Akira

2023.03    Akira 首次被发现
           被认为是 Conti 重组/分支
           使用 C++ 编写原始加密器
    ↓
2023.06    新增 Linux 平台支持
           加密器支持 Windows + Linux
    ↓
2023.08    Akira_v2 发布（Rust 重写）
           Megazord 变体发布（.powerranges 扩展名）
           泄露站采用复古"80年代绿色屏幕控制台"风格
    ↓
2023.10    攻击斯坦福大学，27,000人个人信息泄露
           数据站声称窃取430GB
    ↓
2023.12    攻击日产澳洲，100,000人数据泄露
    ↓
2024.01    攻击 Tietoevry（瑞典数据中心）
           影响 Primula、Filmstaden 等多家企业
    ↓
2024.06    Shook Lin & Bok 支付140万美元比特币赎金
    ↓
2024       洗钱策略 Phase II（WanChain 混币器）
           攻击速度进一步提升，最短1小时完成加密
    ↓
2025       洗钱策略 Phase III（Defiway 桥接路由）
           与 Fog 勒索软件共用基础设施
    ↓
2025.06    首次扩展支持 Nutanix AHV 平台
    ↓
2026       累计勒索金额达2.44亿美元
           持续快速扩张

┌─────────────────────────────────────────────────────────────┐
│  1. 使用 CryptGenRandom 生成对称密钥                        │
│  2. 使用 ChaCha20 加密文件内容                              │
│  3. 生成 RSA-4096 密钥对                                    │
│  4. 使用 RSA 公钥加密 ChaCha20 密钥                         │
│  5. 将加密后的 ChaCha20 密钥追加到文件尾部                  │
│  6. 重命名文件（添加 .akira 扩展名）                        │
│  7. 删除原始文件                                            │
│  8. 投放勒索信                                              │
│  9. 上传密钥至 C2 服务器                                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最常见）: VPN 漏洞利用                         │
│  ────────────────────────────                               │
│  1. 扫描公网暴露的 VPN 设备（Cisco ASA、SonicWall、Fortinet）│
│  2. 利用 CVE-2023-20269（Cisco ASA 认证绕过）              │
│  3. 利用 CVE-2024-40766（SonicWall 不当访问控制）          │
│  4. 获取 VPN 访问权限                                       │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 有效凭证入侵                                    │
│  ────────────────────                                       │
│  1. 从暗网购买有效 VPN 凭证                                 │
│  2. 或利用缺少 MFA 的 VPN 账号                              │
│  3. 登录 VPN                                                │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼/SEO 投毒                                   │
│  ───────────────────────                                    │
│  1. 发送钓鱼邮件                                            │
│  2. 或通过 Bing/Google SEO 投毒，诱导下载 Bumblebee         │
│  3. 部署初始访问代理                                        │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── LSASS 内存转储（comsvcs.dll MiniDump）
├── NTDS.dit 提取（ntdsutil、自定义 Cl.exe）
├── Veeam 凭据转储（SQL 查询）
├── 浏览器凭据窃取（esentutl.exe）
└── 域信任发现

权限提升
├── 创建隐藏的管理员账户（修改注册表）
├── 创建域账户（backup_DA、backup_EA）加入 Enterprise Administrators
├── 安装 RustDesk 等远程访问工具
├── SSH 反向隧道
└── DCSync（如已获取域管权限）

防御规避
├── 卸载/禁用安全软件（Sophos、CrowdStrike 等 EDR）
├── 在虚拟机断电时删除安全服务
├── 修改 Windows 注册表隐藏新建账户
├── 使用系统自带工具（Living-off-the-Land）
└── 禁用卷影副本（Get-WmiObject Win32_Shadowcopy）

