Akira Ransomware

Che cos’è il ransomware Akira?

Le organizzazioni devono affrontare sfide significative quando si trovano a dover far fronte agli attacchi del ransomware Akira, in particolare a causa delle tattiche di doppia estorsione e della sofisticazione tecnica del gruppo. Gli autori delle minacce dietro Akira impiegano tecniche avanzate per sfruttare le vulnerabilità nelle reti aziendali, rendendo il rilevamento e la prevenzione sempre più difficili.

Una corretta comprensione delle metodologie di attacco di Akira, unita a solide strategie difensive, può ridurre il profilo di rischio di un’organizzazione. L’implementazione di misure di protezione complete, la gestione di backup sicuri e lo sviluppo di piani di risposta agli incidenti costituiscono le basi per un’efficace difesa dal ransomware e per il Recovery dei dati.

Il ransomware Akira è una sofisticata variante di software dannoso che crittografa i dati delle vittime, rendendoli inaccessibili fino al pagamento di un riscatto. Identificato per la prima volta nel marzo 2023, Akira prende di mira dati aziendali critici in vari settori, con particolare attenzione alle organizzazioni sanitarie, manifatturiere e dei servizi finanziari.

Il ransomware impiega potenti algoritmi di crittografia che rendono praticamente impossibile la decrittografia senza le chiavi degli autori dell’attacco, creando notevoli difficoltà operative per le organizzazioni colpite. La minaccia opera secondo un modello di doppia estorsione: gli autori dell’attacco non solo crittografano i dati, ma sottraggono anche informazioni sensibili prima della crittografia, minacciando di pubblicare i dati rubati se le richieste di riscatto non vengono soddisfatte.

Questo approccio sottopone le vittime a una pressione estrema, costringendole a prendere decisioni difficili tra il pagamento di riscatti ingenti e il rischio sia di tempi di inattività prolungati sia di esposizione dei dati. Le richieste di riscatto variano in genere da centinaia di migliaia a milioni di dollari, da versare in criptovaluta per mantenere l’anonimato.

Akira dimostra una notevole versatilità prendendo di mira diversi ambienti operativi. Il ransomware è in grado di infettare workstation e server Windows, sistemi Linux e ambienti virtualizzati, compresi i server VMware ESXi. Questa capacità multipiattaforma rende Akira particolarmente pericoloso per le organizzazioni con infrastrutture IT eterogenee, costringendo i team di sicurezza a implementare misure di protezione su tutte le potenziali superfici di attacco.

Come funziona il ransomware Akira: la catena di attacco

Gli attacchi del ransomware Akira iniziano con un accesso iniziale alla rete attraverso diversi vettori comuni. I punti di ingresso più diffusi includono:

• Vulnerabilità delle VPN: gli operatori di Akira sfruttano attivamente le Appliance VPN privi di patch, in particolare quelle che non dispongono di autenticazione a più fattori (MFA). Le soluzioni VPN di Fortinet e Cisco sono state bersagli frequenti.
• Campagne di spear phishing: e-mail accuratamente create contenenti allegati o link dannosi prendono di mira specifici dipendenti con accesso a sistemi sensibili.
• Credenziali rubate: acquistate sui mercati del dark web o ottenute tramite precedenti violazioni, le credenziali di accesso compromesse forniscono agli aggressori un accesso legittimo.
• Exploit di applicazioni pubbliche: le applicazioni web non aggiornate, in particolare quelle con vulnerabilità relative all’esecuzione remota di codice, fungono da punti di ingresso alle reti interne.

Una volta all’interno della rete, gli aggressori si concentrano sull’escalation dei privilegi per ottenere diritti amministrativi. Utilizzano strumenti amministrativi legittimi come PowerShell e Windows Management Instrumentation (WMI) per mimetizzarsi tra le normali attività di sistema.

