Akira se está convirtiendo rápidamente en una de las familias de ransomware de más rápido crecimiento, gracias a su uso de tácticas de doble extorsión y un modelo de distribución como servicio (RaaS). Además, ofrece opciones de pago únicas que la diferencian de otras amenazas similares.
Relación con Conti y Ryuk
Según un informe de Arctic Wolf Labs, Akira parece estar afiliada a la ahora desaparecida pandilla de ransomware Conti. Se cree que Conti es descendiente del ransomware Ryuk, altamente dirigido. Esta relación explica las similitudes de código entre ambas familias.
Características y tácticas
Akira surgió en marzo de 2023 y originalmente se dirigía a empresas con sede en EE.UU. y Canadá, pero actualmente está muy activo en América Latina. Su sitio de filtración TOR tiene un aspecto retro que recuerda a las «consolas de pantalla verde de los años 80».
El ransomware utiliza una extensión .akira para cifrar archivos y, según su código, es completamente diferente de la familia de ransomware Akira activa en 2017. Los operadores de Akira están asociados con actores del ransomware Conti, lo que explica las similitudes de código.
Ataques y vulnerabilidades
Akira utiliza tácticas de doble extorsión, roba datos críticos de las víctimas antes de cifrar dispositivos y archivos. Los operadores brindan a las víctimas la opción de pagar por el descifrado o la eliminación de datos; no obligan a pagar ambos.
Según informes, las demandas de rescate suelen oscilar entre 200.000 dólares y más de 4 millones de dólares. En junio de 2023, Akira amplió su lista de sistemas objetivo para incluir máquinas Linux.
El analista de malware rivitna compartió que los actores del ransomware Akira utilizaron un cifrador de Linux y apuntaron a máquinas virtuales VMware ESXi. Además, en agosto, el investigador SecurityAura informó que Akira estaba apuntando a cuentas VPN de Cisco sin autenticación multifactor (MFA).
Cisco publicó un aviso de seguridad el 6 de septiembre de 2023, indicando que los operadores de ransomware Akira explotaron CVE-2023-20269, una vulnerabilidad en la función VPN de acceso remoto de sus productos.
Impacto y respuesta
Akira comúnmente se infiltra en sistemas Windows y Linux específicos a través de servicios VPN, especialmente donde los usuarios no han habilitado la autenticación multifactor. Para obtener acceso a los dispositivos de las víctimas, los atacantes utilizan credenciales comprometidas.
Una vez que un sistema está infectado con Akira, el malware intenta eliminar carpetas de respaldo y cifra archivos con la extensión .akira. Cada víctima tiene una contraseña única para negociar en el sitio del actor de amenazas en la web oscura.
El 29 de junio de 2023, Avast lanzó un descifrador para el ransomware Akira que las organizaciones víctimas pueden utilizar. Sin embargo, los actores han modificado la rutina de cifrado desde entonces, lo que indica que es posible que no funcione si los archivos se cifraron después del 29 de junio.
El Centro de Coordinación de Ciberseguridad del Sector Salud (HC3) del Departamento de Salud y Servicios Humanos de EE.UU. publicó un boletín de seguridad alertando a la industria de la salud sobre los ataques de Akira.