Akira ransomware riavvia Windows in Safe Mode per spegnere EDR e Defender

🛡️ Executive Summary

• Un affiliato Akira entra attraverso una SonicWall SSL VPN senza MFA, enumera Active Directory ed esfiltra file prima della fase di cifratura.
• L’attaccante forza Windows in Safe Mode with Networking, impedendo l’avvio dell’EDR Huntress e disabilitando la protezione real-time di Microsoft Defender.
• La tecnica anti-EDR funziona, ma il ransomware esaurisce la memoria virtuale in Safe Mode e fallisce la cifratura; i dati risultano comunque già sottratti.

Akira ha aggiunto al proprio playbook una tecnica già utilizzata da altre famiglie ransomware: riavviare Windows in Safe Mode with Networking per impedire l’avvio delle soluzioni EDR e ridurre le difese antivirus prima della cifratura. Huntress ha osservato per la prima volta questa tattica in un’intrusione Akira iniziata attraverso una SonicWall SSL VPN priva di autenticazione multifattore. La manovra ha effettivamente spento l’agente Huntress e la protezione real-time di Microsoft Defender, ma ha prodotto un risultato inatteso: l’ambiente ridotto della modalità provvisoria ha esaurito la memoria virtuale disponibile e il ransomware non è riuscito a completare la cifratura. L’attaccante aveva però già sottratto credenziali e file aziendali, mantenendo intatta la possibilità di una doppia estorsione.

Akira entra dalla SonicWall VPN senza MFA

L’incidente ricostruito da Huntress è iniziato il 4 agosto 2026 alle 03:45 UTC, quando i log di una SonicWall SSL VPN hanno registrato una sequenza di tentativi falliti contro più account provenienti da diversi indirizzi IP. Circa sette minuti dopo, alle 03:52:42, uno dei tentativi ha avuto successo utilizzando credenziali valide su una VPN che non era protetta da MFA. L’accesso iniziale ripropone un percorso ormai consolidato per gli affiliati Akira. Matrice Digitale aveva già documentato nel 2024 lo sfruttamento delle SonicWall SSLVPN da parte del ransomware Akira, mentre pochi mesi prima CISA aveva collegato Akira allo sfruttamento di appliance Cisco ASA e FTD. Il principio resta identico: VPN e appliance perimetrali diventano il ponte verso Active Directory quando credenziali valide, sistemi non aggiornati o autenticazione insufficiente consentono di superare il confine esterno. La pressione sulle infrastrutture SonicWall è rimasta elevata anche nel 2026, come mostrato dalle recenti vulnerabilità SMA1000 inserite nelle campagne ransomware. Huntress non attribuisce però questo specifico accesso iniziale allo sfruttamento di una CVE: nel caso osservato il punto decisivo è stato il credential spray seguito dall’uso di un account valido senza MFA.

Active Directory viene mappata prima dell’esfiltrazione

Dopo essere entrato nella VPN, l’operatore ha atteso quasi due ore prima di iniziare l’attività hands-on-keyboard. L’attaccante ha quindi raggiunto il domain controller tramite RDP, aperto un prompt dei comandi elevato ed eseguito una ricognizione completa di Active Directory attraverso PowerShell. I comandi Get-ADUser e Get-ADComputer sono stati utilizzati per esportare rispettivamente tutti gli utenti e tutti i computer del dominio nei file AdUsers.txt e AdComp.txt. L’operatore ha impostato $formatenumerationlimit = -1, eliminando il limite con cui PowerShell tronca normalmente alcuni attributi multivalore e ottenendo così l’elenco completo delle appartenenze ai gruppi. Nel dump degli utenti comparivano informazioni come PasswordLastSet, LastLogonDate, indirizzi email, numeri telefonici e posizione delle mailbox, mentre l’inventario dei computer offriva sistema operativo, indirizzo IP, hostname e altri elementi utili al movimento laterale. Il comportamento ricalca le tattiche descritte già nell’advisory internazionale dedicato ad Akira da CISA ed Europol, quando il gruppo era già caratterizzato da ricognizione di rete, esfiltrazione e successiva cifratura delle infrastrutture.

