LONDON (IT BOLTWISE) – Ein Akira-Ransomware-Angreifer deaktivierte EDR auf einem kompromittierten System, indem er per Remote-Zugriff in den Windows-Safe-Mode mit Netzwerk startete. Der Prozess beginnt laut Analyse nach einem VPN-Zugang ohne Multi-Faktor-Authentifizierung und nutzt anschließend RDP für die Exploration von Active Directory. Danach exfiltriert der Angreifer Daten über Werkzeuge in einen S3-Bucket und behält mit AnyDesk die Kontrolle. Beim Start des Hauptpayloads kommt es jedoch zu Ausführungsfehlern – trotzdem reichen die in Stunden gesammelten Daten für Erpressung.
Die bekannte Schwachstelle in vielen Unternehmensumgebungen ist nicht nur der Einstiegspunkt, sondern die Zeitspanne danach: Sobald Angreifer gültige Zugangsdaten besitzen, kippt die Wirksamkeit gängiger Schutzketten. In einem beobachteten Akira-Fall beschreibt ein Sicherheitsteam, wie ein Angreifer einen kompromittierten Host gezielt in den Windows-Safe-Mode mit Networking versetzte, um Endpoint-Detection-and-Response-Funktionen und Echtzeitschutz auszublenden. Der Ablauf ist dabei ungewöhnlich präzise dokumentiert, weil er mehrere typische „Post-Exploitation“-Schritte verbindet: Domänen-Discovery, Datenarchivierung, Exfiltration und das erneute Ausrichten des Systems auf Remote-Zugriff.
Technisch setzt der Angriff an mehreren Stellen an. Ausgangspunkt war demnach ein initialer Zugriff über ein exponiertes SonicWall-VPN ohne Multi-Faktor-Authentifizierung, gefolgt von einem zeitnahen Wechsel zur Domänenumgebung. Rund zwei Stunden nach dem erfolgreichen VPN-Login verband sich der Angreifer per RDP mit dem Domain Controller, enumerierte Active-Directory-Nutzer und -Computer und verschob den Fokus anschließend auf einen Anwendungsserver. Für den Datentransfer nutzte er dann WinRAR, um gemappte Dateiablagen zu archivieren, und kombinierte dies mit s5cmd, um die gestohlenen Daten in einen attacker-controlled S3-Bucket hochzuladen. Als Remote-Tool kam AnyDesk hinzu – ein entscheidender Hebel, weil er es dem Angreifer erlaubte, die Maschine erneut zu beeinflussen, obwohl der eigentliche Payload später scheiterte.
Der Kern des Tricks liegt in der Safe-Mode-Phase. Safe Mode ist als Windows-Startzustand für Diagnose gedacht: Windows läuft dabei mit einem eingeschränkten Satz an Treibern und Diensten, wodurch häufig Drittanbieter-Komponenten nicht mehr „normal“ laden. In diesem Fall nutzte der Angreifer AnyDesk so, dass der Host während des Betriebs in Safe Mode bootet – anschließend ließ er sowohl den Huntress-Agent als auch den Microsoft Defender-Realtimenschutz gezielt deaktivieren. Während der etwa zehn Minuten dauernden Safe-Mode-Phase berichtet die Analyse, dass der Host ohne funktionierendes EDR auskam und der AV-Schutz „geblendet“ war. Zusätzlich baute der Angreifer AnyDesk so in die Safe-Mode-Startlogik ein, dass sich die Remote-Verbindung nach dem Neustart fortsetzen konnte, indem er entsprechende Registry-Einträge in den Safe-Mode-Kontext überführte.
Dass die Verschlüsselung am Ende nicht zustande kam, zeigt zugleich eine zweite, ebenso wichtige Dimension: Payload-Ausführung ist nicht garantiert, selbst wenn Umgehung und Zugriffssteuerung gelingen. Als der Angreifer versuchte, den Hauptpayload (akira.exe) per AnyDesk im Safe Mode zu starten, schlug die Ausführung fehl; das System meldete Probleme wie „low virtual memory“ sowie out-of-memory- und PowerShell-Fehler. Eine spätere, zeitgesteuerte Defender-Überprüfung erkannte die Akira-Datei zwar, konnte sie aber nicht entfernen, solange der Rechner in diesem eingeschränkten Modus lief. Erst nach dem Neustart in den normalen Modus – wodurch der Echtzeitschutz wieder aktiv wurde – quarantänierte Defender die Datei. Für die Angreifer bleibt das dennoch ein Erfolg, weil die Daten- und Credential-Sammlung für eine mögliche Datenextortion reichte: Laut Beschreibung lief der gesamte Ablauf innerhalb von weniger als fünf Stunden ab initialem Zugriff.
Für die Einordnung lohnt ein Blick auf den breiteren Trend. Die verwendete Taktik, Erkennungssysteme im Safe Mode zu umgehen, wird laut Analyse bereits von anderen Ransomware-Familien wie Snatch und AvosLocker eingesetzt; der aktuelle Bericht hebt vor allem hervor, dass dies der erste beobachtete Fall in einer Akira-Infektion war. Das macht die Episode weniger zu einem Einzelfall und mehr zu einem Muster: Viele Angreifer bauen sich eine „kontrollierte Blindheit“ rund um die Erkennungslogik, indem sie nicht nur Daten exfiltrieren, sondern auch die Sichtbarkeit der Systeme während des entscheidenden Fensters reduzieren. Gleichzeitig sieht man im Ablauf, wie stark sich der Angriff auf Standard-Komponenten stützt: RDP als legitimer Verwaltungsweg, Registry-Modifikationen zur Startautomatisierung im Safe-Mode-Kontext und Cloud-Upload über einen S3-Bucket als Transportweg, statt auf komplizierte Netzwerkumgehungen angewiesen zu sein.
Auch auf Management- und Beschaffungsentscheidungen hat der Vorfall direkte Auswirkungen. Wer Präventions- oder Blockquoten über die gesamte Kampagnenzeit aggregiert, riskiert eine trügerische Gesamtzahl: Ein Sicherheitsteam verweist darauf, dass sich die Blockierung nach erlangten gültigen Credentials stark verengt. In der Praxis heißt das: Investitionen in „Initial Access“-Schutz müssen flankiert werden durch Detektions- und Reaktionsfähigkeiten im lateralen Betrieb und in weniger beachteten Systemzuständen wie Safe Mode. Für Organisationen ergibt sich daraus ein klarer Schwerpunkt: Multi-Faktor-Authentifizierung konsequent auf allen VPN-Zugängen, Schutzmaßnahmen gegen Credential-Spraying, und Monitoring auf Safe-Mode-Boot-Konfigurationsänderungen sowie auf das Hinzufügen von Remote-Access-Tools in Safe-Mode-Servicepfade. Damit verschiebt sich die Verteidigung von der Frage „Wie schnell blockieren wir den Einstieg?“ hin zu „Wie schnell erkennen wir, dass ein kompromittierter Host seine Sichtbarkeit neu konfiguriert?“
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Akira-Angreifer umgehen EDR via Safe Mode – Datenabfluss gelingt, Verschlüsselung scheitert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Akira-Angreifer umgehen EDR via Safe Mode – Datenabfluss gelingt, Verschlüsselung scheitert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Akira-Angreifer umgehen EDR via Safe Mode – Datenabfluss gelingt, Verschlüsselung scheitert« bei Google Deutschland suchen, bei Bing oder Google News!