Qu’est-ce que le rançongiciel Akira
Qu’est-ce que le rançongiciel Akira?
Akira est un groupe de rançongiciel en tant que service, actif depuis 2023, qui a touché des centaines d’organisations en Amérique du Nord, en Europe et en Australie. Il cible les petites et moyennes entreprises, les cabinets de santé et les cabinets comptables, et des affiliés mènent bon nombre de ses intrusions.
Commencer gratuitement, sans carte de crédit Voir la chaîne d’attaque
RaaS · accès par RPV et identifiants · destruction des sauvegardes · double extorsion
Définition
Akira est apparu en mars 2023 et a pris rapidement de l’ampleur. Le groupe fonctionne comme une opération de rançongiciel en tant que service (RaaS), où des affiliés mènent bon nombre des intrusions réelles. Les cibles privilégiées sont les petites et moyennes organisations susceptibles de payer la rançon plutôt que de subir une longue interruption.
Les modes d’accès initial documentés dans les incidents d’Akira comprennent des appareils RPV Cisco ASA et Cisco AnyConnect sans correctifs, le bourrage d’identifiants contre des portails RPV sans AMF et, de plus en plus, l’hameçonnage combiné à la compromission de M365 et d’Entra ID.
Le comportement après la compromission comprend le vol d’identifiants de type Mimikatz, la reconnaissance avec ADRecon et SoftPerfect Network Scanner, le déplacement latéral par PsExec, WMI et RDP, la suppression des clichés instantanés de volume (Volume Shadow Copies) et le ciblage des systèmes de sauvegarde avant le déploiement du chiffrement. Le chiffrement utilise ChaCha20 avec des clés protégées par RSA, et les fichiers chiffrés reçoivent l’extension .akira.
Les cabinets de santé, les cabinets comptables et les petits fabricants sont surreprésentés dans les listes de victimes d’Akira. Des cabinets canadiens de santé et de comptabilité y figurent à plusieurs reprises de 2024 à 2026.
Composantes principales
Vecteurs d’accès initial
RPV Cisco ASA et AnyConnect sans correctifs, bourrage d’identifiants sans AMF et hameçonnage vers M365.
Reconnaissance et vol d’identifiants
Outils de type Mimikatz, ADRecon, SoftPerfect Network Scanner, net.exe et whoami.exe avec contexte privilégié.
Déplacement latéral
PsExec, WMI, Bureau à distance et exploitation d’identifiants mis en cache.
Destruction des sauvegardes
Suppression ciblée des clichés instantanés de volume et altération des systèmes de sauvegarde avant le chiffrement.
Chiffrement
ChaCha20 avec des clés protégées par RSA, et une extension de fichier .akira.
Double extorsion
Exfiltration de données avant le chiffrement. La demande de rançon combine des frais de déchiffrement et la menace de publier les données sur le site de fuite d’Akira.
Pourquoi c’est important
Akira cible précisément les organisations de la taille de celles que la plupart des FSG servent. Les PME, les cabinets de santé, les cabinets comptables et les petits fabricants sont dans sa mire. Ils détiennent des données précieuses, ne peuvent pas absorber de longues interruptions et n’ont peut-être pas de programmes de sécurité matures.
Pour les FSG, un incident Akira est le pire scénario. Le réseau du client est chiffré, les sauvegardes peuvent être détruites, le déchiffrement est incertain, et les conséquences réglementaires (avis d’atteinte selon HIPAA, LPRPDE, avis selon la HIA de l’Alberta et la FIPPA de la C.-B., lois étatiques sur la vie privée) s’ensuivent même si la rançon est payée.
La fenêtre de détection utile est la phase de préparation, c’est-à-dire la reconnaissance, le vol d’identifiants, le déplacement latéral et l’altération des sauvegardes, et non le chiffrement lui-même. Au moment du chiffrement, il est beaucoup trop tard.
Comment Lavawall® aide contre le rançongiciel Akira
Lavawall® comprend un chasseur d’indicateurs du rançongiciel Akira dédié, qui recherche des correspondances avec les outils connus d’Akira, les chemins de fichiers, les clés de registre et les modèles de comportement observés lors d’interventions réelles contre Akira. La détection s’exécute en continu sur les postes de travail Windows, macOS et Linux.
La détection comportementale de la préparation couvre le vol d’identifiants de type Mimikatz, les commandes de reconnaissance (net.exe, whoami.exe, activité de type ADRecon), le déplacement latéral (activité de type PsExec) et les tentatives de destruction des sauvegardes. L’objectif est de détecter Akira pendant la préparation, avant le chiffrement.
L’ITDR multilocataire met en corrélation les signaux des postes de travail avec l’activité de M365 et d’Entra ID afin de repérer le scénario d’hameçonnage d’identifiants suivi d’un pivot qu’Akira utilise de plus en plus. L’évaluation de la configuration fait ressortir les RPV Cisco sans correctifs et les absences d’AMF qu’Akira exploite pour l’accès initial. Lavawall® coexiste avec Defender, Huntress, Sophos, SentinelOne et CrowdStrike, et présente leur état à côté de ses propres constats.
Foire aux questions
- Akira est-il toujours actif?
- Oui. Akira demeure l’un des groupes de rançongiciels les plus actifs qui touchent les PME et les cabinets de santé.
- Quel est le contrôle le plus important pour empêcher l’accès initial d’Akira?
- L’AMF pour l’accès par RPV, RDP et M365, combinée à l’application rapide des correctifs aux appareils d’accès à distance exposés à Internet. La plupart des accès initiaux d’Akira proviennent d’identifiants et de RPV sans correctifs.
- Dois-je payer la rançon si je suis touché?
- Faites appel immédiatement à des professionnels de la réponse aux incidents. Les décisions de paiement font intervenir des facteurs juridiques, réglementaires et opérationnels qui dépassent la portée d’une page de définition. ThreeShield offre un renfort de niveau 3 aux FSG qui gèrent des incidents en cours.