Akira Ransomware: Vollständiger Leitfaden

Akira wurde erstmals im März 2023 entdeckt und ist eine Ransomware, die auf Windows- und Linux-Systeme abzielt. Es ist schnell aufgetaucht und hat mehrere Opfer in Organisationen aus verschiedenen Ländern gefordert. Akira zielt auch auf verschiedene Branchen ab. Es ist wichtig zu warnen, dass es für diesen Akira keine bekannten Beweise dafür gibt, dass er mit einem anderen Ransomware-Stamm mit demselben Namen aus dem Jahr 2017 in Zusammenhang steht. Experten fanden Ähnlichkeiten zwischen Akira und Conti-Ransomware, wie z. B. der Ausschlussliste für Dateitypen, der Ausschlussliste für Verzeichnisse und der Struktur des Dateiendes. Dies deutet darauf hin, dass die Autoren durchgesickerten Conti-Ransomware-Quellcode verwendet haben. Im Juni 2023Avast hat einen kostenlosen Akira-Entschlüsseler für Windows veröffentlichtund arbeitet am Linux-Varianten-Entschlüsseler. Dies bedeutet jedoch nicht, dass Akira keine Bedrohung für Unternehmen und Organisationen weltweit darstellt. Das liegt daran, dass Akira-Ransomware-Akteure damit drohen, die von ihnen gestohlenen Daten preiszugeben. Daher ist die Arbeit an der Prävention die beste Lösung gegen Akira-Ransomware.

Was für eine Malware ist Akira?

Akira-Ransomware ist eine Crypto-Ransomware, die Daten verschlüsselt und die Dateinamen aller betroffenen Dateien durch Anhängen der Erweiterung „.akira“ ändert. Es handelt sich um eine neue Familie von Ransomware, die erstmals im März 2023 bei Cyberkriminalitätsangriffen eingesetzt wurde. Akira-Ransomware verbreitet sich innerhalb eines Unternehmensnetzwerks und zielt auf mehrere Geräte ab, sobald sie Zugriff erhält. Bevor die Ransomware Dateien verschlüsselt, meidet sie bestimmte Ordner, darunter Papierkorb, Systemdatenträgerinformationen, Boot, ProgramData und Windows sowie bestimmte Windows-Systemdateien mit .exe, .lnk, .dll, .msi und .sys Erweiterungen. Die Windows- und Linux-Versionen der Akira-Ransomware sind sich in der Art und Weise, wie sie Geräte verschlüsseln, sehr ähnlich, aber die Linux-Version verwendet die Crypto++-Bibliothek anstelle von Windows CryptoAPI. Sie exfiltriert die sensiblen und kritischen Daten der Opfer, bevor sie sie verschlüsselt, und droht dann, sie preiszugeben, wenn sie das Lösegeld nicht zahlen. Diese als doppelte Erpressung bekannte Taktik ist eine gängige Profitmethode für Hacker. Akira verwendet eine Kombination aus AES- und RSA-Verschlüsselung, um die Dateien der Opfer zu sperren. Der Advanced Encryption Standard (AES) ist eine starke Verschlüsselung, die auch für die Cybersicherheit eingesetzt wird. Der Verschlüsselungsalgorithmus Rivest-Shamir-Adleman (RSA) ist ein asymmetrischer Verschlüsselungsalgorithmus.

Alles, was wir über Akira-Ransomware wissen

Diese Liste enthält grundlegende Informationen über den neuen Ransomware-Typ Akira.Bestätigter Name

• Akira-Virus

Bedrohungstyp

• Ransomware
• Kryptovirus
• Aktenschrank
• Doppelte Erpressung

Erweiterung für verschlüsselte Dateien

• .akira

Lösegeldfordernde Nachricht

• akira_readme.txt

Erkennungsnamen

• AvastWin64:RansomX-gen [Ransom]

• DurchschnittlichWin64:RansomX-gen [Ransom]

• EmsisoftGen:Variant.Midie.124870 (B)

• KasperskyTrojan-Ransom.Win64.Akira.a

• MalwarebytesMalware.as.21800722

• MicrosoftLösegeld:Win64/Akira.GID!MTB

Ransomware-Familie, Typ und Variante

• Die Akira-Ransomware basiert auf dem durchgesickerten Quellcode der Conti-Ransomware
• Dabei handelt es sich nicht um dieselbe Akira-Ransomware aus dem Jahr 2017

Verteilungsmethoden

• Trojaner

• Schwache Referenzen
• Drive-by-Download-Angriffe
• Phishing-E-Mails
• Schädliche Websites

Konsequenzen

Empfohlene Lektüre:

• Datenexfiltration
• Dateiverschlüsselung
• Ransomware verbreitet sich durch laterale Bewegung

Gibt es einen kostenlosen Entschlüsseler?