WinRAR e S3 preparano la doppia estorsione

Prima di tentare qualsiasi cifratura, l’affiliato ha spostato l’operazione verso la raccolta dei dati. WinRAR è stato scaricato nel corso dell’intrusione e utilizzato per comprimere ricorsivamente più file share attraverso una sintassi già osservata da Huntress in precedenti incidenti Akira. Gli archivi prodotti sono stati poi caricati verso un bucket cloud controllato dall’attaccante mediante s5cmd, utility ad alte prestazioni compatibile con Amazon S3. A quel punto l’operatore possedeva già una copia dei dati aziendali prima ancora di lanciare akira.exe.

Questo passaggio è determinante per interpretare l’esito finale dell’incidente: il fallimento della cifratura non equivale al fallimento dell’attacco. Akira può comunque minacciare la pubblicazione del materiale sottratto e tentare di ottenere un pagamento attraverso l’estorsione. Il modello è ormai strutturale nell’ecosistema ransomware e appare anche nelle operazioni più recenti, come DeadLock e la sua infrastruttura decentralizzata per negoziazione e leak. L’evoluzione era già evidente anni prima quando Akira aveva esteso il proprio encryptor ai sistemi Linux, trasformando progressivamente una famiglia ransomware in una piattaforma di estorsione multipiattaforma.

AnyDesk viene reso disponibile anche in Safe Mode

Prima del riavvio, l’attaccante ha installato AnyDesk come servizio Windows, configurandolo per l’avvio automatico e utilizzandolo contemporaneamente come strumento di accesso remoto e canale per distribuire il payload. Attraverso una sessione AnyDesk sono stati trasferiti file e incollati manualmente diversi blocchi di comandi, confermando una fase direttamente controllata dall’operatore piuttosto che l’esecuzione completamente automatizzata di uno script. Il problema per l’attaccante era che Safe Mode, per definizione, impedisce l’avvio della maggior parte dei servizi di terze parti e avrebbe quindi disabilitato lo stesso AnyDesk. L’operatore ha aggirato il limite creando prima del reboot una voce sotto HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk, autorizzando esplicitamente il servizio a partire nell’ambiente minimale. La stessa eccezione non è stata concessa agli strumenti difensivi. La tecnica mostra perché gli strumenti RMM legittimi abbiano assunto un ruolo così frequente nelle intrusioni: consentono di mantenere sessioni interattive senza distribuire necessariamente un RAT proprietario. Un modello analogo è apparso nella recente attività di Storm-1175, che usa AnyDesk e SimpleHelp prima di distribuire StormEncryptor.

Safe Mode spegne contemporaneamente Huntress e Defender

Alle 06:29:21 UTC l’operatore ha utilizzato msconfig.exe e riavviato il server in Safe Mode with Networking. I log Windows hanno registrato SAFEBOOT:NETWORK nel Kernel-Boot Event ID 27 e BootMode=2 nel Kernel-General Event ID 12. La scelta di mantenere il networking consente di conservare l’accesso remoto e le comunicazioni necessarie all’operazione, mentre il set ridotto di driver e servizi impedisce l’avvio della maggior parte del software di terze parti. L’agente Huntress EDR è quindi scomparso dal sistema operativo attivo. Pochi secondi dopo anche Windows Defender ha registrato l’errore 0x8007043c, indicando che il proprio servizio di real-time protection non poteva essere eseguito in modalità provvisoria. L’attaccante aveva ottenuto ciò che cercava: un sistema ancora raggiungibile dalla rete ma privo della normale copertura EDR e antivirus real-time. MITRE ATT&CK classifica il comportamento come T1688 – Impair Defenses: Safe Mode Boot. La tecnica non nasce con Akira: ransomware come Snatch e AvosLocker la utilizzano da anni. Per Huntress, tuttavia, questo è il primo incidente nel quale viene osservata all’interno del playbook Akira. L’obiettivo richiama altre strategie ransomware mirate direttamente ai sistemi endpoint, come GodDamn e il driver PoisonX utilizzato per disabilitare le difese a livello kernel: cambiano i meccanismi, ma il risultato desiderato resta creare una finestra nella quale il cifratore possa operare senza essere terminato dall’EDR.

