Akira-Ransomware nutzt Schwachstellen in SonicWall-Geräten aus

LONDON (IT BOLTWISE) – Die Akira-Ransomware-Gruppe hat erneut zugeschlagen und zeigt dabei eine beunruhigende Weiterentwicklung ihrer Angriffsmethoden. Durch die Ausnutzung von Schwachstellen in SonicWall-Geräten und die Anwendung von BYOVD-Techniken (Bring Your Own Vulnerable Driver) gelingt es den Angreifern, Sicherheitsmaßnahmen zu umgehen und Netzwerke zu infiltrieren.

In der Welt der Cyberkriminalität sind Ransomware-Gruppen wie Akira ständig auf der Suche nach neuen Wegen, um Verteidigungsmaßnahmen zu umgehen. Ihre neuesten Taktiken zeigen eine raffinierte Kombination aus Ausnutzung und Umgehung von Sicherheitsmechanismen. Die Akira-Ransomware-Operation nutzt legitime Windows-Treiber, um Antiviren- und Endpoint-Detection-and-Response-Systeme (EDR) zu deaktivieren. Dies ermöglicht es ihnen, Netzwerke über Schwachstellen in SonicWall-Geräten zu infiltrieren.

Ein aktueller Bericht von GuidePoint Security beschreibt, wie die Akira-Gruppe Zero-Day-Exploits mit der Technik des ‘Bring Your Own Vulnerable Driver’ (BYOVD) kombiniert. Die Kampagne, die von Ende Juli bis Anfang August 2025 stattfand, richtete sich gegen SonicWall Secure Mobile Access (SMA) 100-Serie-Geräte, insbesondere solche mit den Firmware-Versionen 12.4.2 und 12.4.3. Angreifer nutzten eine ungepatchte Zero-Day-Schwachstelle in diesen Geräten aus, um über SSL-VPN-Dienste Zugang zu erlangen.

Einmal im System, setzten sie verwundbare Treiber wie rwdrv.sys von Realtek und hlpdrv.sys von HWInfo ein, um Kernel-Privilegien zu erlangen und Sicherheitswerkzeuge wie Microsoft Defender zu umgehen. Diese BYOVD-Strategie ist nicht völlig neu, aber ihre Anwendung in Verbindung mit hardware-spezifischen Exploits setzt einen neuen Maßstab für die Raffinesse von Ransomware.

GuidePoint’s Analyse, die in CSO Online berichtet wurde, hebt hervor, wie diese Treiber, ursprünglich für Hardwareüberwachung und Diagnostik entwickelt, nun als Waffen eingesetzt werden. Durch das Laden in den Kernel beenden Angreifer kritische Prozesse, die mit EDR-Lösungen verbunden sind, und machen sie blind für nachfolgende bösartige Aktivitäten wie Datenexfiltration und Verschlüsselung.

Weitere Einblicke von The Hacker News deuten darauf hin, dass der Zero-Day-Exploit eine Remote-Code-Ausführung ohne Authentifizierung ermöglicht, was das Risiko für Organisationen, die auf diese VPN-Gateways angewiesen sind, erhöht. Beiträge auf X von Cybersicherheitsexperten, darunter Warnungen von The Hacker News und Forschern wie Zeeshan Khan, unterstreichen die Dringlichkeit, da Akiras Einsatz dieser Treiber in gehärteten Umgebungen Persistenz ermöglicht.

Da Ransomware-Akteure auf Kernel-Manipulationen umschwenken, erschwert die Integration legitimer Softwarekomponenten in Angriffsketten die Erkennung. Dies erfordert einen Wechsel hin zu proaktiven Schwachstellenscans und eingeschränktem Treiberladen in Unternehmensumgebungen.

Die breiteren Implikationen gehen über SonicWall-Nutzer hinaus. Laut Cybersecurity News stimmt diese Entwicklung in Akiras Taktik mit einem Anstieg der Ransomware-Aktivität überein, bei der Affiliates vertrauenswürdige Werkzeuge nutzen, um der Überprüfung zu entgehen. Beispielsweise wurde der ThrottleStop-Treiber in ähnlichen BYOVD-Angriffen missbraucht, um Microsoft Defender auszuschalten.

SonicWall hat reagiert, indem es Kunden rät, den VPN-Zugang einzuschränken und die Multi-Faktor-Authentifizierung zu aktivieren. Doch die Persistenz dieser Angriffe, die in X-Diskussionen von Accounts wie BleepingComputer deutlich wird, zeigt Lücken in den aktuellen Abwehrmaßnahmen auf.

Mit der Demonstration von Anpassungsfähigkeit durch Akiras Affiliates, die Exploits mit Umgehungstaktiken verketten, müssen Cybersicherheitsteams priorisieren, mehrschichtige Verteidigungen, einschließlich regelmäßiger Firmware-Updates und Verhaltensanalysen, zu implementieren, um die wachsende Konvergenz von Hardware-Schwachstellen und Softwaremissbrauch zu bekämpfen.

Experten prognostizieren, dass dieser Trend zukünftige Regulierungen beeinflussen wird, möglicherweise strengere Treiberzertifizierungsprozesse vorschreibend. Ein Cybersicherheitsanalyst bemerkte in einem X-Beitrag, dass die Kombination aus Zero-Days und BYOVD eine ‘besorgniserregende Entwicklung’ darstellt, die Anbieter wie SonicWall dazu zwingt, Patch-Zyklen zu beschleunigen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!