Ja. Obwohl es sich bei Akira um eine aktuelle Malware handelt (erstmals im März 2023 entdeckt), veröffentlichte Avast im Juni 2023 einekostenloser Entschlüsselungsschlüsselfür 64-Bit- und 32-Bit-Windows-Systeme. Avast empfiehlt dringend die Verwendung von64-Bit-Entschlüsseler, da die Ransomware ebenfalls 64-Bit ist. Wenn Ihr System dies jedoch nicht unterstützt, haben sie auch eine veröffentlicht32-Bit-Entschlüsseler.

Akira-Ransomware-Symptome

• Verschlüsselte Daten mit der Erweiterung .akira, die den Dateinamen aller betroffenen Dateien hinzugefügt wurde

• Auf dem Desktop und in jedem Ordner erscheint eine Lösegeldforderung, in der in herablassendem Ton erklärt wird, dass die Zahlung des Lösegelds der einfachste Weg ist, das Unternehmen wieder normal funktionieren zu lassen.
• Die Technik der doppelten Erpressung, bei der die Angreifer die Daten des Opfers exfiltrieren und verschlüsseln und damit drohen, die gestohlenen Daten zu verkaufen oder im Dark Web preiszugeben, wenn das Lösegeld nicht gezahlt wird
• Eindringen in Unternehmensnetzwerke und seitliche Ausbreitung auf andere Geräte
• Als legitimer Inhalt getarnt, was dazu führt, dass Opfer die Malware unwissentlich selbst ausführen

Was steht in Akiras Lösegeldschein?

Der Lösegeldschein von Akira hat einen herablassenden Ton und erklärt die Schritte, die Opfer unternehmen müssen, um ihre Daten wiederherzustellen. Außerdem gibt es für jedes Opfer ein einzigartiges Passwort, das es für Verhandlungen mit der Hackergruppe verwenden kann. In der Notiz heißt es, dass der einfachste Weg, das Unternehmen wieder normal funktionieren zu lassen, darin bestehe, das Lösegeld zu zahlen.Zahlen Sie kein Lösegeld und verhandeln Sie nicht mit den Bedrohungsakteuren. Wenden Sie sich umgehend an die Experten von SalvageData, um Ihre Dateien wiederherzustellen, und an die örtlichen Behörden, um die Ransomware zu melden.

Wie infiziert Akira einen Computer oder ein Netzwerk?

Akira-Ransomware ist eine gefährliche Malware, die einen Computer oder ein Netzwerk auf verschiedene Arten infizieren kann, darunter:

• Spam- und Phishing-E-Mails, die vorgeben, seriöse Unternehmen zu sein. Betrüger versenden E-Mails, die scheinbar von seriösen Unternehmen wie PayPal, UPS, FedEx und anderen stammen. Diese E-Mails enthalten Links oder Anhänge, die Ihre Daten und Ihr Netzwerk gefährden. Ein Klick auf einen Link oder ein Download eines Anhangs kann dazu führen, dass alle Personen aus Ihrem Netzwerk ausgeschlossen werden.

• Trojaner.Ein Trojaner ist eine Art Software, die verspricht, eine Aufgabe auszuführen, aber eine andere, meist bösartige, ausführt. Sie bestehen aus gefälschten Programmen, Anhängen und anderen Dateitypen und täuschen die Opfer.
• Infiltriertes Netzwerk.Ransomware dringt in ein Unternehmensnetzwerk ein und verbreitet sich seitlich auf andere Geräte. Vor der Verschlüsselung von Dateien meidet die Ransomware bestimmte Ordner und bestimmte Windows-Systemdateien mit den Erweiterungen .exe, .lnk, .dll, .msi und .sys.
• Schädliche Websites.Infizierte Websites laden automatisch Malware auf den Computer oder das Netzwerk des Opfers herunter.
• Geknackte Softwareinstallationen.Hacker nutzen Obfuscator-Technologie in Kombination mit anderen Methoden, um das Gerät zu infizieren, ohne dass der Benutzer es merkt. Geknackte Softwareinstallationen ermöglichen das Eindringen schädlicher Dateien in das System.

