Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Akira
Akira, un grupo de ransomware activo desde marzo de 2023, opera como una plataforma de Ransomware-as-a-Service (RaaS) que ataca a organizaciones a nivel global en industrias críticas, incluyendo salud, manufactura y finanzas. Al aprovechar tácticas avanzadas como la explotación de vulnerabilidades de VPN y la doble extorsión, Akira representa una amenaza significativa para empresas e infraestructura en todo el mundo.
Perfil del actor de amenazas
Akira
País de origen
El país de origen exacto del grupo de ransomware Akira sigue siendo desconocido. Sin embargo, cierta coincidencia en herramientas y técnicas sugiere posibles afiliaciones u orígenes compartidos con otros operadores de ransomware prominentes, como Conti.
Miembros
El tamaño y los miembros específicos del grupo Akira no se han identificado con certeza. Dado el marco de RaaS, el grupo probablemente consiste en un equipo central de desarrolladores y administradores, acompañado de una amplia red de afiliados responsables de desplegar el ransomware.
Liderazgo
Se desconocen los detalles sobre el liderazgo del grupo Akira. La estructura del grupo sigue siendo mayormente especulativa, aunque la evidencia sugiere un modelo jerárquico de RaaS con operadores afiliados que llevan a cabo los ataques.
TTPs de Akira
tácticas
Los objetivos principales de Akira son obtener ganancias financieras mediante ataques de ransomware, usando cifrado y la posterior exfiltración de datos para exigir rescates. Utilizan un método de doble extorsión, amenazando con divulgar los datos robados si las víctimas se niegan a pagar.
técnicas
Akira explota principalmente vulnerabilidades en sistemas expuestos externamente, como VPN con autenticación multifactor (MFA) débil o inexistente, o firewalls sin parches. También recurren a tácticas de phishing e ingeniería social para robar credenciales. Una vez dentro, usan herramientas de volcado de credenciales como Mimikatz para escalar privilegios y moverse lateralmente por la red de la víctima.
Procedimientos
Entre los procedimientos destacados están la explotación de vulnerabilidades en plataformas populares (por ejemplo, Cisco ASA, SonicWall), el uso de acceso remoto con credenciales comprometidas, la desactivación de defensas de endpoints y el cifrado de datos con sus cargas útiles en evolución, como Akira_v2, desarrollada en Rust para mejorar la eficiencia y el sigilo.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Un incidente importante atribuido a Akira involucró ataques de ransomware a múltiples hospitales en Norteamérica, que afectaron gravemente la atención a los pacientes. Otro ataque de alto perfil tuvo como objetivo a una empresa de logística global, lo que interrumpió sus operaciones y generó pérdidas financieras significativas.
Más recientemente, se ha observado a afiliados de Akira operacionalizando dispositivos SonicWall SSLVPN comprometidos como un vector de acceso inicial repetible. En un incidente, una pequeña empresa tenía Huntress desplegado en solo dos endpoints cuando un afiliado obtuvo acceso a través de un dispositivo SonicWall comprometido y llevó a cabo movimiento lateral hasta llegar a un endpoint monitoreado. Huntress detectó actividad vinculada a Akira mientras se escribían notas de rescate en el disco, lo que motivó al SOC 24/7 a aislar el endpoint, escalar el incidente y contactar directamente a la organización. Esa notificación fue el primer indicio de que la empresa estaba bajo ataque, lo que permitió al cliente desconectar la red mientras la intrusión seguía activa. El incidente ilustra tanto el uso que hace Akira del compromiso de dispositivos de borde para establecer puntos de apoyo, como el riesgo operativo de una cobertura parcial de endpoints, lo cual puede dejar partes sustanciales del entorno sin visibilidad de detección.
Aplicación de la ley y arrestos
No se han reportado arrestos ni acciones significativas contra las operaciones de Akira hasta la fecha. Sin embargo, las fuerzas del orden a nivel global siguen participando activamente en el combate contra grupos de ransomware de esta escala y sofisticación.
Cómo defenderte de Akira
1
Aplica una autenticación multifactor (MFA) sólida en todos los puntos de acceso externos.
2
Aplica parches de manera regular a las vulnerabilidades conocidas en VPN, firewalls y otros sistemas críticos.
3
Despliega herramientas de detección avanzadas como EDR/XDR para identificar movimientos laterales sospechosos, acceso a credenciales y manipulación de copias de seguridad.
4
Mantén copias de seguridad seguras y sin conexión, y prueba los planes de recuperación para mitigar el impacto de los intentos de cifrado.
Las herramientas de Huntress, como Managed Endpoint Detection & Response, pueden ayudar a monitorear la actividad relacionada con las TTPs de Akira y dar alertas accionables para la mitigación.
Referencias
Otros actores de amenazas de RaaS
BlackCat
BlackCat (también conocida como ALPHV) es un sofisticado grupo de ransomware observado por primera vez a fines de 2021. Ampliamente reconocido por su uso de operaciones avanzadas de ransomware como servicio (RaaS), BlackCat ataca a organizaciones de diversas industrias y recurre a tácticas de doble extorsión para presionar a las víctimas.
