Grupa Akira ma już 244 mln dolarów na koncie. Agencje ostrzegają przed nowymi taktykami

Całkiem niezła sumka. Grupa ransomware Akira, aktywna co najmniej od marca 2023 roku, zdołała już wycisnąć ze swoich ofiar ponad 244 miliony dolarów. Takie dane płyną z najnowszego, zaktualizowanego ostrzeżenia wydanego wspólnie przez agencje rządowe z USA, Francji, Niemiec i Holandii.

Hakerzy z Akiry byli dotąd znani głównie z ataków na serwery VMware ESXi, celując w firmy i infrastrukturę krytyczną w Ameryce Północnej, Europie i Australii. Wygląda jednak na to, że nie spoczywają na laurach.

Nowy Arsenał i Nowe Cele

W 2025 roku grupa znacznie rozszerzyła swój zestaw narzędzi. Raport wskazuje, że w ataku z czerwca 2025 r. napastnicy zaszyfrowali pliki dysków maszyn wirtualnych Nutanix Acropolis Hypervisor (AHV). Ponadto, aktywnie wykorzystują lukę w zaporach SonicWall (CVE-2024-40766).

Poszerzyła się również ich lista „ulubionych” podatności używanych do uzyskania wstępnego dostępu. Znalazły się na niej:

• CVE-2020-3580 (Cisco ASA i FTD)
• CVE-2023-28252 (Windows)
• CVE-2024-37085 (VMware ESXi)
• CVE-2023-27532 oraz CVE-2024-40711 (obie w Veeam Backup & Replication)

Analiza podatności: Zobacz naszą analizę luk w produktach Microsoftu i innych vendorów, które często stają się wektorem wejścia dla grup takich jak Akira.

Jak Działają Hakerzy z Akira?

Poza wykorzystywaniem powyższych luk, Akira dostaje się do sieci ofiar także bardziej tradycyjnymi metodami. Obejmują one wykorzystanie skradzionych poświadczeń do urządzeń SonicWall, kupowanie dostępu od innych cyberprzestępców (tzw. access brokers) czy klasyczny brute-force na punkty końcowe VPN. Stosują również techniki password sprayingu, używając do tego narzędzi takich jak SharpDomainSpray.

Po wejściu do sieci zaczyna się prawdziwa zabawa:

1. Rekonesans: Używają skryptów Visual Basic (VB) i poleceń nltest do mapowania sieci i domeny.
2. Ruch Boczny: Do poruszania się po sieci i eskalacji uprawnień wykorzystują całą paletę narzędzi: AnyDesk, LogMeIn, RDP, SSH, MobaXterm, a także Impacket (wmiexec.py).
3. Unikanie Detekcji: Przed głównym uderzeniem metodycznie odinstalowują produkty EDR (Endpoint Detection and Response), aby działać po cichu (dowiedz się więcej o roli systemów EDR i XDR).
4. Eskalacja: Tworzą nowe konta użytkowników i dodają je do grup administracyjnych lub wykorzystują luki w usługach Veeam.

Raport opisuje też jedną szczególnie sprytną technikę. Aby obejść ochronę plików dysków wirtualnych (VMDK), atakujący tymczasowo wyłączali maszynę wirtualną kontrolera domeny, kopiowali pliki VMDK, po czym podłączali je do nowo utworzonej przez siebie maszyny. Pozwalało im to na ekstrakcję plików NTDS.dit i SYSTEM hive, co w prostej linii prowadziło do przejęcia konta administratora domeny.

W niektórych przypadkach atakujący byli w stanie ukraść dane (eksfiltracja) w ciągu zaledwie 2 godzin od uzyskania wstępnego dostępu. Na sam koniec pozostaje już tylko szyfrowanie plików (dodając rozszerzenia .akira, .powerranges, .akiranew lub .aki) i rozesłanie notatek z żądaniem okupu.

Akira nie jest jedyną groźną grupą ransomware – równie destrukcyjny jest BlackCat 3.0, który stosuje podobne techniki podwójnego wymuszenia. Warto też poznać mechanizmy luk zero-day, które wykorzystuje większość grup ransomware – przeczytaj nasz kompleksowy przewodnik po podatnościach 0-day.

Źródło: Na podstawie wspólnego ostrzeżenia agencji rządowych z dn. 13.11.2025 (USA, Francja, Niemcy, Holandia)

Aleksander