Wie funktioniert die Akira-Ransomware?

Sobald die Akira-Ransomware Zugriff auf einen Computer oder ein Netzwerk erhält, verschlüsselt sie die Dateien des Opfers mithilfe ausgefeilter Verschlüsselungsalgorithmen. Den Dateien des Opfers wird die Erweiterung .akira angehängt. Die Ransomware dringt in ein Unternehmensnetzwerk ein und breitet sich seitlich auf andere Geräte aus. Bevor die Daten verschlüsselt werden, sagte AkiraRansomware wird sich im gesamten Netzwerk verbreitenVerwendung des Remote Desktop Protocol (RDP). Aus diesem Grund ist es wichtig, das Netzwerk zu segmentieren und den Zugriff von Benutzern auf Daten zu blockieren, die sie für die Ausführung ihrer Aufgaben nicht benötigen. Dadurch wird verhindert, dass sich Bedrohungen über seitliche Bewegungen ausbreiten. Akira löscht auch Schattenkopien und Backups aus dem System. Der Akira-Ransomware-Angriffsprozess umfasst zwei Hauptphasen: Exfiltration und Verschlüsselung. Hier ist eine Aufschlüsselung des Prozesses:

Exfiltration

Bevor die Cyberkriminellen die Verschlüsselungsroutine der Akira-Ransomware auslösen und eine Lösegeldforderung stellen, exfiltrieren sie Daten aus gehackten Unternehmensnetzwerken. Akira-Ransomware nutzt in der Regel die eigenen Ressourcen der Maschine, um Daten zu exfiltrieren, wodurch die Systemressourcen stark belastet werden. Anschließend exfiltrieren die Angreifer die Daten des Opfers und drohen, die gestohlenen Daten zu verkaufen oder im Darknet preiszugeben, wenn das Lösegeld nicht gezahlt wird. Ihre Leak-Website hat ein Retro-Design, das an die Green-Screen-Konsolen der 1980er Jahre erinnert, und hat ihren Namen möglicherweise vom beliebten gleichnamigen Anime-Film aus dem Jahr 1988.

Verschlüsselung

Vor dem Verschlüsseln von Dateien meidet die Ransomware bestimmte Ordner, darunter den Papierkorb, die Systemdatenträgerinformationen, Boot, ProgramData und Windows sowie bestimmte Windows-Systemdateien mit den Erweiterungen .exe, .lnk, .dll, .msi und .sys. Akira Ransomware verschlüsselt die Dateien des Opfers mithilfe ausgefeilter Verschlüsselungsalgorithmen wie AES-256. Sobald die Verschlüsselung abgeschlossen ist, werden die Dateien des Opfers gesperrt und es kann nicht mehr darauf zugegriffen werden.

Wie man mit einem Akira-Ransomware-Angriff umgeht

Der erste Schritt zur Wiederherstellung nach dem Akira-Angriff besteht darin, den infizierten Computer zu isolieren, indem man ihn vom Internet trennt und alle angeschlossenen Geräte entfernt. Dann müssen Sie sich an die örtlichen Behörden wenden. Für US-Bürger und Unternehmen ist es dasörtliche FBI-Außenstelleund dieBeschwerdestelle für Internetkriminalität (IC3).Um einen Ransomware-Angriff zu melden, müssen Sie alle verfügbaren Informationen darüber sammeln, einschließlich:

• Screenshots der Lösegeldforderung
• Kommunikation mit Akira-Schauspielern (falls vorhanden)
• Ein Beispiel einer verschlüsselten Datei

Allerdings, wenn Sie es vorziehenwenden Sie sich an Fachleute, dann tun Sie nichts.Lassen Sie jeden infizierten Computer so, wie er istund bitte um eineNotfall-Ransomware-Entfernungsdienst. Ein Neustart oder Herunterfahren des Systems kann den Wiederherstellungsdienst beeinträchtigen. Das Erfassen des RAM eines Live-Systems kann dabei helfen, den Verschlüsselungsschlüssel zu erhalten, und das Erfassen einer Dropper-Datei könnte ein Reverse Engineering sein und zur Entschlüsselung der Daten oder zum Verständnis ihrer Funktionsweise führen. Das müssen Sie tunLöschen Sie die Ransomware nicht, und bewahren Sie alle Beweise des Angriffs auf. Das ist wichtig fürDigitale ForensikSo können Experten die Hackergruppe zurückverfolgen und identifizieren. Durch die Nutzung der Daten auf Ihrem infizierten System können Behörden dies tunUntersuchen Sie den Angriff und finden Sie die Verantwortlichen.Eine Untersuchung eines Cyberangriffs unterscheidet sich nicht von jeder anderen strafrechtlichen Untersuchung: Es werden Beweise benötigt, um die Angreifer zu finden.

