事件经过：Akira 附属组织的安全模式失误

勒索软件团伙花费大量精力确保他们的恶意软件能顺利运行。因此，得知一个 Akira 附属组织仅因一个错误决定就破坏了自己的攻击，多少让人感到有些痛快。

根据相关事件报道，一个 Akira 勒索软件附属组织将受害者已被入侵的计算机重启进入安全模式——这是 Windows 的精简启动模式，通常仅用于故障排除。其目的很直接：安全模式只加载最小化的驱动和服务集，这通常能阻止端点检测和响应（EDR）工具及杀毒软件启动。攻击者认为，在那些防御措施未运行的情况下，加密载荷就能毫无阻碍地完成工作。

然而事与愿违，这次重启破坏了攻击者自己的加密程序。正是在这个关闭了受害者安全软件的受限环境中，恶意软件运行所需的组件也被一并剥夺了。攻击陷入停滞，附属组织精心策划的勒索企图在加密过程完成之前就告瓦解。

在这样一个严肃的事件中，这算是一个小小的、近乎黑色幽默的细节：勒索软件团伙并不总能得手，他们的工具和在被入侵网络上运行的任何其他东西一样脆弱。

为什么安全模式破坏的是加密程序，而不仅仅是防御系统

安全模式的存在是为了帮助 IT 人员和用户通过仅加载核心驱动和系统服务来排查出问题的 Windows 机器。这正是勒索软件运营商过去依赖它的原因：许多 EDR 代理和杀毒产品被配置为常规启动服务，而 Windows 在这种受限状态下根本不会加载它们。理论上，这就为加密程序扫清了跑道，使其能够锁定文件而不受任何阻碍。

问题在于，安全模式并不会选择性地只禁用安全软件。它是一个全有或全无的环境，限制了哪些驱动、服务和系统组件可用。如果加密程序依赖这个最小化范围之外的任何东西——无论是特定的驱动、后台服务，还是恶意软件作者未曾考虑到的依赖项——载荷就可能会像它试图躲避的杀毒产品一样轻易失败。

在这起事件中，Akira 附属组织的工具显然并未被构建为能在这种精简状态下运行。加密程序需要安全模式无法提供的东西，攻击在自身压力下崩溃。这提醒我们，攻击性工具仍然是软件，由对其运行环境做出假设的人构建。当这些假设不成立时，即便是资源充足的勒索软件行动也会绊倒在自己的战术手册上。

攻击者在加密前通常如何禁用安全工具

重启进入安全模式只是勒索软件附属组织在部署加密程序前用来扫清障碍的几种技术之一。其他技术包括：使用被盗或泄露的管理员凭据手动卸载或禁用 EDR 代理；部署专门设计用于终止安全进程的工具；利用存在漏洞的驱动程序终止受保护的服务；以及修改与杀毒软件配置相关的注册表键或组策略设置。

所有这些方法的共同点是，攻击者需要一个安全工具不在监视状态的窗口期，无论多短暂。这就是勒索软件行动在接触加密程序之前，要花大量时间在访问和侦察阶段的部分原因。Akira 受害者目标跨行业的更广泛模式显示，该团伙在广泛的行业和公司规模中运作，这表明其采用的是一套相当可复制的战术手册，而非一次性的即兴发挥。这种一致性正使得安全模式失败这样的失误格外引人注目：它是在一个原本熟稔的流程中罕见的裂痕。

面向面临 Akira 式攻击的组织的纵深防御教训

显而易见的启示并不是组织应该寄希望于每个攻击者都犯这样的错误。真正的启示是，分层防御——而非任何单一工具——才是让攻击更难顺利完成的关键。如果网络仅依赖一款杀毒产品作为唯一防线，那么一次安全模式重启或基于凭据的关闭就能一击将其化解。但是，运行带有防篡改保护的 EDR、限制本地管理员权限、实施网络分段并监控启动配置的组织，会给攻击者提供更多失败或暴露的机会——在加密开始之前。

这起事件也强调了为什么勒索软件趋势值得持续跟踪，而非对单条新闻做出反应。涵盖 Qilin、Akira 和 LockBit5 的 2026 年第二季度勒索软件综述提供了有用的背景信息，展示了这些团伙如何逐季度演变其战术，这有助于安全团队进行预判而非仅仅事后响应。

这对你意味着什么

如果你负责管理中小型企业的 IT，这则事件是一个很好的契机，去检查几项基本事项：你的 EDR 或杀毒软件是否已启用防篡改保护，使其不会因一次重启或注册表修改而被轻易禁用？本地管理员权限是否受到严格限制，使攻击者无法通过一个被入侵的账户重新配置启动服务？是否有人在切实监控生产系统上的异常重启或安全模式活动——因为这本身就可能是值得调查的危险信号？

这些都不需要特殊的工具。它需要的是持续性，以及一种将安全视为分层而非单一复选框的意愿。

可操作的要点

  • 在 EDR 和杀毒工具上启用防篡改保护，使其无法通过安全模式重启或注册表更改被禁用。
  • 限制本地管理员权限，降低攻击者重新配置系统服务的容易程度。
  • 监控意外的安全模式启动或服务禁用事件，将其作为正在进行的入侵的早期预警信号。
  • 保留离线的、经过测试的备份，以便即使加密尝试失败或部分完成，也不至于让你手忙脚乱地恢复。

Akira 勒索软件安全模式失败这一事件是一个有益的提醒：即便是老练的犯罪行动，也可能被它们所利用的复杂性所反噬。强大的分层防御不仅能阻止攻击，还能增加一种可能性——当攻击者那边出问题时，问题会朝有利于你的方向发展。