Akira désactive les solutions EDR et antivirus en mode sans échec, mais échoue à chiffrer les fichiers

L’accès initial passe par un VPN sans MFA

Un affilié du groupe de ransomware Akira a compromis un réseau d’entreprise après avoir obtenu l’accès à un équipement VPN SonicWall exposé sur Internet et dépourvu d’authentification multifacteur.

L’incident s’est produit le 4 août 2026. La reconstitution rendue publique le 13 août 2026 révèle une chaîne d’attaque menée à bien en moins de cinq heures, bien que le chiffrement des fichiers ait finalement échoué.

L’absence de MFA a permis à l’attaquant de franchir le premier contrôle avec des identifiants valides. La manière dont ces identifiants ont été obtenus reste inconnue, mais l’opération comprenait des activités compatibles avec de la reconnaissance et un possible abus de comptes d’entreprise.

Environ deux heures après sa connexion au VPN, l’intrus a atteint le contrôleur de domaine via RDP. Il a ensuite énuméré les utilisateurs et les ordinateurs présents dans Active Directory, recueillant des informations utiles pour se déplacer latéralement vers un serveur applicatif.

Active Directory, RDP et outils légitimes pour préparer l’attaque

L’activité ne s’est pas limitée à l’accès initial. L’attaquant s’est servi des informations collectées dans Active Directory pour progresser dans le réseau et repérer les systèmes et partages présentant un intérêt.

Sur un système compromis, il a installé AnyDesk, l’utilisant à la fois pour l’accès à distance et pour maintenir une forme de persistance. Le logiciel, habituellement employé pour le support technique, a été intégré à la configuration de démarrage du mode sans échec de Windows.

Pour collecter les données, l’affilié a utilisé WinRAR afin d’archiver des partages réseau montés. Les archives ont ensuite été transférées avec s5cmd, un client de gestion du stockage compatible avec Amazon S3, vers un bucket contrôlé par l’attaquant.

La séquence combine donc des outils d’administration et des applications légitimes : RDP pour le contrôle à distance, les outils Active Directory pour la reconnaissance, WinRAR pour la collecte et s5cmd pour l’exfiltration. Cette approche réduit la dépendance à des malwares personnalisés et peut compliquer la détection reposant uniquement sur les signatures.

Le redémarrage en mode sans échec suspend Huntress et Defender

L’aspect le plus notable de l’attaque concerne l’utilisation du mode sans échec avec prise en charge réseau pour rendre temporairement inefficaces les protections des endpoints.

Via AnyDesk, les attaquants ont redémarré le système en mode sans échec et modifié le registre associé aux services de ce mode. AnyDesk était ainsi lancé automatiquement après le redémarrage, garantissant à nouveau l’accès distant de l’attaquant.

La procédure a désactivé :

• l’agent Huntress MDR/EDR ;
• la protection en temps réel de Microsoft Defender.

L’ordinateur est resté environ 10 minutes sans agent EDR opérationnel ni protection antivirus en temps réel. Le mode sans échec réduit en effet le nombre de services et de pilotes chargés, ce qui peut empêcher le démarrage des contrôles de sécurité habituellement actifs.

Il ne s’agissait toutefois pas d’une désactivation permanente. Une analyse planifiée de Defender a détecté le fichier akira.exe, mais n’a pas pu le supprimer tant que le système était encore en mode sans échec.

Après le retour au mode normal, Defender a réactivé la protection en temps réel et placé la charge utile en quarantaine.

Le ransomware ne chiffre pas les fichiers, mais le vol suffit à faire pression sur la victime

La charge utile d’Akira a été lancée via AnyDesk en mode sans échec. Son exécution a échoué en raison de problèmes de mémoire virtuelle, d’erreurs out-of-memory et d’erreurs liées à PowerShell.

L’échec du lancement a empêché le chiffrement des fichiers, mais il n’a pas annulé l’impact de l’intrusion.

Avant la tentative de chiffrement, l’attaquant avait déjà compromis des identifiants, exploré Active Directory, atteint d’autres systèmes et transféré des données vers une infrastructure S3 sous son contrôle. Les données volées peuvent donc être utilisées pour menacer la victime de les publier ou pour d’autres formes d’extorsion, même sans chiffrement des fichiers.

Cet incident confirme un modèle désormais courant dans les opérations de ransomware : le chiffrement n’est qu’un des leviers disponibles. Le vol de données, l’accès persistant et la compromission de comptes peuvent avoir des conséquences concrètes même lorsque le ransomware ne parvient pas à mener sa mission à terme.

Selon les données promotionnelles du Blue Report 2026, les défenses parviendraient à bloquer 37 % des actions lorsque les attaquants utilisent des identifiants valides. Ce pourcentage provient de 338 millions de simulations menées dans les environnements de production des clients. Il ne décrit pas nécessairement cet incident précis, mais contribue à mettre en perspective l’avantage obtenu par l’attaquant lors de la phase initiale.

Une technique nouvelle pour Akira, mais pas pour les ransomwares

Huntress a décrit cet épisode comme la première observation, dans une attaque attribuée à Akira, d’une technique visant à désactiver les protections via le mode sans échec.

La méthode n’est toutefois pas nouvelle dans le secteur. Des familles de ransomwares telles que Snatch et AvosLocker l’auraient déjà utilisée depuis plusieurs années pour empêcher le chargement des agents EDR et des protections antimalware lors du démarrage du système.

Pour Akira, cette étape ajoute une technique d’évasion à une chaîne déjà composée d’un accès VPN, de l’utilisation d’identifiants, de RDP, de mouvements latéraux et d’exfiltration. L’échec technique de la charge utile a limité les dommages opérationnels, mais n’a pas empêché le vol de données.

Les versions exactes des produits concernés n’ont pas été communiquées.

Contrôles à appliquer et signaux à rechercher

La mesure prioritaire consiste à activer la MFA sur tous les comptes VPN, sans exception pour les utilisateurs considérés comme internes ou privilégiés. Il est également nécessaire de mettre en place des détections contre le credential spraying, en particulier sur les services exposés et les portails d’accès à distance.

Les équipes de sécurité devraient surveiller :

• les redémarrages inhabituels en mode sans échec avec prise en charge réseau ;
• les modifications du registre des services chargés en mode sans échec ;
• l’ajout ou le lancement d’AnyDesk dans cette configuration ;
• la désactivation de l’agent Huntress ou de la protection en temps réel de Defender ;
• les connexions RDP vers les contrôleurs de domaine ;
• l’énumération anormale des utilisateurs et des ordinateurs dans Active Directory ;
• l’utilisation de WinRAR pour créer des archives volumineuses ;
• l’exécution de s5cmd ;
• les transferts vers des buckets Amazon S3 non autorisés ;
• la présence ou le lancement d’akira.exe.

La corrélation entre ces événements est plus utile qu’une alerte isolée. Un redémarrage en mode sans échec peut avoir une justification légitime ; le même événement associé à l’installation d’AnyDesk, à une session RDP sur le contrôleur de domaine et à des transferts S3 constitue en revanche un signal de compromission hautement prioritaire.