Un afiliado del grupo de ransomware Akira ha utilizado una técnica poco habitual para intentar neutralizar las defensas de un sistema comprometido: reiniciar Windows en Modo seguro con funciones de red para desactivar las herramientas de seguridad.
El ataque, observado por la empresa de ciberseguridad Huntress el pasado 4 de agosto, permitió a los atacantes robar credenciales y archivos antes de intentar desplegar el ransomware. Sin embargo, el intento de cifrar los datos terminó fallando.
A pesar de ello, el incidente demuestra cómo los grupos de ransomware continúan buscando formas de evitar las soluciones EDR y antivirus antes de ejecutar sus cargas maliciosas.
El acceso comenzó con una VPN expuesta
El ataque se inició a través de un dispositivo SonicWall VPN accesible desde Internet y que no tenía activada la autenticación multifactor (MFA).
Aproximadamente dos horas después de conseguir iniciar sesión en la VPN, los atacantes accedieron mediante RDP al controlador de dominio.
Desde allí comenzaron a recopilar información sobre el entorno de Active Directory, incluyendo los usuarios y equipos disponibles, antes de desplazarse hacia un servidor de aplicaciones.
La ausencia de MFA en la VPN fue, por tanto, uno de los principales factores que facilitaron el acceso inicial.
Primero robaron los datos
Antes de intentar ejecutar el ransomware, los atacantes se centraron en obtener información.
Utilizaron WinRAR para comprimir archivos procedentes de recursos compartidos de red y posteriormente emplearon la herramienta de línea de comandos s5cmd para transferir los datos a un bucket S3 controlado por los atacantes.
También instalaron AnyDesk, una herramienta legítima de acceso remoto que posteriormente utilizarían para controlar el equipo comprometido.
Este orden de acciones resulta significativo: incluso antes de cifrar los archivos, los atacantes ya habían conseguido realizar una exfiltración de datos que podía utilizarse posteriormente como mecanismo de extorsión.
El truco del Modo seguro
Una vez preparado el acceso remoto, los atacantes utilizaron AnyDesk para reiniciar el equipo en Modo seguro con funciones de red.
El Modo seguro es una modalidad de arranque de Windows diseñada principalmente para tareas de diagnóstico y resolución de problemas. Durante este proceso, el sistema carga un conjunto limitado de controladores y servicios.
Esto tiene una consecuencia importante desde el punto de vista de la seguridad: muchas aplicaciones y servicios de terceros no se ejecutan normalmente en este modo.
Los atacantes aprovecharon precisamente esta característica.
Durante aproximadamente diez minutos, el sistema quedó sin el agente EDR de Huntress operativo y con la protección en tiempo real de Microsoft Defender desactivada.
Mantener el acceso incluso en Modo seguro
Los atacantes no se limitaron a reiniciar el equipo.
También modificaron el registro de Windows para conseguir que AnyDesk se iniciara dentro del Modo seguro, permitiéndoles mantener el acceso remoto al sistema después del reinicio.
Esta técnica resulta especialmente interesante porque combina dos objetivos: reducir temporalmente las defensas del sistema y mantener al mismo tiempo un canal de acceso remoto controlado por los atacantes.
Pero el ransomware no consiguió ejecutarse
Después de desactivar las principales defensas, llegó el momento de ejecutar el ransomware.
El operador intentó lanzar el archivo akira.exe utilizando AnyDesk mientras el equipo permanecía en Modo seguro.
Sin embargo, el ataque no salió como estaba previsto.
Windows informó de problemas relacionados con la memoria virtual y generó errores de falta de memoria y de PowerShell. Como consecuencia, la carga principal de Akira no consiguió ejecutarse correctamente.
El sistema estaba preparado para el cifrado, pero el propio entorno de Modo seguro terminó convirtiéndose en un obstáculo para los atacantes.
Defender terminó detectando el archivo
El hecho de que la protección en tiempo real estuviera desactivada tampoco significó que el archivo malicioso pasara completamente desapercibido.
Una exploración programada de Microsoft Defender consiguió detectar el ejecutable de Akira.
Sin embargo, mientras el equipo continuaba en Modo seguro, Defender no pudo eliminarlo.
La situación cambió cuando el atacante reinició finalmente el sistema en su modo normal. Al restaurarse la protección en tiempo real, Microsoft Defender pudo poner el ejecutable en cuarentena.
De esta manera, el intento de cifrado terminó fracasando.
Un ataque fallido, pero no inofensivo
Aunque Akira no consiguió cifrar los archivos, sería un error considerar el ataque un fracaso completo.
En menos de cinco horas desde el acceso inicial, los atacantes consiguieron robar credenciales y extraer información de la organización.
Estos datos pueden utilizarse para extorsionar posteriormente a la víctima, incluso aunque el ransomware no haya conseguido bloquear sus archivos.
Este modelo de ataque, conocido como doble extorsión, hace que la exfiltración de información sea tan importante como el propio cifrado.
Una técnica que ya utilizan otros grupos
Huntress señala que utilizar el Modo seguro para evitar las defensas de Windows no es una técnica nueva.
Grupos asociados con ransomware como Snatch y AvosLocker llevan años utilizando métodos similares.
Lo que resulta especialmente interesante en este caso es que Huntress observó por primera vez esta técnica durante un ataque relacionado con Akira.
Esto demuestra que las tácticas utilizadas por diferentes familias de ransomware continúan evolucionando y siendo reutilizadas por otros grupos.
Cómo pueden protegerse las organizaciones
El incidente deja varias lecciones importantes para los administradores.
La primera es reforzar todas las cuentas utilizadas para acceder a servicios expuestos a Internet. En particular, las VPN deberían utilizar autenticación multifactor (MFA) siempre que sea posible.
También resulta recomendable implementar mecanismos capaces de detectar intentos de credential spraying y otros patrones de acceso anómalos.
Por otro lado, los equipos de seguridad deberían prestar especial atención a:
- Cambios inesperados en la configuración de arranque de Windows.
- Reinicios repentinos en Modo seguro.
- Modificaciones del registro relacionadas con servicios de Modo seguro.
- Instalación inesperada de herramientas de acceso remoto como AnyDesk.
- Transferencias masivas de archivos hacia servicios de almacenamiento externos.
- Actividad anómala en controladores de dominio y servidores internos.
La lección más importante
El ataque contra este sistema demuestra que un ransomware no necesita llegar a cifrar los archivos para causar un problema grave.
Los atacantes consiguieron entrar mediante una VPN sin MFA, desplazarse por la red, recopilar información, robar archivos y credenciales y desactivar temporalmente las defensas del sistema.
El fallo del ransomware evitó un impacto todavía mayor, pero fue más una consecuencia de problemas técnicos durante la ejecución que de una defensa completamente eficaz.
Para las organizaciones, la principal lección es clara: la seguridad debe impedir el acceso inicial, detectar el movimiento lateral y vigilar los cambios realizados sobre el propio sistema de protección.
Cuando un atacante consigue controlar el entorno suficiente como para desactivar el EDR, el margen de reacción se reduce considerablemente.