Il trucco anti-EDR finisce per bloccare Akira stesso

L’aspetto più particolare dell’incidente emerge pochi minuti dopo. akira.exe viene eseguito alle 06:34:29 e genera la propria catena di processi, ma dopo pochi secondi Windows comincia a registrare errori relativi alla memoria virtuale. Il sistema segnala prima “Virtual Memory Minimum Too Low” e poi “Out of Virtual Memory”, seguito da errori PowerShell legati all’impossibilità di creare nuove guard page per lo stack. Secondo Huntress, l’ambiente minimale della modalità provvisoria e la disponibilità ridotta di memoria virtuale hanno probabilmente impedito all’albero dei processi Akira di completare la fase necessaria alla cifratura. La tecnica scelta per aggirare l’EDR ha quindi sabotato il ransomware che avrebbe dovuto proteggere. Non si tratta però di una difesa utilizzabile deliberatamente. Huntress sottolinea che una macchina con più memoria fisica, un page file differente oppure una versione dell’encryptor ottimizzata potrebbe non presentare lo stesso comportamento. Gli operatori Akira possono inoltre modificare rapidamente la sequenza una volta compreso il problema. Il precedente storico è quasi opposto: nel 2023 Matrice Digitale aveva raccontato Microsoft Defender capace di interrompere un tentativo di cifratura su larga scala di Akira; nel caso Huntress, Defender riesce invece a riconoscere il payload ma non può intervenire finché il sistema rimane in Safe Mode.

Defender riconosce Akira ma può eliminarlo solo dopo il reboot normale

Alle 07:43:50, durante una scansione pianificata, Microsoft Defender ha identificato correttamente il file come Ransom:Win32/Akira.B!ibt. La rilevazione non è però bastata. La real-time protection era ancora disabilitata dalla modalità provvisoria e le routine di cleanup fallivano con errore 0x80004005, mentre il processo continuava a essere presente sul sistema. Soltanto quando l’attaccante ha riportato il computer alla modalità normale alle 08:10:38 Defender ha recuperato tutte le proprie funzioni e, meno di due minuti dopo, è riuscito a mettere il ransomware in quarantena. L’incidente dimostra una differenza fondamentale tra detection e remediation: riconoscere un file malevolo non garantisce di poterlo terminare o rimuovere se l’attaccante è riuscito a neutralizzare il componente che deve eseguire l’azione. È proprio su questa separazione che lavorano molte tecniche di evasione EDR. Matrice Digitale ha recentemente analizzato framework sviluppati con Cursor AI e Claude per testare bypass di EDR e Windows Defender, mentre l’incidente Akira mostra un approccio molto meno sofisticato dal punto di vista del codice ma potenzialmente altrettanto efficace: cambiare semplicemente la modalità con cui Windows viene avviato.

MFA e telemetria sul boot diventano controlli essenziali

La mitigazione parte molto prima della comparsa dell’encryptor. Huntress raccomanda di individuare burst di autenticazioni VPN fallite contro più username e correlarli con eventuali login riusciti dallo stesso indirizzo IP o ASN. L’uso della MFA su tutti gli account VPN avrebbe interrotto la catena osservata già nella prima fase. Dopo una compromissione devono essere ruotate sia le credenziali VPN sia quelle Active Directory, perché il dump prodotto dagli attaccanti permette di mappare utenti, privilegi e infrastruttura. Sul lato endpoint, Huntress suggerisce di monitorare modifiche alla configurazione di boot tramite msconfig.exe o bcdedit, il Kernel-Boot Event ID 27 contenente SAFEBOOT, il Kernel-General Event ID 12 con BootMode=2 e l’arresto improvviso dei servizi di sicurezza. Un segnale ancora più specifico è l’aggiunta di strumenti come AnyDesk alle chiavi di registro SafeBoot, perché indica la volontà di mantenere un’applicazione di accesso remoto attiva mentre le altre vengono escluse. La stessa attenzione al perimetro resta essenziale: la recente analisi delle vulnerabilità SonicWall insieme a RabbitMQ, ShareFile, AWS e SAP conferma quanto VPN e appliance edge continuino a essere bersagli privilegiati. Nel caso Akira osservato da Huntress non è stata però una nuova vulnerabilità a determinare l’ingresso, ma una combinazione molto più semplice: credenziali valide, assenza di MFA e una finestra operativa sufficiente per trasformare un accesso VPN in esfiltrazione e tentata cifratura dell’intera rete.