Akira
Akira, 26 Nis 2023 tarihinden bu yana sızıntı sitesinde 1.716 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 1.716
- İlk ilan
- 26 Nis 2023
- Son ilan
- 6 Kas 2026
- MITRE ATT&CK tekniği
- 36
Akira fidye yazılımı grubunun Mart 2023'te ortaya çıktığı söylenir ve eski CONTI fidye yazılımı grubuyla bağları üzerine pek çok spekülasyon vardır. CONTI'nin operasyonunun sona ermesiyle birçok ortağın Royal, BlackBasta ve diğerleri gibi bağımsız kampanyalara geçtiğini belirtmek gerekir. Bazı raporlara göre Akira ortakları Snatch ve BlackByte gibi diğer fidye yazılımı operasyonlarıyla da çalışır; bir Akira operatörüne ait, Snatch fidye yazılımıyla da bağlantıları olan açık bir araç dizini tespit edilmiştir. Akira fidye yazılımının ilk sürümü C++ ile yazılmıştı, dosyalara '.akira' uzantısı ekliyor ve kısmen Conti V2 kaynak koduna dayanan 'akira_readme.txt' adlı bir fidye notu oluşturuyordu. Ancak 29 Haziran 2023'te Avast'ın bu sürüm için bir şifre çözücü yayımladığı bildirildi. Ardından 2 Temmuz 2023'te şifre çözme kusurunu gideren bir sürüm çıkarıldı. O zamandan beri yeni sürümün Rust ile yazıldığı, bu kez 'megazord.exe' olarak adlandırıldığı ve şifrelenen dosyaların uzantısını '.powerranges' olarak değiştirdiği söylenir. Akira'nın ilk erişim vektörlerinin çoğu, Cisco VPN cihazlarında (yalnızca tek faktörlü kimlik doğrulama kullanan) kaba kuvvet denemeleri kullanır. Ayrıca ilk erişim için CVE-2019-6693 ve CVE-2022-40684 açıklarının istismarı tespit edilmiştir.
Son 12 ayda 557 ilan verdi; en yoğun ay Mart 2026 oldu (75 ilan).
Grup 2 zararlı yazılım ailesiyle ilişkilendirildi.
Diğer adları: PUNK SPIDER, GOLD SAHARA
En çok hedeflenen ülke Amerika Birleşik Devletleri: 898 ilan, toplamın %52 kadarı.
En çok hedeflenen sektör İmalat: 466 ilan, toplamın %27 kadarı.
Hedef aldığı ülkeler
1.716 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 14 aşamaya yayılan 36 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid AccountsT1078.002Valid Accounts: Domain AccountsT1133External Remote ServicesT1190Exploit Public-Facing Application - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1047Windows Management InstrumentationT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.002System Services: Service ExecutionT1059.003Command and Scripting Interpreter: Windows Command Shell - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1136.001Create Account: Local AccountT1136.002Create Account: Domain Account - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1078.002Valid Accounts: Domain AccountsTA0004Privilege Escalation - 5
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1112Modify RegistryT1562.001Impair Defenses: Disable or Modify Tools - 6
Kimlik bilgisi erişimi
Parola, jeton ve oturum bilgileri ele geçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1558Steal or Forge Kerberos Tickets - 7
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1018Remote System DiscoveryT1082System Information DiscoveryT1482Domain Trust DiscoveryTA0007Discovery - 8
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.001Remote Services: Remote Desktop ProtocolT1570Lateral Tool Transfer - 9
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1213.002Data from Information Repositories: SharepointT1560.001Archive Collected Data: Archive via Utility - 10
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1219Remote Access ToolsT1229Remote Access Software - 11
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1048.003Exfiltration Over Alternative Protocol: Exfiltration Over Unencrypted Non-C2 ProtocolT1567.002Exfiltration Over Web Service: Exfiltration to Cloud Storage - 12
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data Encrypted for ImpactT1490Inhibit System RecoveryT1531Account Access RemovalT1657Financial Theft - 13
Diğer teknikler
T1027.001Obfuscated Files or Information: Binary PaddingT1036.005Masquerading: Match Legitimate Resource Name or LocationT1685Disable or Modify Tools
Grup 2 zararlı yazılım ailesiyle ilişkilendirildi.
Zararlı yazılım ailesi
- Akira (Linux)
- Akira (Windows)
Bu aktör hakkında yayımlanmış raporlar:
- https://news.sophos.com/en-us/2023/12/20/cryptoguard-an-asymmetric-approach-to-the-ransomware-battle/
- https://securelist.com/crimeware-report-fakesg-akira-amos/111483/
- https://www.trellix.com/en-us/about/newsroom/stories/research/akira-ransomware.html
Kaynak: MISP Galaxy, Malpedia.
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Akira kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid Accounts
- T1078.002 · Valid Accounts: Domain Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Çalışan parolalarının ve oturum çerezlerinin infostealer kayıtlarında görünüp görünmediğini düzenli kontrol edin.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.