Akira Fidye Yazılımı: Kurtarma ve Müdahale

Akira, 2023'ün başından bu yana başta Kuzey Amerika ve Avrupa olmak üzere farklı sektörlerdeki kurumları hedef alıyor. Grup, Windows sistemlerin yanında sanallaştırma altyapısını da şifreleyerek tek seferde çok sayıda sunucuyu devre dışı bırakabiliyor.

Grup, saldırılardan önce genellikle haftalarca ağda kalarak veri toplar; şifrelemeyi yedekleme ve sanallaştırma altyapısını devre dışı bıraktıktan sonra başlatır. Şifreleme yöntemini zaman içinde güncelleyen grup, farklı sürümlerle faaliyetini sürdürüyor.

Aşağıdaki işaretler saldırının bu aileye ait olabileceğini gösterir. Uzantılar ve not adları sürüme ve iştirakçiye göre değişebilir.

• Şifrelenmiş dosyalara ".akira" uzantısının eklenmesi
• "akira_readme.txt" adlı fidye notları
• ESXi sunucularındaki sanal makine disklerinin (.vmdk) şifrelenmesi
• Saldırı öncesinde yetkisiz VPN oturumları ve yeni oluşturulmuş yönetici hesapları

Saldırganın kullandığı giriş noktası kapatılmadan yapılan kurtarma, saldırının tekrarlanmasına yol açar. Adli analizde ilk sorduğumuz soru budur.

• Çok faktörlü kimlik doğrulaması (MFA) olmayan VPN erişimleri
• Güncellenmemiş güvenlik duvarı ve VPN cihazı zafiyetleri
• Çalınmış kullanıcı hesapları ve internete açık RDP

Akira saldırılarında kurtarma çoğunlukla temiz yedeklere, sanallaştırma anlık görüntülerine ve şifrelemenin yarıda kaldığı sanal disklere bağlıdır. Secunnix şifre çözücü araç önermez; sürüm ve kapsam tespit edildikten sonra gerçekçi bir kurtarma planı sunar.

İnternetten indirilen şifre çözücü araçlar çoğu zaman işe yaramaz, bazıları da zararlı yazılım içerir ve dosyalara kalıcı zarar verebilir. Şifrelenmiş dosyaları olduğu gibi koruyun ve uzman ekibe ulaşın.