Was ist passiert?
Ein Akira-Ransomware-Affiliate gelang es, eine Endpoint Detection and Response (EDR)-Lösung auf einem kompromittierten System zu deaktivieren, indem er den Rechner in den Safe Mode with Networking Modus neu startete. Anschließend konnten die Angreifer Daten stehlen, scheiterten jedoch bei der Verschlüsselung des Systems. Dies zeigt eine neue Taktik, um Sicherheitstools zu umgehen.
Hintergrund & Bedeutung
Safe Mode ist ein Windows-Betriebsmodus, der nur essenzielle Systemdienste lädt. Viele EDR-Lösungen werden dadurch nicht initialisiert, da sie als optionale Dienste eingestuft sind. Akira nutzt diese Schwachstelle gezielt aus, um Erkennungssysteme auszuschalten. Die Ransomware-Gruppe konzentriert sich dabei auf den Datendiebstahl, was auf eine Anpassung ihrer Strategie hindeutet: Verschlüsselung ist nicht immer das primäre Ziel – der Datenschatten ist es.
Empfehlungen fuer IT-Teams
Sofortige Maßnahmen: Beschränken Sie Benutzerrechte für Systemneustarts. Implementieren Sie Group Policy Object (GPO) Richtlinien, um Safe Mode zu deaktivieren oder Passwortschutz zu aktivieren. Überwachen Sie unerwartete Neustarts und konfigurieren Sie BIOS/UEFI-Passwörter.
Präventiv: Setzen Sie auf EDR-Lösungen, die auch im Safe Mode aktiv bleiben. Führen Sie regelmäßige Sicherheitstrainings durch und implementieren Sie Multi-Faktor-Authentifizierung für administrative Zugriffe. Monitoren Sie Netzwerkaktivitäten auf verdächtige Datenabflüsse.
Fazit
Die Taktik der Akira-Gruppe unterstreicht, dass isolierte Sicherheitstools nicht ausreichen. Eine mehrschichtige Verteidigungsstrategie mit technischen Kontrollen, Überwachung und Benutzerbewusstsein ist essentiell.
Quelle: Original Artikel