Akira deaktiviert EDR und Antivirus im abgesicherten Modus, scheitert jedoch an der Verschlüsselung

Der Erstzugriff erfolgt über ein VPN ohne MFA

Ein Partner der Ransomware-Gruppe Akira kompromittierte ein Unternehmensnetzwerk, nachdem er Zugriff auf ein im Internet erreichbares SonicWall-VPN ohne Multifaktor-Authentifizierung erlangt hatte.

Der Vorfall ereignete sich am 4. August 2026. Die am 13. August 2026 veröffentlichte Rekonstruktion zeigt eine Angriffskette, die in weniger als fünf Stunden abgeschlossen war, obwohl die Dateiverschlüsselung erfolglos blieb.

Das Fehlen von MFA ermöglichte es dem Angreifer, die erste Sicherheitskontrolle mit gültigen Zugangsdaten zu überwinden. Wie diese Zugangsdaten erlangt wurden, ist unbekannt. Die Aktivitäten umfassten jedoch Vorgänge, die mit Aufklärung und einem möglichen Missbrauch von Unternehmenskonten vereinbar sind.

Etwa zwei Stunden nach der VPN-Anmeldung erreichte der Eindringling per RDP den Domain Controller. Anschließend enumerierte er Benutzer und Computer in Active Directory und sammelte Informationen für die laterale Bewegung zu einem Application Server.

Active Directory, RDP und legitime Tools zur Vorbereitung des Angriffs

Die Aktivitäten beschränkten sich nicht auf den Erstzugriff. Der Angreifer nutzte die aus Active Directory gewonnenen Informationen, um sich im Netzwerk zu bewegen und relevante Systeme sowie Freigaben zu identifizieren.

Auf einem kompromittierten System installierte er AnyDesk, sowohl für den Fernzugriff als auch zur Aufrechterhaltung einer Form von Persistenz. Die normalerweise für Supportzwecke eingesetzte Software wurde in die Startkonfiguration des abgesicherten Windows-Modus integriert.

Zur Datensammlung verwendete der Partner WinRAR, um eingebundene Netzwerkfreigaben zu archivieren. Die Archive wurden anschließend mit s5cmd, einem Client zur Verwaltung von Amazon-S3-kompatiblem Storage, in einen vom Angreifer kontrollierten Bucket übertragen.

Die Angriffskette kombiniert somit administrative Tools und legitime Anwendungen: RDP für die Fernsteuerung, Active-Directory-Tools zur Aufklärung, WinRAR zur Datensammlung und s5cmd zur Exfiltration. Dadurch sinkt die Abhängigkeit von maßgeschneiderter Malware, und eine Erkennung ausschließlich anhand von Signaturen kann erschwert werden.

Der Neustart im abgesicherten Modus setzt Huntress und Defender außer Kraft

Der wichtigste Teil des Angriffs war die Nutzung von Safe Mode with Networking, um den Endpoint-Schutz vorübergehend unwirksam zu machen.

Über AnyDesk starteten die Angreifer das System im abgesicherten Modus neu und änderten die Registrierungseinträge für die Dienste des abgesicherten Modus. Dadurch wurde AnyDesk auch nach dem Neustart automatisch gestartet und gewährte dem Angreifer erneut Fernzugriff.

Dabei wurden folgende Schutzmechanismen deaktiviert:

• der Huntress-MDR/EDR-Agent;
• der Echtzeitschutz von Microsoft Defender.

Der Computer war etwa 10 Minuten lang ohne aktiven EDR-Agenten und ohne Echtzeit-Antivirenschutz. Im abgesicherten Modus werden weniger Dienste und Treiber geladen, wodurch Sicherheitskontrollen, die normalerweise aktiv sind, möglicherweise nicht gestartet werden.

Die Deaktivierung war jedoch nicht dauerhaft. Ein geplanter Defender-Scan erkannte die Datei akira.exe, konnte sie aber nicht entfernen, solange sich das System noch im abgesicherten Modus befand.

Nach der Rückkehr in den normalen Modus stellte Defender den Echtzeitschutz wieder her und verschob die Payload in die Quarantäne.

