El ransomware Akira

¿Qué es el ransomware Akira?

Las organizaciones se enfrentan a importantes retos a la hora de hacer frente a los ataques del ransomware Akira, sobre todo debido a las tácticas de doble extorsión y a la sofisticación técnica de este grupo. Los autores de las amenazas detrás de Akira emplean técnicas avanzadas para explotar vulnerabilidades en las redes corporativas, lo que dificulta cada vez más su detección y prevención.

Una comprensión adecuada de las metodologías de ataque de Akira, combinada con estrategias defensivas sólidas, puede reducir el perfil de riesgo de una organización. La implementación de medidas de protección integrales, el mantenimiento de copias de seguridad seguras y el desarrollo de planes de respuesta ante incidentes constituyen la base para una defensa y una Recovery eficaces frente al ransomware.

El ransomware Akira es una variante sofisticada de software malicioso que cifra los datos de las víctimas, impidiendo el acceso a ellos hasta que se abone el rescate. Identificado por primera vez en marzo de 2023, Akira se centra en datos empresariales críticos de diversos sectores, prestando especial atención a las organizaciones de los sectores sanitario, manufacturero y de servicios financieros.

El ransomware emplea potentes algoritmos de cifrado que hacen prácticamente imposible el descifrado sin las claves de los atacantes, lo que plantea importantes retos operativos para las organizaciones afectadas. La amenaza opera según un modelo de doble extorsión: los atacantes no solo cifran los datos, sino que también sustraen información confidencial antes del cifrado, amenazando con publicar los datos robados si no se satisfacen sus demandas de rescate.

Este enfoque somete a las víctimas a una presión extrema, obligándolas a tomar decisiones difíciles entre pagar rescates sustanciales o arriesgarse tanto a un tiempo de inactividad prolongado como a la exposición de los datos. Las demandas de rescate suelen oscilar entre cientos de miles y millones de dólares, solicitados en criptomonedas para mantener el anonimato.

Akira demuestra una notable versatilidad al atacar múltiples entornos operativos. El ransomware puede infectar estaciones de trabajo y servidores Windows, sistemas Linux y entornos virtualizados, incluidos los servidores VMware ESXi. Esta capacidad multiplataforma hace que Akira resulte especialmente peligroso para las organizaciones con infraestructuras de TI diversas, lo que obliga a los equipos de seguridad a implementar medidas de protección en todas las superficies de ataque potenciales.

Cómo funciona el ransomware Akira: cadena de ataque

Los ataques del ransomware Akira comienzan con un acceso inicial a la red a través de varios vectores comunes. Los puntos de entrada más frecuentes incluyen:

• Vulnerabilidades de VPN: los operadores de Akira explotan activamente Appliances VPN sin parches, especialmente aquellas que carecen de autenticación multifactorial (MFA). Las soluciones de VPN de Fortinet y Cisco han sido objetivos frecuentes.
• Campañas de spear phishing: los correos electrónicos cuidadosamente elaborados que contienen archivos adjuntos o enlaces maliciosos se dirigen a empleados específicos con acceso a sistemas confidenciales.
• Credenciales robadas: adquiridas en mercados de la dark web u obtenidas a través de brechas de seguridad anteriores, la información de inicio de sesión comprometida proporciona a los atacantes acceso legítimo.
• Vulnerabilidades en aplicaciones de acceso público: Las aplicaciones web sin parches, especialmente aquellas con vulnerabilidades de ejecución remota de código, sirven como puntos de entrada a las redes internas.

Una vez dentro de la red, los atacantes se centran en la escalada de privilegios para obtener derechos administrativos. Utilizan herramientas administrativas legítimas, como PowerShell y Windows Management Instrumentation (WMI), para pasar desapercibidos entre las actividades normales del sistema.

Este enfoque de «aprovechar lo que hay» les ayuda a eludir la detección por parte de las herramientas de seguridad programadas para señalar software inusual. Los atacantes también desactivan las herramientas de seguridad, eliminan las copias de seguridad de volumen y modifican la configuración del Registro de Windows para impedir los intentos de Recovery.

El ataque continúa con un movimiento lateral por toda la red, identificando repositorios de datos críticos y sistemas de copia de seguridad. Los atacantes utilizan herramientas especializadas para extraer datos confidenciales antes de que comience el cifrado, a menudo comprimiendo los archivos para evitar ser detectados por las herramientas de supervisión de la red. Esta fase suele durar entre varios días y varias semanas, lo que permite un análisis exhaustivo del entorno de la víctima y el máximo robo de datos.

La fase final consiste en desplegar la carga útil de cifrado en todos los sistemas accesibles de forma simultánea. El ransomware Akira cifra los archivos con la extensión «.akira» y coloca notas de rescate en cada directorio afectado.

El proceso de cifrado se centra en bases de datos, repositorios de documentos, registros financieros y archivos de copia de seguridad; los atacantes suelen esperar a los fines de semana o días festivos para maximizar el daño antes de que se descubra la intrusión. Una vez completado el cifrado, las víctimas reciben instrucciones para ponerse en contacto con los atacantes a través de un portal de pago basado en Tor.

Grupo de ransomware Akira: tácticas y notoriedad

El grupo de ransomware Akira opera bajo un modelo de «ransomware como servicio» (RaaS), proporcionando infraestructura técnica y gestión de pagos a los atacantes afiliados que llevan a cabo las intrusiones propiamente dichas.

Este modelo de negocio permite una rápida expansión de las capacidades de ataque, en el que los especialistas técnicos desarrollan el ransomware, mientras que los afiliados con habilidades de penetración en redes se encargan de seleccionar a las víctimas. El enfoque RaaS ha acelerado el crecimiento y el impacto de Akira desde su aparición.

