El ransomware Akira ha implementado una nueva táctica para vulnerar la seguridad de Windows: reiniciar los sistemas comprometidos en modo seguro con funciones de red. Este método permite que el dispositivo permanezca conectado mientras la mayoría de las protecciones de terceros (EDR) permanecen desactivadas. En el caso analizado, el ataque se inició mediante una técnica de credential-spraying dirigida a una VPN SSL de SonicWall expuesta.

El ransomware Akira ha añadido una nueva forma de debilitar la seguridad de Windows antes de intentar bloquear los archivos.

En una intrusión reciente, un afiliado reinició un sistema comprometido en Modo Seguro con Funciones de Red, dejando el dispositivo conectado mientras la mayoría de las protecciones de terceros permanecían fuera de línea.

La operación comenzó con un ataque de credential-spraying contra una SSL VPN de SonicWall expuesta que no tenía autenticación de múltiples factores.

Una cuenta válida abrió la puerta, tras lo cual el intruso utilizó el acceso a escritorio remoto, mapeó la red, recopiló archivos y los preparó para su carga.

Esta ruta refleja los riesgos descritos en casos recientes de explotación de VPN de SonicWall.

Los atacantes ya habían establecido un libro de estrategias familiar y rápido: entrada a través de infraestructura de acceso remoto, descubrimiento rápido de sistemas valiosos, robo de datos y, posteriormente, un intento de cifrado en cuestión de horas.

Huntress señaló en un informe que identificó este como su primer caso observado de Akira utilizando el Modo Seguro para perjudicar las herramientas de detección y respuesta de endpoints (EDR).

Este hallazgo es importante porque el grupo fue la operación de ransomware más activa que los investigadores rastrearon en 2025, e incluso un intento de cifrado fallido puede dejar los datos robados disponibles para la extorsión.

El ransomware Akira utiliza el Modo Seguro de Windows

Después de obtener acceso el 4 de agosto, el operador llegó al controlador de dominio a través del Protocolo de Escritorio Remoto y ejecutó comandos para exportar detalles de cada usuario y computadora en Active Directory.

Los archivos proporcionaron al atacante nombres de cuentas, membresías de grupos, información del sistema y otros datos útiles para moverse por la red. Luego, el grupo archivó las carpetas compartidas mapeadas con WinRAR y envió los archivos preparados a un almacenamiento en la nube.

Antes de lanzar el cifrador, el intruso instaló AnyDesk como un servicio para el control remoto y la transferencia de archivos.

También cambiaron la lista del registro del Modo Seguro para que AnyDesk pudiera ejecutarse después del reinicio. A las 06:29 UTC, un cambio en la configuración de inicio forzó a la computadora a entrar en Modo Seguro con Funciones de Red, un estado de inicio reducido de Windows que carga los servicios básicos pero mantiene disponible el acceso a la red.

Esa elección detuvo el agente de Huntress y desactivó la protección en tiempo real de Microsoft Defender.

Esto le dio al atacante un punto ciego temporal, mientras que el servicio de acceso remoto habilitado específicamente preservó el control manual.

El método se asemeja a los ataques "EDR-killer" a través de SSLVPN, pero este caso dependió del comportamiento de inicio de Windows en lugar de un controlador malicioso.

El abuso del Modo Seguro no es nuevo entre los grupos de ransomware, pero su aparición en una intrusión de Akira amplía las formas en que debes pensar sobre la cobertura de los endpoints.

Tú y tu equipo de seguridad deberían tratar los cambios inesperados en la configuración de arranque, los eventos de inicio en Modo Seguro y la detención de servicios de seguridad conjunta como una advertencia de alta prioridad, especialmente después de una actividad inusual de inicio de sesión en la VPN.

Un cifrador fallido sigue perjudicando a las víctimas

El movimiento al Modo Seguro no produjo el resultado que el afiliado esperaba. La carga útil (payload) de Akira comenzó a las 06:34 UTC, pero el sistema pronto registró errores de memoria virtual, seguidos de fallos de PowerShell.

Los investigadores concluyeron que el entorno simplificado del Modo Seguro parece haber dejado el proceso del ransomware sin suficiente memoria virtual disponible, impidiendo que el cifrado se consolidara.

Defender detectó más tarde el archivo como Ransom:Win32/Akira.B!ibt, pero no pudo ponerlo en cuarentena mientras la computadora permanecía en Modo Seguro.

La limpieza tuvo éxito solo después de que el atacante reiniciara en el modo normal de Windows a las 08:10 UTC, restaurando la protección en tiempo real.

Ese resultado fue afortunado, no fiable: una máquina con más memoria o una carga útil ajustada aún podría haber cifrado los datos.

El incidente también muestra por qué el cifrado no es el único peligro. Las credenciales y las carpetas compartidas ya habían sido robadas, creando una ventaja para una demanda de doble extorsión.

Tú deberías exigir MFA para cada cuenta de VPN, restringir o desactivar temporalmente el acceso a SSL VPN expuesto durante un incidente activo, rotar las credenciales de Active Directory y VPN después de un compromiso, y centralizar los registros de VPN y Windows en un SIEM.

Tú y tu equipo deberían generar alertas ante ráfagas de inicios de sesión fallidos en varios nombres de usuario, y luego correlacionarlos con un inicio de sesión exitoso desde la misma fuente o proveedor de red.

También deberías desplegar cobertura de endpoints en cada host, en lugar de solo en sistemas seleccionados. Estos pasos complementan las lecciones de la actividad de ransomware en firewalls de SonicWall y te ayudan a detectar una intrusión antes de que comience el robo de datos o el cifrado.

Fuentes:
https://cybersecuritynews.com/akira-uses-windows-safe-mode/