报告编号: TIR-2026-0621-005 | 分类等级: TLP:AMBER | 发布日期: 2026年6月21日 | 情报来源: 多源交叉验证（OSINT + 执法通报 + 厂商报告）
一、执行摘要
Akira 是近年来崛起最快的勒索软件即服务（RaaS）组织之一，于2023年3月首次被发现。该组织被认为与已解散的 Conti 勒索组织有密切联系，其名称源自1988年日本动画电影《阿基拉》。截至2026年6月，Akira 已攻击超过 1,400 个组织，累计勒索金额约 2.44-2.45 亿美元，成为全球最活跃、获利最高的勒索软件组织之一。
关键发现
| 维度 | 关键指标 |
|---|
| 组织规模 | 1,400+ 受害者，2.44亿美元+勒索金额 |
| 攻击速度 | 从初始入侵到完全加密最短仅需 1小时，通常不超过4小时 |
| 加密强度 | ChaCha20 + RSA-4096，有解密器（Avast，仅限早期 Windows 变体） |
| 首要入口 | VPN 漏洞利用（Cisco ASA/AnyConnect、SonicWall、Fortinet） |
| 商业模式 | RaaS，20万美元-数百万美元赎金 |
| 加密器变体 | Akira（C++）、Akira_v2（Rust）、Megazord（Rust） |
| 多平台支持 | Windows、Linux、VMware ESXi、Hyper-V、Nutanix AHV |
| 洗钱策略 | 四阶段演化，与 Fog/Frag 共享基础设施 |
| 解密可能性 | 部分存在（Avast 解密器适用于早期 Windows 变体，新版/v2 及 Linux 变体暂无解密工具） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|
| 技术能力 | 🔴 极高 | 多平台加密、可靠解密工具开发、四阶段洗钱演化 |
| 运营成熟度 | 🔴 极高 | 完整 RaaS 平台、专业谈判团队、复古暗网泄露站 |
| 攻击规模 | 🔴 极高 | 1,400+ 受害者，2.44亿美元+收入，全球影响 |
| 目标针对性 | 🔴 高 | 中小企业为主，也影响大型组织和关键基础设施 |
| 数据泄露风险 | 🔴 极高 | 双勒索模式 + 泄露网站公开羞辱 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|
| 官方名称 | Akira |
| 别名 | Storm-1567、Howling Scorpius、Punk Spider、Gold Sahara |
| 组织类型 | 勒索软件即服务（RaaS） |
| 活跃周期 | 2023年3月 → 至今 |
| 主要语言 | 英语（泄露站）、俄语（内部沟通，推断） |
| 地理归属 | 俄罗斯/前苏联地区（高置信度） |
| 攻击目标 | 全球企业（中小企业为主，也影响大型组织） |
| 动机 | 经济利益 |
2.2 组织演化时间线
2023.03 Akira 首次被发现
被认为是 Conti 重组/分支
使用 C++ 编写原始加密器
↓
2023.06 新增 Linux 平台支持
加密器支持 Windows + Linux
↓
2023.08 Akira_v2 发布（Rust 重写）
Megazord 变体发布（.powerranges 扩展名）
泄露站采用复古"80年代绿色屏幕控制台"风格
↓
2023.10 攻击斯坦福大学，27,000人个人信息泄露
数据站声称窃取430GB
↓
2023.12 攻击日产澳洲，100,000人数据泄露
↓
2024.01 攻击 Tietoevry（瑞典数据中心）
影响 Primula、Filmstaden 等多家企业
↓
2024.06 Shook Lin & Bok 支付140万美元比特币赎金
↓
2024 洗钱策略 Phase II（WanChain 混币器）
攻击速度进一步提升，最短1小时完成加密
↓
2025 洗钱策略 Phase III（Defiway 桥接路由）
与 Fog 勒索软件共用基础设施
↓
2025.06 首次扩展支持 Nutanix AHV 平台
↓
2026 累计勒索金额达2.44亿美元
持续快速扩张
2.3 关联团伙
| 代号 | 说明 |
|---|
| Storm-1567 | 关联 Affiliate 团伙 |
| Howling Scorpius | 关联 Affiliate 团伙 |
| Punk Spider | 关联 Affiliate 团伙 |
| Gold Sahara | 关联 Affiliate 团伙 |
| Fog | 共用洗钱基础设施 |
| Frag | 可能是 Akira 的分支/延伸 |
2.4 附属成员体系
| 指标 | 数据 |
|---|
| 分成比例 | 未公开（推测 80-90%/10-20%） |
| 沟通渠道 | Telegram、Tox、RustDesk |
| 准入门槛 | 需提交攻击演示 |
| 专业分工 | 基础设施管理、初始访问、恶意软件和 C2 混淆、开发、谈判/客服 |
三、归因分析
3.1 归属评估
| 字段 | 信息 | 置信度 |
|---|
| 语言归属 | 英语（泄露站）、俄语（内部沟通，推断） | 中 |
| 地理归属 | 俄罗斯/前苏联地区（推断） | 中高 |
