Akira trifft den abgesicherten Modus: Ransomware umgeht EDR

Zusammenfassung

Ein Akira-Ransomware-Partner umging EDR-Schutzmaßnahmen, indem er ein kompromittiertes System im abgesicherten Modus mit Netzwerkunterstützung startete. Diese Technik deaktivierte den Huntress-Agenten und den Echtzeitschutz von Microsoft Defender, wodurch der Angreifer mit deutlich reduzierter Sichtbarkeit operieren konnte. Obwohl die Anti-EDR-Taktik die Sicherheitstools erfolgreich blenden konnte, führte das eingeschränkte Speicherumfeld des abgesicherten Modus dazu, dass die Ransomware-Ausführung aufgrund von virtuellen Speichererschöpfungen fehlschlug.

Untersuchung

Die Untersuchung führte den ersten Zugriff auf einen Anmeldedaten-Spray gegen ein SonicWall SSL VPN ohne MFA zurück. Der Angreifer nutzte RDP, um auf einen Domänencontroller zuzugreifen, führte umfangreiche Active Directory-Aufzählungen durch und exfiltrierte Daten mit WinRAR und s5cmd. Analysten rekonstruierten den Einbruch anhand von VPN-Protokollen, Registry-Änderungen, die AnyDesk-Persistenz im abgesicherten Modus ermöglichten, und Systemfehlprotokollen, die Speicherfehler während der Ransomware-Ausführung zeigten.

Minderung

Organisationen sollten Mehrfaktor-Authentifizierung (MFA) über alle VPN-Verbindungen erzwingen und auf Anmeldedaten-Spraying-Aktivitäten überwachen. Die Aufrechterhaltung der EDR-Abdeckung auf Endpunkten und das Einlesen von VPN- sowie Windows-Ereignisprotokollen in ein SIEM sind für die Sichtbarkeit unerlässlich. Sicherheitsteams sollten auch auf Boot-Konfigurationsänderungen mit msconfig.exe or bcdedit alarmieren und unerwartete Neustarts im abgesicherten Modus überwachen.

Antwort

Wenn nicht autorisierter VPN-Zugang oder Anmeldedaten-Spraying erkannt wird, sollten Organisationen sofort betroffene Active Directory- und VPN-Anmeldedaten ändern. Jeder unerwartete Neustart im abgesicherten Modus sollte als potenzieller Kompromiss behandelt und das betroffene System umgehend isoliert werden. Antwortteams sollten auch die AnyDesk-Installation und Registry-Änderungen bezüglich SafeBoot-Dienstkonfigurationen untersuchen.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorab-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die so konzipiert ist, dass sie die Erkennungsregel auslöst. Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und sollen die genaue Telemetrie erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht zusammenhängende Beispiele führen zu Fehldiagnosen.

• Angriffserzählung & Befehle: Der Gegner, der sich ersten Zugang verschafft hat, versucht, Active Directory-Benutzerinformationen zu gewinnen, um die laterale Bewegung zu erleichtern. Sie führen einen Befehl aus, um Benutzerlisten in eine Datei mit dem Namen AdUsers.txtauszugeben. Um diese Daten zur Exfiltration an einen Cloud-Speicherdienst vorzubereiten, verwendet der Gegner WinRAR.exe mit spezifischen Argumenten (a -ep1 -scul -r0 -iext -imon1) um den Archivierungsprozess zu automatisieren und den Metadaten-Fußabdruck zu minimieren. Diese Aktivität ist so gestaltet, dass sie die spezifische Dateinamen- und Befehlszeilen-Mustererkennung der Regel auslöst.

• Regressionstest-Skript:

  # Simulationsskript: Auslösung der WinRAR-Exfiltrations-Erkennung
  
  # 1. 'selection_file_creation' auslösen (Ereignis-ID 11)
  Write-Output "User: Admin, Group: Domain Admins" | Out-File -FilePath "$env:TEMPAdUsers.txt"
  Write-Host "[+] AdUsers.txt im TEMP erstellt"
  
  # 2. 'selection_winrar_args' auslösen (Ereignis-ID 1)
  # Hinweis: WinRAR muss auf dem System installiert sein.
  $winrarPath = "C:Program FilesWinRARWinRAR.exe"
  if (Test-Path $winrarPath) {
      $args = "a -ep1 -scul -r0 -iext -imon1 $env:TEMPexfil_package.rar $env:TEMPAdUsers.txt"
      Start-Process -FilePath $winrarPath -ArgumentList $args -Wait
      Write-Host "[+] WinRAR mit spezifischen Argumenten ausgeführt"
  } else {
      Write-Error "[!] WinRAR nicht gefunden bei $winrarPath. Simulation unvollständig."
  }

• Bereinigungsbefehle:

  # Bereinigung der Simulationsartefakte
  Remove-Item -Path "$env:TEMPAdUsers.txt" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPexfil_package.rar" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPbenign_test_file.txt" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Bereinigung abgeschlossen."