暗网简介：Akira Ransomware

自 2023 年初发现以来，Akira 勒索软件已从勒索软件领域看似普通的补充发展成为影响广泛企业和关键基础设施实体的重大威胁。这种演变，加上其泄漏站点和通信的独特美学，引起了人们对其运营的关注。

Akira 的数据泄露网站，主页

正如最近发布的 CISA 咨询声明所述，  截至 2024 年 1 月 1 日，已有超过250 个组织 受到影响，勒索软件收益约为 4200 万美元。

Akira 勒索软件是谁

该勒索组织采用双重勒索策略，首先窃取数据，然后加密目标网络内的设备。然后，不仅需要付费才能解密文件，而且还需要付费才能防止泄露的数据曝光。

据信，该勒索软件的名称源自 1988 年的一部赛博朋克主题动漫电影。在这部电影中，阿基拉对新东京的破坏被描述为针对邪恶势力在城市中占据主导地位的预防措施。

这种说法与勒索软件运营商的一个常见论点相似，他们“声称”将世界经济体系视为邪恶之源。他们经常将自己视为现代的罗宾汉或阿基拉，与他们认为的系统性不公正现象作斗争。

《Akira》（1998 年）这部电影可能启发了勒索软件组织，流行文化是威胁行为者广泛的共同参考点，特别是因为此类文化产品在网络空间（互联网）中生长。 （图片来源：  IMDb）

根据 CISA 的建议，自 2023 年 3 月以来，Akira 勒索软件已经影响了北美、欧洲和澳大利亚的众多企业和关键基础设施实体。该威胁最初主要针对 Windows 系统，并于 2023 年 4 月扩大到针对具有 Linux 变体的 VMware ESXi 虚拟机。截至 2024 年 1 月 1 日，该组织已影响了 250 多个组织，并积累了约 4200 万美元的勒索软件收益。

Akira 勒索软件的早期版本采用 C++ 编码，对加密文件使用 .akira 扩展名。从 2023 年 8 月开始，一些 Akira 攻击引入了 Megazord，这是一种 基于Rust 的加密工具，使用 .powerranges 扩展名。 Akira 背后的威胁行为者在攻击中交替使用 Megazord 和 Akira_v2（由独立调查确定）。

受害者学

Akira 勒索软件组织经常索要巨额赎金，主要针对北美、欧洲和澳大利亚的大型企业。通常，恶意软件通过使用 网络钓鱼电子邮件或利用软件漏洞的有针对性的威胁活动进行传播，重点关注教育、金融、制造和 医疗保健 等行业 。

去年 Akira 勒索软件的目标国家

 美国的受害者人数在图表中占据主导地位，远远超过了其他国家。

这份目标国家名单显示，与美国关系密切的国家，例如欧洲国家，是美国以外受害者的大多数。

Akira 勒索软件的受害者列表

为了在勒索软件组织的主页（类似于命令行界面）上显示受害者，访客必须输入“-leaks”命令。此命令按时间顺序列出受害者，从第一个受害者到最近的受害者。

受害者的详细信息附有一个 torrent 磁力链接，用于访问所谓的文件，以及有关受害者的信息、泄露的数据量以及已公开的数据部分。

不幸的是，该设计似乎不包含任何复活节彩蛋

同样，接触部分是从这个界面完成的。当在命令行中输入 -contacts 命令时，将询问姓名和消息。

操作模式

正如 CISA 公告中所述：

初始访问：

Akira 威胁行为者主要通过缺乏多重身份验证 (MFA) 的虚拟专用网络 (VPN) 服务获得对组织的初始访问权限，通常利用思科系统中的已知漏洞，例如 CVE-2020-3259 和 CVE-2023-20269。其他方法包括远程桌面协议 (RDP)、 鱼叉式网络钓鱼和凭据滥用。

坚持与发现：

获得初始访问权限后，Akira 参与者通过创建新的域帐户并利用域控制器来建立持久性。他们利用 Kerberoasting 等后利用技术来提取凭据并使用凭据抓取工具来进行权限升级。网络扫描工具有助于侦察和识别域控制器。

防御闪避：

Akira 攻击者可能会在同一攻击中部署多个勒索软件变体、禁用安全软件并终止防病毒相关进程以避免检测。

渗透和影响：

FileZilla 和 WinSCP 等工具用于数据泄露，而 AnyDesk 和 Ngrok 则建立命令和控制通道。 Akira 利用双重勒索模型，对系统进行加密，并要求以比特币付款。他们威胁要在 Tor 网络上发布数据来向受害者施压。

加密：

Akira 采用  结合 ChaCha20 和 RSA 算法的混合加密方案，针对特定的文件类型和大小。他们删除卷影副本 (VSS) 并留下勒索信以与受害者沟通。

Akira 勒索信 (Avast Threat Labs)

利用工具：

Akira 攻击者使用 AdFind、Advanced IP Scanner、AnyDesk、Mimikatz、RClone、WinRAR、WinSCP 和 PowerShell 等各种工具进行侦察、远程访问、凭证盗窃、渗透和系统操纵。

该作案手法强调了 Akira 从最初访问到产生影响的复杂技术，展示了他们的规避策略、加密方法以及利用各种工具进行恶意活动。如需了解完整详情，请访问 CISA。

MITRE ATT&CK TTP 表

原文始发于微信公众号（OSINT研习社）：暗网简介：Akira Ransomware