que vale a pena investigar?

Nada disso exige ferramentas exóticas. Exige consistência e a disposição de tratar a segurança como algo em camadas, e não como uma única caixa de seleção.

Recomendações práticas

  • Ative a proteção contra adulteração em ferramentas de EDR e antivírus para que elas não possam ser desativadas por reinicializações em Modo de Segurança ou alterações no registro.
  • Restrinja privilégios de administrador local para reduzir a facilidade com que um atacante pode reconfigurar serviços do sistema.
  • Monitore inicializações inesperadas em Modo de Segurança ou eventos de desativação de serviços como sinais de alerta precoce de uma intrusão ativa.
  • Mantenha backups offline e testados para que uma tentativa de criptografia malsucedida ou parcial não deixe você correndo para se recuperar.

A falha no Modo de Segurança do ransomware Akira é um lembrete útil de que até mesmo operações criminosas sofisticadas podem ser desfeitas pela mesma complexidade que exploram. Defesas fortes e em camadas não apenas impedem ataques; elas aumentam as chances de que, quando algo der errado para o atacante, isso aconteça a seu favor.