Przekonaj się sam!
Pozostaw wiadomość, a skontaktuje się z Tobą nasz dedykowany doradca.
Wyślij nam wiadomość
0/10000
Grupa Akira ma już 244 mln dolarów na koncie. Agencje ostrzegają przed nowymi taktykami
Opublikowano: 2025-11-17
Ransomware
Całkiem niezła sumka. Grupa ransomware Akira, aktywna co najmniej od marca 2023 roku, zdołała już wycisnąć ze swoich ofiar ponad 244 miliony dolarów. Takie dane płyną z najnowszego, zaktualizowanego ostrzeżenia wydanego wspólnie przez agencje rządowe z USA, Francji, Niemiec i Holandii.
Hakerzy z Akiry byli dotąd znani głównie z ataków na serwery VMware ESXi, celując w firmy i infrastrukturę krytyczną w Ameryce Północnej, Europie i Australii. Wygląda jednak na to, że nie spoczywają na laurach.
Nowy Arsenał i Nowe Cele
W 2025 roku grupa znacznie rozszerzyła swój zestaw narzędzi. Raport wskazuje, że w ataku z czerwca 2025 r. napastnicy zaszyfrowali pliki dysków maszyn wirtualnych Nutanix Acropolis Hypervisor (AHV). Ponadto, aktywnie wykorzystują lukę w zaporach SonicWall (CVE-2024-40766).
Poszerzyła się również ich lista „ulubionych” podatności używanych do uzyskania wstępnego dostępu. Znalazły się na niej:
- CVE-2020-3580 (Cisco ASA i FTD)
- CVE-2023-28252 (Windows)
- CVE-2024-37085 (VMware ESXi)
- CVE-2023-27532 oraz CVE-2024-40711 (obie w Veeam Backup & Replication)
Jak Działają Hakerzy z Akira?
Poza wykorzystywaniem powyższych luk, Akira dostaje się do sieci ofiar także bardziej tradycyjnymi metodami. Obejmują one wykorzystanie skradzionych poświadczeń do urządzeń SonicWall, kupowanie dostępu od innych cyberprzestępców (tzw. access brokers) czy klasyczny brute-force na punkty końcowe VPN. Stosują również techniki password sprayingu, używając do tego narzędzi takich jak SharpDomainSpray.
Po wejściu do sieci zaczyna się prawdziwa zabawa:
- Rekonesans: Używają skryptów Visual Basic (VB) i poleceń
nltestdo mapowania sieci i domeny. - Ruch Boczny: Do poruszania się po sieci i eskalacji uprawnień wykorzystują całą paletę narzędzi: AnyDesk, LogMeIn, RDP, SSH, MobaXterm, a także Impacket (wmiexec.py).
- Unikanie Detekcji: Przed głównym uderzeniem metodycznie odinstalowują produkty EDR (Endpoint Detection and Response), aby działać po cichu.
- Eskalacja: Tworzą nowe konta użytkowników i dodają je do grup administracyjnych lub wykorzystują luki w usługach Veeam.
Raport opisuje też jedną szczególnie sprytną technikę. Aby obejść ochronę plików dysków wirtualnych (VMDK), atakujący tymczasowo wyłączali maszynę wirtualną kontrolera domeny, kopiowali pliki VMDK, po czym podłączali je do nowo utworzonej przez siebie maszyny. Pozwalało im to na ekstrakcję plików NTDS.dit i SYSTEM hive, co w prostej linii prowadziło do przejęcia konta administratora domeny.
W niektórych przypadkach atakujący byli w stanie ukraść dane (eksfiltracja) w ciągu zaledwie 2 godzin od uzyskania wstępnego dostępu. Na sam koniec pozostaje już tylko szyfrowanie plików (dodając rozszerzenia .akira, .powerranges, .akiranew lub .aki) i rozesłanie notatek z żądaniem okupu.
Akira nie jest jedyną groźną grupą ransomware – równie destrukcyjny jest BlackCat 3.0, który stosuje podobne techniki podwójnego wymuszenia. Warto też poznać mechanizmy luk zero-day, które wykorzystuje większość grup ransomware – przeczytaj nasz kompleksowy przewodnik po podatnościach 0-day.
Aleksander
Powiązane artykuły
Ransomware
Ransomware Atakuje Asahi: Piwo Wylewa Się z Kranu, Ale Nie z Fabryki
Japoński gigant piwny Asahi Group Holdings padł ofiarą ransomware, co wstrzymało produkcję w kluczowych zakładach. Atak ujawnia, jak cyberprzestępcy celują w branże spożywcze, zagrażając globalnym łańcuchom dostaw i codziennym przyjemnościom milionów piwoszy.
2025-10-06
6 min
Ransomware
Nowy Ransomware Paraliżuje Firmy: BlackCat 3.0 na Horyzoncie
Nowy wariant ransomware’u BlackCat 3.0 sieje spustoszenie wśród firm na całym świecie, wykorzystując zaawansowane techniki szyfrowania. Czy Twoja organizacja jest gotowa na to cyfrowe tsunami?
2025-10-06
8 min
Ransomware
Gigant Logistyczny Sparaliżowany! Atak Ransomware Zatrzymuje Europejskie Dostawy
Jeden z największych operatorów logistycznych w Europie, firma "Trans-Europe Express", padł ofiarą zmasowanego ataku ransomware. Operacje w całej sieci zostały wstrzymane, co grozi poważnymi zakłóceniami w łańcuchu dostaw.
2025-10-04
4 min
Komentarze
Ładowanie komentarzy...