📅 Source : Stoïk Labs (https://labs.stoik.io), publié le 14 octobre 2026. Rapport d’incident post-mortem d’une intrusion attribuée au groupe Akira, investigué par le Stoïk CERT chez un cabinet d’ingénierie européen de taille intermédiaire.

🎯 Vecteur initial L’intrusion débute sur le poste de travail Windows d’un ingénieur après la visite d’un site de camp sportif compromis. Un prompt ClickFix incite l’utilisateur à coller une commande dans la boîte de dialogue Exécuter (Windows Run), déclenchant l’infection initiale.

🔑 Escalade de privilèges Deux jours après l’accès initial, l’opérateur interroge l’annuaire Active Directory pour récupérer les attributs Description et Comment des utilisateurs. Trente-huit minutes plus tard, un accès Domain Administrator est obtenu. Le CERT évalue comme probable la récupération de credentials depuis ces champs d’annuaire. Aucun outil de credential dumping n’a été retrouvé dans les preuves disponibles.

💻 Chiffrement via VM attaquante L’attaquant construit une machine virtuelle dédiée sur l’hyperviseur compromis. Il arrête six VMs de production, attache leurs disques à sa VM et exécute un encrypteur unique contre douze volumes montés. Les agents de sécurité installés dans les VMs victimes, hors tension, ne peuvent pas observer l’exécution. Au total, 485 224 fichiers sont chiffrés, dont certains sur des serveurs Windows qui étaient éteints au moment du chiffrement.

📋 Points d’attention identifiés

  • Attributs d’annuaire AD lisibles en clair (Description, Comment) contenant potentiellement des credentials
  • Contrôle total d’un hyperviseur compromis sur les disques virtuels des VMs victimes, contournant les agents de sécurité

📄 Type d’article : Post-mortem / rapport d’incident technique produit par le Stoïk CERT, visant à documenter la chaîne d’attaque complète d’une intrusion Akira pour alimenter la threat intelligence.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1189 — Drive-by Compromise (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1087.002 — Account Discovery: Domain Account (Discovery)
  • T1552.004 — Unsecured Credentials: Private Keys (Credential Access)
  • T1078.002 — Valid Accounts: Domain Accounts (Privilege Escalation)
  • T1484 — Domain Policy Modification (Defense Evasion)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1564.006 — Hide Artifacts: Run Virtual Instance (Defense Evasion)

Malware / Outils

  • Akira ransomware (ransomware)

🔴 Indice de vérification factuelle : 30/100 (basse)

  • ⬜ labs.stoik.io — source non référencée (0pts)
  • ✅ 1304 chars — texte partiel (10pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : Akira (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://labs.stoik.io/from-one-paste-to-domain-admin-an-akira-intrusion-in-19-days-2/

🖴 Archive : https://web.archive.org/web/20261015070132/https://labs.stoik.io/from-one-paste-to-domain-admin-an-akira-intrusion-in-19-days-2/