1. Kontaktieren Sie Ihren Incident Response-Anbieter

Eine Reaktion auf Cybervorfälle ist der Prozess der Reaktion auf und der Bewältigung eines Cybersicherheitsvorfalls. Ein Incident Response Retainer ist ein Servicevertrag mit einem Cybersicherheitsanbieter, der es Unternehmen ermöglicht, bei Cybersicherheitsvorfällen externe Hilfe in Anspruch zu nehmen. Es bietet Organisationen eine strukturierte Form von Fachwissen und Unterstützung durch einen Sicherheitspartner, sodass sie im Falle eines Cyber-Vorfalls schnell und effektiv reagieren können. Ein Incident-Response-Retainer gibt Organisationen Sicherheit und bietet fachkundige Unterstützung vor und nach einem Cyber-Sicherheitsvorfall. Die spezifische Art und Struktur eines Incident-Response-Retainers variiert je nach Anbieter und den Anforderungen der Organisation. Ein guter Incident Response Retainer sollte robust, aber flexibel sein und bewährte Dienste bereitstellen, um die langfristige Sicherheitslage eines Unternehmens zu verbessern. Wenn Sie sich an Ihren IR-Dienstleister wenden, kümmert er sich um alles Weitere. Wenn Sie sich jedoch dazu entschließen, die Ransomware zu entfernen und die Dateien gemeinsam mit Ihrem IT-Team wiederherzustellen, können Sie die nächsten Schritte befolgen.

2. Identifizieren Sie die Ransomware-Infektion

Du kannstIdentifizieren Sie, um welche Ransomware es sich handeltIhren Computer mit der Dateierweiterung infiziert (einige Ransomware verwendet die Dateierweiterung als Namen), oder sie steht auf dem Lösegeldschein. Mit diesen Informationen können Sie nach einem öffentlichen Entschlüsselungsschlüssel suchen. Sie können den Ransomware-Typ auch anhand seiner IOCs überprüfen. Indicators of Compromise (IOCs) sind digitale Hinweise, die Cybersicherheitsexperten verwenden, um Systemkompromittierungen und böswillige Aktivitäten innerhalb eines Netzwerks oder einer IT-Umgebung zu identifizieren. Dabei handelt es sich im Wesentlichen um digitale Versionen von Beweisen, die an einem Tatort zurückgelassen wurden. Zu den potenziellen IOCs gehören ungewöhnlicher Netzwerkverkehr, privilegierte Benutzeranmeldungen aus dem Ausland, seltsame DNS-Anfragen, Änderungen an Systemdateien und mehr. Wenn ein IOC entdeckt wird, bewerten Sicherheitsteams mögliche Bedrohungen oder überprüfen seine Authentizität. IOCs liefern auch Hinweise darauf, worauf ein Angreifer Zugriff hatte, wenn er tatsächlich in das Netzwerk eindrang.

Akira Ransomware IOCs

Kompromittierungsindikatoren (Indicators of Compromise, IOCs) sind Artefakte, die in einem Netzwerk oder in einem Betriebssystem beobachtet werden und mit hoher Sicherheit auf einen Computereinbruch hinweisen. IOCs können zur Früherkennung künftiger Angriffsversuche mithilfe von Intrusion-Detection-Systemen und Antivirensoftware eingesetzt werden.Windows-Versionen

