Akira
Aggressive Ransomware-Gruppe mit Fokus auf KMU und Cisco VPN-Schwachstellen.
Akira ist seit März 2023 aktiv und hat sich schnell zu einer der aggressivsten Ransomware-Gruppen entwickelt. Die Gruppe zielt bevorzugt auf kleine und mittelständische Unternehmen (KMU) im DACH-Raum ab und nutzt Schwachstellen in Cisco VPN-Lösungen als bevorzugten Einstiegsvektor. Bis Anfang 2024 hatte Akira über 250 Organisationen angegriffen und mehr als 42 Millionen USD erpresst.
Cisco VPN als Einfallstor
Akira ist besonders bekannt für die Ausnutzung von Schwachstellen in Cisco ASA und FTD VPN-Appliances (CVE-2023-20269). Die Gruppe nutzt Brute-Force-Angriffe auf VPN-Accounts ohne Multi-Faktor-Authentifizierung und bekannte Schwachstellen, um in Unternehmensnetzwerke einzudringen. Nach dem initialen Zugang bewegt sich Akira lateral durch das Netzwerk und deaktiviert Sicherheitssoftware.
Doppelte Plattformfähigkeit
Akira verfügt über Varianten für Windows und Linux/VMware ESXi. Die Windows-Variante nutzt die CryptoAPI und Chacha20 für die Verschlüsselung, die Linux-Variante zielt gezielt auf VMware ESXi-Server und deren virtuelle Maschinen. Beide Varianten praktizieren Double Extortion mit einer eigenen Leak-Site im Retro-Design.
Fokus auf den DACH-Raum
Akira hat überproportional viele Unternehmen im deutschsprachigen Raum angegriffen. Besonders betroffen sind Maschinenbau, Automotive-Zulieferer, IT-Dienstleister und der Mittelstand. Die Lösegeldforderungen bewegen sich typischerweise zwischen 200.000 und 4 Millionen USD — angepasst an die Unternehmensgröße.
Taktiken von Akira
- ✗Cisco VPN-Schwachstellen als primärer Einstiegsvektor
- ✗Brute-Force auf VPN-Accounts ohne MFA
- ✗Windows- und Linux/ESXi-Verschlüsselung
- ✗Double Extortion mit Retro-Design Leak-Site
- ✗Fokus auf KMU im DACH-Raum
- ✗Deaktivierung von Sicherheitssoftware vor Verschlüsselung
Unser Vorgehen bei Akira
- Sofortige Isolation und Sicherung der Cisco VPN-Logs
- Prüfung auf bekannte Akira-Entschlüsselungsmöglichkeiten
- Forensische Analyse der lateralen Bewegung im Netzwerk
- ESXi-spezifische Recovery-Verfahren
- VPN-Härtung mit MFA-Implementierung
- Kontinuierliches Darknet-Monitoring für exfiltrierte Daten
Von Akira betroffen?
Unser Team hat umfangreiche Erfahrung mit Akira-Angriffen. Wir reagieren innerhalb von 30 Minuten — rund um die Uhr.