Akira

Selon ZenSec (blog), ce brief synthétise plus de 16 dossiers DFIR sur le groupe de rançongiciel Akira ayant frappé le Royaume‑Uni depuis 2023 (retail, finance, manufacturing, médical). Le groupe, proche de Conti par ses méthodes, opère en double extorsion (vol de données puis chiffrement), avec des attaques « playbook » standardisées. 🚪 Accès initial et découverte: Akira cible en priorité les SSL VPN d’Cisco ASA, SonicWall et WatchGuard, exploitant l’absence de MFA et des CVE comme CVE‑2023‑20269, CVE‑2020‑3259 et CVE‑2024‑40766. La découverte s’appuie sur Netscan (31%), Advanced Port Scanner (25%), Advanced IP Scanner, ainsi que des énumérations PowerShell d’Active Directory (fichiers AdUsers/AdComputers/AdGroups, etc.). Plus rarement, PowerView, SharpShares, Grixba, PingCastle, SharpHound et RvTools sont utilisés. ...

Selon Rapid7 et des informations communiquées par SonicWall, une campagne de ransomware Akira a démarré le mois dernier en ciblant des appliances SonicWall. SonicWall a publié un avis de sécurité et a précisé par la suite que ces intrusions sont liées à la vulnérabilité d’août 2024 SNWLID-2024-0015, pour laquelle les étapes de remédiation n’ont pas été correctement complétées. 🚨 Rapid7 indique avoir envoyé des communications d’alerte de menace à ses clients afin de prioriser l’application des correctifs. Depuis ces communications, l’équipe Incident Response (IR) de Rapid7 rapporte une augmentation des intrusions impliquant des équipements SonicWall. ...

Le prestataire Francelink a publie sur sa page de status (status.francelink.net) un rapport d’incident détaillant la cyberattaque subie le 28 juillet 2025 à 20h30. 🔐 Détails de l’attaque Le rapport attribue l’attaque au groupe AKIRA. Deux actions coordonnées ont été menées : chiffrement des données sur les serveurs de production et chiffrement des serveurs de sauvegarde. Les éléments disponibles indiquent une probable extraction de données conforme au mode opératoire du groupe. Environ 93 % des serveurs ont été affectés, impactant la quasi-totalité des services et des clients. ...

Selon un article publié par BleepingComputer, le ransomware Akira a été observé en train d’utiliser un pilote de tuning de CPU légitime d’Intel pour désactiver Microsoft Defender sur les machines ciblées. Cette technique permet aux attaquants de contourner les outils de sécurité et les solutions de détection et de réponse des endpoints (EDR). Cette exploitation implique l’utilisation d’un pilote qui, bien que légitime, est détourné pour désactiver les protections de sécurité, rendant ainsi les systèmes plus vulnérables aux attaques. Les acteurs malveillants tirent parti de cette méthode pour faciliter la propagation de leur ransomware et maximiser l’impact de leurs attaques. ...

Le Cyber Fusion Center de Kudelski Security a signalé une exploitation active d’une vulnérabilité zero-day dans les appareils SonicWall Gen 7 SSL-VPN par des affiliés du ransomware Akira. Cette vulnérabilité permet de contourner l’authentification et la MFA sur des appareils entièrement patchés, offrant ainsi un accès direct au réseau. Des intrusions confirmées ont eu lieu en Amérique du Nord et en Europe, entraînant le vol de données d’identification, la désactivation d’outils de sécurité, et le déploiement de ransomware. ...

L’article provenant de SuspectFile, relayé par databreaches.net, met en lumière les failles de sécurité dans les négociations de rançons menées par le groupe de ransomware Akira. Akira a échoué à sécuriser son serveur de chat de négociation, permettant à quiconque connaissant l’adresse de suivre les interactions entre les victimes et le groupe. Deux cas ont été rapportés : une entreprise du New Jersey a payé 200 000 dollars après avoir reçu des assurances de confidentialité, et une entreprise allemande a négocié une réduction de la demande initiale de 6,9 millions de dollars à 800 000 dollars. ...

Selon BleepingComputer, Hitachi Vantara, une filiale du conglomérat japonais Hitachi, a subi une attaque de ransomware Akira qui a nécessité la mise hors ligne de certains de ses serveurs pour contenir l’incident. Cette entreprise fournit des services de stockage de données, des systèmes d’infrastructure, la gestion du cloud et des services de récupération après ransomware à des entités gouvernementales et à certaines des plus grandes marques mondiales, telles que BMW, Telefónica, T-Mobile et China Telecom. ...