Akira disabilita EDR e antivirus in Safe Mode, ma fallisce la cifratura

L’accesso iniziale parte da una VPN senza MFA

Un affiliato del gruppo ransomware Akira ha compromesso una rete aziendale dopo aver ottenuto accesso a un dispositivo SonicWall VPN esposto su Internet e privo di autenticazione multifattore.

L’incidente è avvenuto il 4 agosto 2026. La ricostruzione resa pubblica il 13 agosto 2026 mostra una catena d’attacco completata in meno di cinque ore, anche se la fase di cifratura dei file non è andata a buon fine.

L’assenza di MFA ha permesso all’attaccante di superare il primo controllo con credenziali valide. Il modo in cui tali credenziali siano state ottenute non è noto, ma l’operazione includeva attività compatibili con la ricognizione e il possibile abuso degli account aziendali.

Circa due ore dopo il login alla VPN, l’intruso ha raggiunto il domain controller utilizzando RDP. Da lì ha enumerato utenti e computer presenti in Active Directory, raccogliendo informazioni utili per il movimento laterale verso un application server.

Active Directory, RDP e strumenti legittimi per preparare l’attacco

L’attività non si è limitata all’accesso iniziale. L’aggressore ha usato le informazioni ricavate da Active Directory per spostarsi nella rete e individuare sistemi e condivisioni di interesse.

Su un sistema compromesso ha installato AnyDesk, sfruttandolo sia per l’accesso remoto sia per mantenere una forma di persistenza. Il software, normalmente impiegato per l’assistenza, è stato integrato nella configurazione di avvio della modalità provvisoria di Windows.

Per raccogliere i dati, l’affiliato ha utilizzato WinRAR per archiviare condivisioni di rete mappate. Gli archivi sono stati poi trasferiti con s5cmd, un client per la gestione di storage compatibile con Amazon S3, verso un bucket controllato dall’attaccante.

La sequenza combina quindi strumenti amministrativi e applicazioni legittime: RDP per il controllo remoto, strumenti di Active Directory per la ricognizione, WinRAR per la raccolta e s5cmd per l’esfiltrazione. Questo riduce la dipendenza da malware personalizzato e può complicare l’individuazione basata esclusivamente sulle firme.

Il riavvio in Safe Mode sospende Huntress e Defender

La parte più rilevante dell’attacco riguarda l’uso di Safe Mode with Networking per rendere temporaneamente inefficaci le difese endpoint.

Attraverso AnyDesk, gli aggressori hanno riavviato il sistema in modalità provvisoria e modificato il registro associato ai servizi di Safe Mode. In questo modo AnyDesk veniva avviato automaticamente anche dopo il riavvio, garantendo nuovamente l’accesso remoto dell’attaccante.

Durante la procedura sono stati disabilitati:

• l’agente Huntress MDR/EDR;
• la protezione in tempo reale di Microsoft Defender.

Il computer è rimasto per circa 10 minuti senza un agente EDR operativo e senza la protezione antivirus in tempo reale. La modalità provvisoria riduce infatti il numero di servizi e driver caricati, creando una condizione che può impedire l’avvio dei controlli di sicurezza normalmente attivi.

Non si è trattato, però, di una disattivazione permanente. Una scansione pianificata di Defender ha rilevato il file akira.exe, ma non ha potuto rimuoverlo mentre il sistema era ancora in Safe Mode.

Dopo il ritorno alla modalità normale, Defender ha ripristinato la protezione in tempo reale e ha messo il payload in quarantena.

Il ransomware non cifra i file, ma il furto resta sufficiente per estorcere la vittima

Il payload di Akira è stato avviato tramite AnyDesk in Safe Mode. La sua esecuzione è fallita per problemi di memoria virtuale, errori out-of-memory ed errori legati a PowerShell.

Il mancato avvio ha impedito la cifratura dei file. Non ha però annullato l’impatto dell’intrusione.

Prima del tentativo di cifratura, l’attaccante aveva già compromesso credenziali, esplorato Active Directory, raggiunto altri sistemi e trasferito dati verso un’infrastruttura S3 sotto il suo controllo. Il materiale sottratto può quindi essere usato per la minaccia di pubblicazione o per altre forme di estorsione, anche in assenza dell’operazione di blocco dei file.

La vicenda conferma un modello ormai comune nelle operazioni ransomware: la cifratura è soltanto una delle leve disponibili. Il furto di dati, l’accesso persistente e la compromissione degli account possono produrre conseguenze concrete anche quando il ransomware non riesce a completare il proprio compito.

Secondo i dati promozionali del Blue Report 2026, le difese riuscirebbero a bloccare il 37% delle azioni quando gli aggressori utilizzano credenziali valide. La percentuale deriva da 338 milioni di simulazioni condotte in ambienti produttivi dei clienti. Il dato non descrive necessariamente questo singolo incidente, ma aiuta a inquadrare il vantaggio ottenuto dall’attaccante nella fase iniziale.

La tecnica è nuova per Akira, non per il ransomware

Huntress ha descritto questo episodio come la prima osservazione della tecnica di disabilitazione delle difese tramite Safe Mode in un attacco attribuito ad Akira.

Il metodo non è però inedito nel settore. Famiglie ransomware come Snatch e AvosLocker lo avrebbero già utilizzato da anni per impedire il caricamento di agenti EDR e protezioni antimalware durante l’avvio del sistema.

Per Akira, il passaggio aggiunge una tecnica di evasione alla catena già composta da accesso VPN, uso di credenziali, RDP, movimento laterale ed esfiltrazione. Il fallimento tecnico del payload ha limitato il danno operativo, ma non ha impedito il furto dei dati.

Le versioni esatte dei prodotti coinvolti non sono state rese note.

Controlli da applicare e segnali da cercare

La misura prioritaria è l’abilitazione della MFA su tutti gli account VPN, senza eccezioni per gli utenti considerati interni o privilegiati. È inoltre necessario implementare rilevamenti contro il credential spraying, soprattutto sui servizi esposti e sui portali di accesso remoto.

I team di sicurezza dovrebbero monitorare:

• riavvii insoliti in Safe Mode with Networking;
• modifiche al registro dei servizi caricati nella modalità provvisoria;
• aggiunta o avvio di AnyDesk in tale configurazione;
• disabilitazione dell’agente Huntress o della protezione in tempo reale di Defender;
• connessioni RDP verso i domain controller;
• enumerazione anomala di utenti e computer in Active Directory;
• uso di WinRAR per creare archivi di grandi dimensioni;
• esecuzione di s5cmd;
• trasferimenti verso bucket Amazon S3 non autorizzati;
• presenza o avvio di akira.exe.

La correlazione tra questi eventi è più utile del singolo allarme. Un riavvio in Safe Mode può avere una motivazione legittima; lo stesso evento associato all’installazione di AnyDesk, a una sessione RDP sul domain controller e a trasferimenti S3 costituisce invece un segnale di compromissione ad alta priorità.