Questo approccio, denominato “living off the land”, aiuta a eludere il rilevamento da parte degli strumenti di sicurezza programmati per segnalare software insolito. Gli aggressori disabilitano inoltre gli strumenti di sicurezza, eliminano le copie shadow dei volumi e modificano le impostazioni del Registro di sistema di Windows per impedire tentativi di Recovery.

L’attacco prosegue con movimenti laterali all’interno della rete, individuando archivi di dati critici e sistemi di backup. Gli aggressori impiegano strumenti specializzati per sottrarre dati sensibili prima che inizi la crittografia, spesso comprimendo i file per evitare il rilevamento da parte degli strumenti di monitoraggio della rete. Questa fase dura in genere da diversi giorni a settimane, consentendo un’esplorazione approfondita dell’ambiente della vittima e il massimo furto di dati.

La fase finale prevede l’implementazione simultanea del payload di crittografia su tutti i sistemi accessibili. Il ransomware Akira crittografa i file con l’estensione “.akira” e inserisce note di riscatto in ogni directory colpita.

Il processo di crittografia prende di mira database, archivi di documenti, registrazioni finanziarie e file di backup; spesso gli autori degli attacchi attendono i fine settimana o i giorni festivi per massimizzare il danno prima di essere scoperti. Una volta completata la crittografia, le vittime ricevono istruzioni per contattare gli autori degli attacchi tramite un portale di pagamento basato su Tor.

Gruppo ransomware Akira: tattiche e notorietà

Il gruppo ransomware Akira opera secondo un modello Ransomware-as-a-Service (RaaS), fornendo l’infrastruttura tecnica e la gestione dei pagamenti agli autori degli attacchi affiliati che conducono le effettive violazioni.

Questo modello di business consente una rapida espansione delle capacità di attacco: gli specialisti tecnici sviluppano il ransomware, mentre gli affiliati con competenze di penetrazione delle reti si occupano di individuare le vittime. L’approccio RaaS ha accelerato la crescita e l’impatto di Akira sin dalla sua comparsa.

Dalla sua prima comparsa nel marzo 2023 fino a gennaio 2024, Akira ha mietuto oltre 250 vittime e incassato circa 42 milioni di dollari in riscatti; nel 2024 sono stati segnalati più di 300 attacchi. Questa rapida ascesa alla ribalta dimostra la sofisticazione tecnica e l’efficacia operativa del gruppo.

Akira gestisce un caratteristico sito di divulgazione dei dati in stile retrò, dove pubblica le informazioni sottratte alle vittime che non hanno ottemperato alle richieste. Il sito presenta un’estetica anni ’80 con colori al neon e grafica pixelata, creando un’identità di marca riconoscibile all’interno degli ambienti dei criminali informatici. Questo sito di divulgazione funge sia da strumento di negoziazione che da vetrina pubblica delle capacità del gruppo, mostrando spesso campioni dei dati sottratti per confermare le proprie affermazioni.

Recovery dopo un attacco del ransomware Akira: migliori pratiche

Le organizzazioni possono attuare diverse misure proattive per proteggersi dal ransomware Akira e contribuire a ridurre al minimo i potenziali danni. Queste strategie si concentrano sulle capacità di preparazione, rilevamento e risposta:

Azioni di risposta immediata

Di fronte a un attacco del ransomware Akira, le organizzazioni dovrebbero seguire queste prime misure fondamentali:

• Isolamento: scollegare immediatamente i sistemi infetti dalla rete per impedire la diffusione laterale, conservando al contempo le prove necessarie per le indagini.
• Notifica alle autorità: contattare le forze dell’ordine, tra cui l’FBI e la CISA, per segnalare l’incidente e ricevere indicazioni.
• Attivazione della risposta agli incidenti: coinvolgere team di risposta agli incidenti, interni o esterni, con esperienza nella gestione di eventi legati al ransomware.