Die Ransomware verschlüsselt keine Dateien, der Datendiebstahl reicht jedoch zur Erpressung aus

Die Akira-Payload wurde über AnyDesk im abgesicherten Modus gestartet. Ihre Ausführung scheiterte aufgrund von Problemen mit dem virtuellen Speicher, Out-of-Memory-Fehlern und PowerShell-bezogenen Fehlern.

Der fehlgeschlagene Start verhinderte die Dateiverschlüsselung. Die Auswirkungen des Eindringens wurden dadurch jedoch nicht aufgehoben.

Vor dem Verschlüsselungsversuch hatte der Angreifer bereits Zugangsdaten kompromittiert, Active Directory erkundet, weitere Systeme erreicht und Daten in eine von ihm kontrollierte S3-Infrastruktur übertragen. Das gestohlene Material kann daher für die Drohung einer Veröffentlichung oder andere Formen der Erpressung genutzt werden – auch ohne erfolgreiche Dateiverschlüsselung.

Der Vorfall bestätigt ein inzwischen verbreitetes Muster bei Ransomware-Angriffen: Die Verschlüsselung ist nur eine von mehreren verfügbaren Druckmitteln. Datendiebstahl, persistenter Zugriff und kompromittierte Konten können auch dann konkrete Folgen haben, wenn die Ransomware ihre eigentliche Aufgabe nicht abschließen kann.

Laut den Werbeangaben des Blue Report 2026 sollen Abwehrmaßnahmen 37 % der Aktionen blockieren, wenn Angreifer gültige Zugangsdaten verwenden. Der Wert basiert auf 338 Millionen Simulationen in den Produktivumgebungen der Kunden. Er beschreibt nicht zwangsläufig diesen konkreten Vorfall, hilft jedoch dabei, den Vorteil des Angreifers in der Anfangsphase einzuordnen.

Die Technik ist für Akira neu, nicht jedoch für Ransomware

Huntress bezeichnete diesen Vorfall als die erste Beobachtung der Technik, Schutzmaßnahmen mithilfe des abgesicherten Modus in einem Akira zugeschriebenen Angriff zu deaktivieren.

Die Methode ist in der Branche jedoch nicht neu. Ransomware-Familien wie Snatch und AvosLocker sollen sie bereits seit Jahren einsetzen, um das Laden von EDR-Agenten und Antimalware-Schutz während des Systemstarts zu verhindern.

Für Akira erweitert dieser Schritt die Angriffskette aus VPN-Zugriff, Verwendung von Zugangsdaten, RDP, lateraler Bewegung und Exfiltration um eine Umgehungstechnik. Das technische Scheitern der Payload begrenzte den operativen Schaden, verhinderte den Datendiebstahl jedoch nicht.

Die genauen Versionen der betroffenen Produkte wurden nicht bekannt gegeben.

Umzusetzende Kontrollen und zu beobachtende Signale

Die wichtigste Maßnahme ist die Aktivierung von MFA für alle VPN-Konten, ohne Ausnahmen für als intern oder privilegiert eingestufte Benutzer. Zudem sollten Erkennungsmechanismen gegen Credential Spraying implementiert werden, insbesondere für exponierte Dienste und Portale für den Fernzugriff.

Sicherheitsteams sollten Folgendes überwachen:

• ungewöhnliche Neustarts in Safe Mode with Networking;
• Änderungen an der Registrierung für Dienste, die im abgesicherten Modus geladen werden;
• Installation oder Start von AnyDesk in dieser Konfiguration;
• Deaktivierung des Huntress-Agenten oder des Defender-Echtzeitschutzes;
• RDP-Verbindungen zu Domain Controllern;
• ungewöhnliche Enumeration von Benutzern und Computern in Active Directory;
• Verwendung von WinRAR zur Erstellung großer Archive;
• Ausführung von s5cmd;
• Übertragungen zu nicht autorisierten Amazon-S3-Buckets;
• Vorhandensein oder Start von akira.exe.

Die Korrelation dieser Ereignisse ist hilfreicher als ein einzelner Alarm. Ein Neustart im abgesicherten Modus kann einen legitimen Grund haben. Tritt er jedoch gemeinsam mit der Installation von AnyDesk, einer RDP-Sitzung auf dem Domain Controller und S3-Übertragungen auf, ist dies ein hochprioritäres Kompromittierungssignal.