El equipo de la empresa de ciberseguridad S-RM descubrió el inusual método de ataque de Akira durante una respuesta a un incidente reciente en uno de sus clientes.

La banda de ransomware Akira fue descubierta usando una cámara web no segura para lanzar ataques de cifrado en la red de una víctima, eludiendo eficazmente Endpoint Detection and Response (EDR) en Windows. Cabe destacar que Akira solo pasó a la cámara web después de intentar implementar cifradores en Windows, que fueron bloqueados por la solución EDR de la víctima.

La cadena de ataque poco ortodoxa de Akira

Los actores de la amenaza inicialmente obtuvieron acceso a la red corporativa a través de una solución de acceso remoto expuesta en la empresa objetivo, probablemente aprovechando credenciales robadas o forzando la contraseña.

Después de obtener acceso, implementaron AnyDesk, una herramienta de acceso remoto legítima, y ​​robaron los datos de la empresa para usarlos como parte del ataque de doble extorsión.

A continuación, Akira utilizó el Protocolo de escritorio remoto (RDP) para moverse lateralmente y expandir su presencia a tantos sistemas como fuera posible antes de implementar la carga útil del ransomware.

Finalmente, los actores de la amenaza descargaron un archivo ZIP protegido con contraseña (win.zip) que contenía la carga útil del ransomware (win.exe), pero la herramienta EDR de la víctima lo detectó y lo puso en cuarentena, bloqueando esencialmente el ataque.

Después de este fallo, Akira exploró vías de ataque alternativas, escaneando la red en busca de otros dispositivos que pudieran usarse para cifrar los archivos y encontrando una cámara web y un escáner de huellas dactilares.

S-RM explica que los atacantes optaron por la cámara web porque era vulnerable al acceso remoto a través del shell y a la visualización no autorizada de transmisiones de video.

Además, se ejecutaba en un sistema operativo basado en Linux compatible con el cifrador Linux de Akira. Tampoco tenía un agente EDR, lo que la convertía en un dispositivo óptimo para cifrar archivos de forma remota en recursos compartidos de red.

S-RM confirmó a BleepingComputer que los actores de la amenaza utilizaron el sistema operativo Linux de la cámara web para montar los recursos compartidos de red SMB de Windows de los otros dispositivos de la empresa. Luego, iniciaron el cifrador Linux en la cámara web y lo usaron para cifrar los recursos compartidos de red a través de SMB, eludiendo de manera efectiva el software EDR en la red.

"Como el dispositivo no estaba siendo monitoreado, el equipo de seguridad de la organización víctima no estaba al tanto del aumento del tráfico malicioso de Server Message Block (SMB) desde la cámara web al servidor afectado, que de lo contrario podría haberlos alertado", explica S-RM. "Akira pudo posteriormente cifrar archivos en toda la red de la víctima".

S-RM le dijo a BleepingComputer que había parches disponibles para las fallas de la cámara web, lo que significa que el ataque, o al menos este vector, era evitable.

El caso muestra que la protección EDR no es una solución de seguridad integral y que las organizaciones no deberían confiar únicamente en ella para protegerse contra los ataques.

Además, los dispositivos IoT no se controlan ni se mantienen tan de cerca como las computadoras, pero aun así representan un riesgo significativo. Debido a esto, estos tipos de dispositivos deben aislarse de las redes más sensibles, como los servidores de producción y las estaciones de trabajo.

De igual importancia, todos los dispositivos, incluso los IoT, deben tener su firmware actualizado regularmente para corregir fallas conocidas que podrían explotarse en ataques.

Fuente: BC

Vía:

https://blog.segu-info.com.ar/2025/03/ransomware-akira-cifro-los-datos-desde.html