Strategie di ripristino

Un recupero efficace dagli attacchi di Akira richiede preparazione e sistemi di backup collaudati:

• Backup sicuri: mantenere backup offline e immutabili che non possano essere modificati o cancellati dagli aggressori con accesso alla rete.
• Test di convalida: testare regolarmente i processi di ripristino dei backup per verificare l’integrità dei dati e le procedure di Recovery.
• Recovery prioritaria: ripristinare per primi i sistemi aziendali critici sulla base di un’analisi dell’impatto aziendale predeterminata.

Misure di prevenzione

Le organizzazioni possono ridurre significativamente il rischio legato al ransomware Akira attraverso queste misure preventive:

1. Igiene del sistema: implementare cicli regolari di applicazione delle patch per tutti i sistemi, dando priorità alle applicazioni esposte a Internet e alle soluzioni VPN.
2. Sicurezza dell’autenticazione: richiedere l’autenticazione a più fattori (MFA) per tutti i servizi di accesso remoto e gli account amministrativi, al fine di prevenire attacchi basati sulle credenziali.
3. Sensibilizzazione degli utenti: condurre regolarmente simulazioni di phishing e corsi di formazione sulla sicurezza incentrati sulle attuali tecniche di attacco.
4. Segmentazione della rete: implementare i principi dell’architettura zero-trust per limitare le capacità di movimento laterale degli aggressori che ottengono l’accesso iniziale.
5. Capacità di monitoraggio: implementare soluzioni di rilevamento e risposta sugli endpoint (EDR) con regole specifiche per il rilevamento del ransomware.

Queste misure preventive creano molteplici livelli di difesa contro il ransomware Akira, affrontando le vulnerabilità lungo l’intera catena di attacco, dall’accesso iniziale fino alle fasi di crittografia.

Soluzioni Commvault

La piattaforma unificata di protezione dei dati di Commvault è in grado di fornire difesa contro il ransomware Akira attraverso molteplici funzionalità integrate. La nostra soluzione combina il rilevamento proattivo delle minacce con opzioni di Recovery rapido, creando un ambiente resiliente in grado di ridurre al minimo sia la probabilità che l’impatto degli attacchi ransomware. La piattaforma supporta diversi ambienti IT, inclusi i sistemi VMware, Windows e Linux, garantendo una protezione coerente sulle infrastrutture ibride.

Le funzionalità avanzate di monitoraggio delle minacce integrate nella piattaforma Commvault sono progettate per identificare attività sospette che potrebbero indicare un attacco in corso da parte del ransomware Akira. Il sistema analizza i modelli dei dati di backup per rilevare anomalie quali modifiche di massa ai file o crittografia imprevista, attivando avvisi automatici prima che il danno si diffonda. Questo sistema di allerta precoce può offrire un vantaggio temporale fondamentale nella risposta a potenziali attacchi.

La minaccia rappresentata dal ransomware Akira richiede una strategia di difesa a più livelli che combini capacità di prevenzione, rilevamento e Recovery. Commvault offre questo approccio completo attraverso la nostra piattaforma unificata di protezione dei dati, consentendo alle organizzazioni di resistere agli attacchi mantenendo al contempo la continuità operativa.

Grazie a una solida protezione dei backup, a opzioni di Recovery rapido e al monitoraggio continuo, le nostre soluzioni costituiscono le basi per una vera resilienza informatica contro le minacce ransomware più sofisticate di oggi.

La crescente sofisticazione degli attacchi del ransomware Akira richiede una strategia di difesa robusta e a più livelli, supportata da una protezione dei dati di livello enterprise. Le organizzazioni hanno bisogno di capacità di Recovery affidabili e collaudate per mantenere la continuità operativa di fronte alle minacce del ransomware. Una piattaforma completa di protezione dei dati, dotata di backup immutabili e opzioni di Recovery rapido, fornisce le basi per una vera resilienza informatica.

Richiedi una demo per scoprire come possiamo aiutarti a proteggere la tua organizzazione dal ransomware Akira.