Säkerhetsforskare slår larm om en taktik som gör Akira-ransomwaresyndikatet särskilt svårt att upptäcka: missbruket av legitim programvara för fjärrövervakning och -hantering (RMM). I stället för att enbart förlita sig på specialbyggd skadlig programvara använder sig Akira-associerade aktörer i allt högre utsträckning av allmänt betrodda verktyg som TeamViewer och AnyDesk för att behålla ett fotfäste i komprometterade nätverk samtidigt som de glider förbi system för endpoint detection and response (EDR).
Detta är inte ett nytt koncept inom cyberbrottslighet, men Akirahs fortsatta och förfinade användning av det understryker ett bredare problem: den programvara som organisationer förlitar sig på för legitim IT-support kan lika gärna bli en bakdörr för angripare, och traditionella säkerhetsverktyg är ofta inte byggda för att skilja på de båda.
Varför Legitima Fjärraccessverktyg Är Idealiska Attackvektorer
RMM-verktyg finns av en god anledning. IT-avdelningar och hanterade tjänsteleverantörer använder dem dagligen för att felsöka datorer, skicka ut uppdateringar och stödja fjärranställda. Just den legitimiteteten är exakt vad som gör dem så värdefulla för ransomware-operatörer.
När Akira-associerade aktörer installerar eller kapar verktyg som TeamViewer och AnyDesk på ett offers nätverk ser de resulterande anslutningarna ofta ut som normal administrativ aktivitet snarare än skadlig kommando- och kontrolltrafik. Säkerhetsprogramvara som flaggar okända körbara filer eller ovanliga nätverksbeacon kan helt enkelt släppa igenom dessa anslutningar, eftersom verktygen i sig är digitalt signerade, brett distribuerade och sällan blockeras rakt av av företagspolicy.
Denna metod kallas ibland för en "living off the land"-teknik, även om angriparna i detta fall inte bara använder verktyg som redan finns på systemet. De distribuerar aktivt betrodd tredjepartsprogramvara för att smälta in i normal affärsverksamhet, vilket ger dem en bestående och svårupptäckt kanal tillbaka in i nätverket även efter att en initial intrång har upptäckts och delvis åtgärdats.
Beständighet, Inte Bara Initial Åtkomst
Vad som gör denna trend särskilt oroande är beständighetsaspekten. Ransomware-grupper går inte alltid direkt från initial kompromettering till kryptering. Akira-associerade aktörer har visat ett mönster av att etablera flera fotfästen, och RMM-verktyg ger dem ett tillförlitligt sätt att behålla åtkomst över tid, även om en ingångspunkt stängs.
Detta är viktigt eftersom det förändrar kalkylen för incidenthantering i organisationer. Att helt enkelt ta bort en känd skadlig programvara räcker inte om angripare fortfarande har ett legitimt utseende fjärraccessverktyg som ligger tyst på en server eller arbetsstation, redo att återaktiveras. Säkerhetsteam måste behandla oväntade eller obehöriga installationer av fjärraccessprogramvara som en allvarlig varningsflagga, inte en mindre policyöverträdelse.
Gruppens tekniska sofistikering när det gäller att undvika upptäckt har dokumenterats tidigare. I ett fall som täcktes i vår rapportering om en Akira-associerad aktörs EDR-förbigångsförsök som kraschade dess egen attack, fann forskare på Huntress att en angripares egna försök att inaktivera endpointskydd fick motsatt effekt och oavsiktligt störde den attack de försökte genomföra. Den incidenten påminner om att även om Akirahs metoder är avancerade är de inte ofelbara, och försvarare som övervakar noga kan fånga misstag som angripare gör längs vägen.
Integritetsinsatserna för Individer och Företag
Även om Akira-ransomware främst riktar sig mot organisationer snarare än enskilda konsumenter, är de nedströms innebörderna för integritet betydande. När Akira framgångsrikt krypterar och exfiltrerar data från ett företag innehåller den datan ofta kundregister, anställdas information, ekonomiska detaljer och annan personlig data som tillhör personer som inte haft någon direkt roll i intrånget.
Ransomware-grupper som Akira kombinerar i allt högre utsträckning kryptering med datastöld och hotar att läcka stulna filer om en lösesumma inte betalas. Det innebär att alla vars personliga information finns i ett komprometterat företags system, vare sig som kund, patient eller anställd, kan få sin privata data exponerad oavsett hur starka deras egna säkerhetsvanor är.
Vad Detta Betyder För Dig
Om du arbetar inom IT eller säkerhetsverksamhet är denna utveckling en direkt uppmaning att granska vilka fjärraccessverktyg som är auktoriserade på ditt nätverk och att övervaka för obehöriga installationer av programvara som TeamViewer eller AnyDesk. Oförklarade fjärraccessverktyg som dyker upp på enheter bör utlösa samma grad av granskning som okänd skadlig programvara.
För vanliga användare och konsumenter är budskapet mer indirekt men fortfarande viktigt. Eftersom Akira-ransomwareattacker kan exponera personlig data som innehas av företag du interagerar med, är det värt att uppmärksamma aviseringar om dataintrång från företag du gör affärer med och agera snabbt om din information är inblandad.
Praktiska Slutsatser
Organisationer bör begränsa vilka fjärraccessverktyg som är tillåtna på nätverket och larma på alla andra. Övervakning av RMM-programvara installerad utanför godkända IT-arbetsflöden är avgörande, eftersom angripare förlitar sig på att dessa verktyg smälter in i normal trafik. Multifaktorautentisering på fjärraccesskonton, regelbundna granskningar av installerad programvara och noggrann genomgång av ovanliga utgående anslutningar bidrar alla till att minska risken att Akira-ransomware eller liknande grupper tyst kan behålla åtkomst. För individer förblir uppmärksamhet på aviseringar om dataintrång och användning av unika lösenord över konton ett av de enklaste sätten att begränsa skadeverkningarna när ett företag du förlitar dig på blir ett mål.