• 3c92bfc71004340ebc00146ced294bc94f49f6a5e212016ac05e7d10fcb3312c
• 5c62626731856fb5e669473b39ac3deb0052b32981863f8cf697ae01c80512e5
• 678ec8734367c7547794a604cc65e74a0f42320d85a6dce20c214e3b4536bb33
• 7b295a10d54c870d59fab3a83a8b983282f6250a0be9df581334eb93d53f3488
• 8631ac37f605daacf47095955837ec5abbd5e98c540ffd58bb9bf873b1685a50
• 1b6af2fbbc636180dd7bae825486ccc45e42aefbb304d5f83fafca4d637c13cc
• 9ca333b2e88ab35f608e447b0e3b821a6e04c4b0c76545177890fb16adcab163
• d0510e1d89640c9650782e882fe3b9afba00303b126ec38fdc5f1c1484341959
• 6cadab96185dbe6f3a7b95cf2f97d6ac395785607baa6ed7bf363deeb59cc360

Linux-Version

• 1d3b5c650533d13c81e325972a912e3ff8776e36e18bca966dae50735f8ab296

3. Entfernen Sie die Ransomware und beseitigen Sie Exploit-Kits

Bevor Sie Ihre Daten wiederherstellen, müssen Sie sicherstellen, dass Ihr Gerät frei von Ransomware ist und dass die Angreifer keinen neuen Angriff durch Exploit-Kits oder andere Schwachstellen starten können. Ein Ransomware-Entfernungsdienst kann die Ransomware löschen, ein forensisches Dokument zur Untersuchung erstellen, Schwachstellen beseitigen und Ihre Daten wiederherstellen. Verwenden Sie Anti-Malware-/Anti-Ransomware-Software, um die Schadsoftware unter Quarantäne zu stellen und zu entfernen.

Wichtig:Indem Sie sich an Ransomware-Entfernungsdienste wenden, können Sie sicherstellen, dass auf Ihrem Computer und in Ihrem Netzwerk keine Spuren der Akira-Ransomware vorhanden sind. Außerdem können diese Dienste Ihr System patchen und so neue Angriffe verhindern.

4. Verwenden Sie ein Backup, um die Daten wiederherzustellen

Backups sind die effizienteste Möglichkeit, Daten wiederherzustellen. Stellen Sie sicher, dass Sie abhängig von Ihrer Datennutzung tägliche oder wöchentliche Backups erstellen.

5. Wenden Sie sich an einen Ransomware-Wiederherstellungsdienst

Wenn Sie kein Backup haben oder Hilfe beim Entfernen der Ransomware und der Beseitigung von Schwachstellen benötigen, sollten Sie sich an einen Datenrettungsdienst wenden. Die Zahlung des Lösegelds ist keine Garantie dafür, dass Ihre Daten an Sie zurückgegeben werden. Die einzige garantierte Möglichkeit, jede Datei wiederherzustellen, besteht darin, ein Backup davon zu haben. Wenn Sie dies nicht tun, können Ihnen Ransomware-Datenwiederherstellungsdienste dabei helfen, die Dateien zu entschlüsseln und wiederherzustellen. SalvageData-Experten können Ihre Dateien sicher wiederherstellen und verhindern, dass die Akira-Ransomware Ihr Netzwerk erneut angreift. Außerdem bieten wir einedigitaler forensischer Berichtdie Sie für weitere Untersuchungen und zum Verständnis des Cyber-Angriffs verwenden können. Kontaktieren Sie unsere Experten rund um die Uhr für einen Notfall-Wiederherstellungsdienst.

Verhindern Sie den Akira-Ransomware-Angriff

Die beste Lösung für die Datensicherheit ist die Verhinderung von Ransomware. ist einfacher und billiger, als sich davon zu erholen. Akira-Ransomware kann die Zukunft Ihres Unternehmens kosten und sogar zum Scheitern bringen. Dies sind ein paar Tipps, um sicherzustellen, dass Sie es könnenVermeiden Sie Ransomware-Angriffe:

• Antivirus und Anti-Malware
• Nutzen Sie Cybersicherheitslösungen
• Verwenden Sie starke Passwörter
• Aktualisierte Software
• Aktualisiertes Betriebssystem (OS)
• Firewalls
• Halten Sie einen Wiederherstellungsplan bereit (in unserem ausführlichen Leitfaden erfahren Sie, wie Sie einen Datenwiederherstellungsplan erstellen)
• Planen Sie regelmäßige Backups
• Öffnen Sie keinen E-Mail-Anhang von einer unbekannten Quelle
• Laden Sie keine Dateien von verdächtigen Websites herunter
• Klicken Sie nicht auf Anzeigen, es sei denn, Sie sind sicher, dass dies sicher ist
• Greifen Sie nur auf Websites aus vertrauenswürdigen Quellen zu