Windows Safe Mode Akira előtt
A Huntress egy új Akira-zsarolóvírus-incidenst ismertetett, amelyben a támadók először alkalmaztak egy eddig ennél a csoportnál nem látott technikát, a kompromittált Windows-szervert Safe Mode with Networking módban indították újra, hogy kikapcsolják az EDR-megoldásokat és a Microsoft Defender valós idejű védelmét. A támadás egy MFA nélküli SonicWall SSL VPN fiók kompromittálásával indult, ezt követően a támadók RDP-n keresztül elérték a tartományvezérlőt, feltérképezték az Active Directoryt, WinRAR és s5cmd segítségével adatokat loptak, majd AnyDesktelepítésével biztosították a tartós hozzáférést. Annak érdekében, hogy az AnyDesk Safe Mode alatt is elinduljon, a támadók módosították a SafeBoot rendszerleíró kulcsot is.
A Safe Mode újraindítás valóban leállította a Huntress EDR-ügynökét és a Microsoft Defender valós idejű védelmét, azonban a támadás váratlan fordulatot vett, maga az Akira titkosítóprogram is működésképtelenné vált. A Huntress szerint a Safe Mode korlátozott memóriakezelése miatt a zsarolóvírus virtuális memóriahiányba ütközött, így nem tudta megkezdeni a fájlok titkosítását. A kutatók hangsúlyozzák, hogy ez nem tekinthető védelmi mechanizmusnak, mert egy nagyobb memóriával rendelkező rendszer vagy a zsarolóvírus későbbi változatai már sikeresen működhetnek Safe Mode környezetben is. Ráadásul a támadók addigra már ellopták a hitelesítő adatokat és a fájlszerverek tartalmát, így kettős zsarolást továbbra is alkalmazhatnak a kiszivárogtatással fenyegetve az áldozatot.
A Huntress szerint a szervezeteknek minden VPN-hozzáférésnél kötelezővé kell tenniük az MFA-t, figyelniük kell a Safe Mode-ba történő váratlan újraindításokra (msconfig.exe, bcdedit, SAFEBOOT események), valamint monitorozniuk kell a SafeBoot rendszerleíró kulcs módosításait és a biztonsági szolgáltatások váratlan leállását. A kutatók szerint a Safe Mode használata az EDR-ek megkerülésére már ismert technika (például a Snatch és az AvosLocker esetében), de az Akira műveleteiben ez az első dokumentált alkalmazása.