| Conti 关联 | 区块链分析和源代码比对显示代码相似性和共用钱包地址 | 高 |
| Conti 旧部 | 2022年5月 Conti 解散后，部分成员参与 Akira 创建 | 确认 |
3.2 执法状态
⚠️ 重要提示：截至2026年6月：
- ❌ 无正式国家级归因声明
- ❌ 无国际刑警组织红色通缉令
- ❌ 无欧盟"最通缉犯"名单
- ✅ CISA 发布警报（AA24-109A）
- ✅ IC3 联合警报（2025年11月）
3.3 地缘政治因素
| 因素 | 评估 |
|---|
| 俄方态度 | 仅追诉底层协助者，高级运营者免于追诉 |
| 执法壁垒 | 俄罗斯不配合西方执法请求 |
| 运营模式 | 去中心化，附属网络分散，难以彻底瓦解 |
四、技术能力评估
4.1 恶意软件演变
| 阶段 | 时间 | 语言 | 特征 |
|---|
| Akira（原始版） | 2023年3月 | C++ | 最初版本，Windows 平台 |
| Akira_v2 | 2023年8月 | Rust | 改进版，针对性更强 |
| Megazord | 2023年8月 | Rust | .powerranges 扩展名，2024年后逐渐弃用 |
4.2 加密机制分析
4.2.1 加密算法
| 组件 | 算法 | 说明 |
|---|
| 对称加密 | ChaCha20 | 流加密，速度快 |
| 非对称加密 | RSA-4096 | 加密 ChaCha20 密钥 |
| 密钥策略 | CryptGenRandom | Windows API 生成随机数 |
| 文件扩展名 | .akira、.powerranges | 版本标识 |
4.2.2 加密流程
┌─────────────────────────────────────────────────────────────┐
│ 1. 使用 CryptGenRandom 生成对称密钥 │
│ 2. 使用 ChaCha20 加密文件内容 │
│ 3. 生成 RSA-4096 密钥对 │
│ 4. 使用 RSA-4096 公钥加密 ChaCha20 密钥 │
│ 5. 将加密后的对称密钥与受害者 ID 写入文件头部 │
│ 6. 重命名文件（追加 .akira / .powerranges 扩展名） │
│ 7. 投放 HOW_TO_RECOVER_DATA 勒索信（HTML + TXT 双格式） │
│ 8. 删除卷影副本、修改桌面壁纸，注册表启动项保活 │
└─────────────────────────────────────────────────────────────┘
4.2.3 平台差异
Windows 版走 ChaCha20+RSA 混合加密；ESXi 版则是独立实现的加密器，直接针对 VMFS 数据存储批量加密虚拟机磁盘文件——在虚拟化层"一锅端"，这是 Akira 长期偏爱攻击 VMware 环境托管服务商与 MSP 的原因。此外 Akira 惯常在加密前先部署 BitLocker 封锁恢复路径，进一步抬高恢复成本。
五、攻击链分析
| 阶段 | 主要手法 | ATT&CK |
|---|
| 初始访问 | 钓鱼附件、暴露 RDP 爆破、合法远程工具滥用（AnyDesk 等） | T1566 / T1021.001 / T1219 |
| 执行与保活 | 批处理脚本 + PsExec 批量投放、计划任务 | T1569.002 / T1053.005 |
| 凭证窃取 | Mimikatz 变体、浏览器凭据库 | T1003 / T1555.003 |
| 横向移动 | 域管凭证复用、VPN 票据滥用 | T1078 / T1133 |
| 外传与加密 | 数据集中暂存后上传云存储，分批加密 | T1560 / T1048 / T1486 |
六、执法处置与组织现状
2025 年 4 月，欧洲刑警组织牵头的 Operation Endgame 联合 17 国执法与私营部门力量摧毁 Akira 基础设施：查扣 145 个域名与约 300TB 数据，英国 NCSC 同步指出其加密强度"此前难以破解"，联合行动还交付了配套的 BitLocker 解密工具。此后泄密站于 2025 年中被关闭，但仿冒".akira"品牌的团伙层出不穷，残余 affiliate 持续向其他勒索品牌流动。
七、防御建议
- RDP/VPN 全面 MFA + 爆破与异常登录告警；
- 对 BitLocker 部署、卷影副本删除、勒索信落地三类行为配置实时响应剧本；
- 备份遵循 3-2-1 + 不可变副本，虚拟化平台管理面独立组网；
- 合法远程工具（AnyDesk、ConnectWise 等）建立白名单审批与使用审计。
八、总结
Akira 的画像是"低调但高效"：不搞泄密站营销噱头，靠加密器工程质量与 ESXi 专项能力吃下大量 MSP 与托管服务商客户。Operation Endgame 证明这种结构化勒索品牌的基础设施可以被连根拔起——但只要弱 MFA、旧暴露面这些初始访问的温床还在，替代品牌就会永远在注册新域名的路上。技术防御的尽头，仍然是暴露面治理。
（数据来源：欧洲刑警组织 Operation Endgame 公告、英国 NCSC 通报与 Sophos/Veeam 等厂商 Akira 专题研究报告，整理截至 2026-10。）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。