La tactique a désactivé les défenses des points finaux comme prévu, mais a également accidentellement interrompu le processus de cryptage du ransomware.
Les affiliés du ransomware Akira ont été vus en train d’utiliser une nouvelle technique pour échapper à la détection et à la réponse des points finaux (EDR), en redémarrant un système Windows compromis en mode sans échec avec la mise en réseau activée.
Selon Huntress, la technique a réussi à mettre hors ligne la protection en temps réel de son agent et de Microsoft Defender. Selon les chercheurs, cela a donné à l’attaquant une fenêtre pour opérer sans défense des points finaux.
L’incident sur lequel Huntress a enquêté a commencé le 4 août par une attaque par pulvérisation d’informations d’identification contre un VPN SSL SonicWall exposé. Environ sept minutes après le début des tentatives de connexion infructueuses, un attaquant a réussi à s’authentifier sur un compte sur lequel l’authentification multifacteur (MFA) n’était pas activée, a déclaré l’analyste de Huntress, James Northey, dans un article de blog.
Deux heures après la gestion de l’authentification, l’opérateur aurait accédé au contrôleur de domaine via RDP, effectué une énumération Active Directory approfondie, puis aurait migré vers un serveur d’applications pour archiver les partages de fichiers mappés avec WinRAR.
Les données volées ont été téléchargées vers un compartiment S3 contrôlé par un attaquant à l’aide de s5cmd, établissant ainsi le composant de vol de données d’une attaque à double extorsion.
Finalement, AnyDesk a été installé sur la machine hôte pour un accès à distance persistant et pour fournir la charge utile du ransomware Akira. C’est à ce moment-là que l’opérateur a utilisé « msconfig.exe » pour forcer la machine en mode sans échec avec mise en réseau, au lieu de désactiver directement EDR.
Huntress dit que c’est la première fois qu’elle observe Akira en utilisant cette technique.
Le mode sans échec devient une technique de ransomware populaire
Le mode sans échec est normalement un environnement de dépannage Windows qui charge uniquement les pilotes et services essentiels. Cela le rend utile aux attaquants, car de nombreux produits de sécurité tiers sont exclus de la configuration minimale de démarrage.
Anticipant qu’AnyDesk lui-même pourrait également être indisponible en mode sans échec, les attaquants ont modifié la configuration du registre Safe Boot pour garantir le démarrage du service d’accès à distance.
L’approche n’est pas entièrement nouvelle. Huntress a souligné les familles de ransomwares, notamment Snatch et AvosLocker, qui utilisent le mode sans échec pour désactiver les défenses depuis des années. MITRE ATT&CK suit le comportement comme T1688, altère les défenses : démarrage en mode sans échec.
Akira adoptant cette technique s’aligne désormais sur ses récentes tentatives d’opérer en dehors de la couverture EDR. Plus tôt cette année, une filiale d’Akira aurait créé une nouvelle machine virtuelle sur l’hyperviseur d’une victime spécifiquement pour exécuter le chiffreur là où Huntress n’était pas installé.
La décision anti-EDR a accidentellement arrêté le ransomware
La technique, cependant, n’a pas produit le résultat souhaité par l’attaquant, a noté Northey. Après le lancement de « akira.exe » en mode sans échec, le système a commencé à signaler des pannes de mémoire virtuelle. Huntress a observé des erreurs « Mémoire virtuelle minimale trop faible » et « Mémoire virtuelle insuffisante », suivies de pannes PowerShell.
Le ransomware n’a apparemment pas pu fonctionner correctement dans l’environnement contraint du mode sans échec.
Defender a finalement détecté le binaire Akira, mais n’a pas pu y remédier tant que la protection en temps réel n’était pas disponible. Le fichier n’a été mis en quarantaine qu’après que l’attaquant a redémarré la machine en fonctionnement normal de Windows, rétablissant ainsi la protection de Defender.
Huntress prévient de ne pas prendre l’échec du chiffrement de manière trop positive. L’échec, selon le communiqué, était probablement un effet secondaire des besoins en ressources d’Akira plutôt qu’une défense fiable. Plus de mémoire, un fichier d’échange plus volumineux ou des modifications apportées au chiffreur pourraient permettre à une future version de fonctionner en mode sans échec.
La priorité reste donc la détection avant redémarrage. Huntress a recommandé aux organisations d’exiger l’authentification MFA sur chaque compte VPN, de corréler les rafales d’échecs de connexion VPN avec les authentifications réussies ultérieures et de déployer EDR sur tous les hôtes. Huntress a également conseillé de surveiller les flux SIEM pour l’activité « msconfig.exe » ou « bccedit », les événements de démarrage en mode sans échec, l’arrêt du service de sécurité et les ajouts à la configuration du registre de démarrage sécurisé.