Desde su primera aparición en marzo de 2023 hasta enero de 2024, Akira ha causado más de 250 víctimas y ha recaudado aproximadamente 42 millones de dólares en pagos de rescate; además, en 2024 se denunciaron más de 300 ataques. Este rápido ascenso a la notoriedad demuestra la sofisticación técnica y la eficacia operativa del grupo.

Akira mantiene una página web de filtración de datos con una estética retro muy característica, donde publica la información sustraída a las víctimas que no han cedido a sus exigencias. La página presenta una estética propia de los años 80, con colores neón y gráficos pixelados, lo que crea una identidad de marca reconocible en los círculos de la ciberdelincuencia. Este sitio de filtración sirve tanto como herramienta de negociación como escaparate público de las capacidades del grupo, y a menudo incluye muestras de los datos sustraídos para verificar sus afirmaciones.

Recovery tras un ataque del ransomware Akira: buenas prácticas

Las organizaciones pueden implementar varias medidas proactivas para protegerse contra el ransomware Akira y minimizar los posibles daños. Estas estrategias se centran en la preparación, la detección y la capacidad de respuesta:

Medidas de respuesta inmediata

Ante un ataque del ransomware Akira, las organizaciones deben seguir estos primeros pasos fundamentales:

• Aislamiento: Desconectar inmediatamente los sistemas infectados de la red para evitar el movimiento lateral, al tiempo que se conservan las pruebas para la investigación.
• Notificación a las autoridades: ponerse en contacto con las fuerzas del orden, incluidos el FBI y la CISA, para informar del incidente y recibir orientación.
• Activación de la respuesta a incidentes: recurrir a equipos de respuesta a incidentes, tanto internos como externos, con experiencia en la gestión de incidentes de ransomware.

Estrategias de recuperación

Una recuperación eficaz tras los ataques de Akira requiere preparación y sistemas de copias de seguridad probados:

• Copias de seguridad seguras: Mantén copias de seguridad fuera de línea e inmutables que los atacantes con acceso a la red no puedan modificar ni eliminar.
• Pruebas de validación: Realiza pruebas periódicas de los procesos de restauración de copias de seguridad para verificar la integridad de los datos y los procedimientos de Recovery.
• Recovery priorizada: restaura primero los sistemas críticos de la empresa basándote en un análisis de impacto predeterminado.

Medidas de prevención

Las organizaciones pueden reducir significativamente el riesgo del ransomware Akira mediante estos controles preventivos:

1. Higiene del sistema: Implementar ciclos regulares de aplicación de parches para todos los sistemas, dando prioridad a las aplicaciones conectadas a Internet y a las soluciones VPN.
2. Seguridad en la autenticación: exigir la autenticación multifactorial (MFA) para todos los servicios de acceso remoto y cuentas administrativas, con el fin de prevenir ataques basados en credenciales.
3. Sensibilización de los usuarios: Realizar simulacros periódicos de phishing y formación en concienciación sobre seguridad centrada en las técnicas de ataque actuales.
4. Segmentación de la red: aplicar los principios de la arquitectura «zero-trust» para limitar la capacidad de movimiento lateral de los atacantes que consigan el acceso inicial.
5. Capacidades de monitorización: implementar soluciones de detección y respuesta en endpoints (EDR) con reglas específicas de detección de ransomware.

Estas medidas preventivas crean múltiples capas de defensa contra el ransomware Akira, abordando las vulnerabilidades a lo largo de toda la cadena de ataque, desde el acceso inicial hasta las fases de cifrado.

Soluciones de Commvault

La plataforma unificada de protección de datos de Commvault ofrece defensa frente al ransomware Akira a través de múltiples capacidades integradas. Nuestra solución combina la detección proactiva de amenazas con opciones de Recovery rápido, creando un entorno resiliente capaz de minimizar tanto la probabilidad como el impacto de los ataques de ransomware. La plataforma es compatible con diversos entornos de TI, incluidos los sistemas VMware, Windows y Linux, lo que proporciona una protección uniforme en todas las infraestructuras híbridas.

Las capacidades avanzadas de supervisión de amenazas de la plataforma de Commvault están diseñadas para identificar actividades sospechosas que puedan indicar un ataque del ransomware Akira en curso. El sistema analiza los patrones de los datos de copia de seguridad para detectar anomalías, como modificaciones masivas de archivos o cifrado inesperado, lo que activa alertas automáticas antes de que el daño se extienda. Este sistema de alerta temprana puede proporcionar una ventaja de tiempo crucial a la hora de responder a posibles ataques.

La amenaza que plantea el ransomware Akira requiere una estrategia de defensa en varias capas que combine capacidades de prevención, detección y Recovery. Commvault ofrece este enfoque integral a través de nuestra plataforma unificada de protección de datos, lo que permite a las organizaciones resistir los ataques al tiempo que mantienen la continuidad del negocio.

Con una sólida protección de copias de seguridad, opciones de Recovery rápido y supervisión continua, nuestras soluciones proporcionan una base para una verdadera ciberresiliencia frente a las amenazas de ransomware más sofisticadas de la actualidad.

La creciente sofisticación de los ataques del ransomware Akira exige una estrategia de defensa sólida y de múltiples capas, respaldada por una protección de datos de nivel empresarial. Las organizaciones necesitan capacidades de recuperación fiables y probadas para mantener la continuidad del negocio cuando se enfrentan a amenazas de ransomware. Una plataforma integral de protección de datos, que incluya copias de seguridad inmutables y opciones de recuperación rápida, sienta las bases para una verdadera ciberresiliencia.

Solicita una demostración para ver cómo podemos ayudarte a proteger tu organización contra el ransomware Akira.