数据窃取
├── SFTP 客户端外传数据
├── SSH 隧道传输
├── 商业工具或自建 C2
└── 优先: 人事数据、财务数据、客户数据、IP

加密部署
├── 横向移动：RDP、SMB（PsExec）、WMI、WinRM
├── SSH 隧道
├── 商业远程工具（AnyDesk、ScreenConnect、RustDesk）
└── 批量扫描共享文件夹

加密执行
├── 终止目标进程（数据库、备份、虚拟化、EDR）
├── 删除卷影副本
├── 加密文件（ChaCha20 + RSA-4096）
├── 重命名文件（添加 .akira 扩展名）
├── 投放勒索信（akira_readme.txt）
├── 上传密钥至 C2 服务器
└── 通过谈判门户联系受害者

制造业          ████████████████████████████████████████ 高优先级
教育            ████████████████████████████████           高优先级
信息技术        ██████████████████████████████             高优先级
医疗健康        ████████████████████████████               高优先级
金融服务        ██████████████████████████                 高优先级
食品农业        ████████████████████████                   中优先级
零售            ████████████████████                       中优先级
政府            ██████████████████                         中优先级
其他            ████████████████████████████████████████   广泛

高概率受害特征:
├── 使用 Cisco ASA/AnyConnect、SonicWall、Fortinet 等未修补漏洞的设备
├── 公网暴露 VPN 端口
├── 弱口令或凭证泄露（暗网可购买）
├── 无 MFA 或 MFA 配置不当
├── 依赖 Active Directory 且未加固
├── 无 EDR 或 EDR 配置不当
├── 制造业、教育、信息技术、医疗、金融等行业
├── 北美、欧洲、亚太地区企业
└── 中小企业至大型企业全覆盖

基础设施策略:
├── Tor 隐藏服务（DLS）
├── 复古风格泄露站（80年代绿色屏幕控制台）
├── 密码保护谈判门户
├── RustDesk（远程管理）
├── SFTP（数据外传）
└── 定期迁移基础设施

title: Akira Ransomware - Shadow Copy Deletion
id: akira-shadow-copy-deletion
status: experimental
description: 检测 Akira 勒索软件删除影子副本的行为
author: Threat Intelligence Team
date: 2026/06/21
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'Get-WmiObject'
            - 'Win32_Shadowcopy'
            - 'Remove-WmiObject'
    condition: selection
level: critical

title: Akira Ransomware - LSASS Memory Dump
id: akira-lsass-dump
status: experimental
description: 检测异常的 LSASS 内存转储行为
author: Threat Intelligence Team
date: 2026/06/21
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\rundll32.exe'
        CommandLine|contains|all:
            - 'comsvcs.dll'
            - 'MiniDump'
    condition: selection
level: high

title: Akira Ransomware - Veeam Credential Extraction
id: akira-veeam-credentials
status: experimental
description: 检测 Veeam 凭据提取行为
author: Threat Intelligence Team
date: 2026/06/21
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\sqlcmd.exe'
        CommandLine|contains: 'Credentials'
    condition: selection
level: high

rule Akira_Ransomware {
    meta:
        description = "Detects Akira ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-21"
    
    strings:
        $akira = ".akira" ascii
        $powerranges = ".powerranges" ascii
        $readme = "akira_readme.txt" ascii
        $vssadmin = "Get-WmiObject Win32_Shadowcopy" ascii
        $comsvcs = "comsvcs.dll MiniDump" ascii
        
    condition:
        any of them
}

# 1. 强制 MFA 对所有 VPN 账户
# 2. 修补已知漏洞（CVE-2023-20269、CVE-2024-40766）
# 3. 限制 VPN 访问 IP 白名单
# 4. 禁用不必要的远程服务

# 5. 检查 VPN 设备配置
# 6. 全量轮换 VPN 凭证

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查 LSASS 转储
# 监控 comsvcs.dll MiniDump 调用

# 3. 检查 Veeam 凭据是否被提取
# 监控 sqlcmd.exe 异常调用

# 4. 检查卷影副本
Get-WmiObject Win32_Shadowcopy

# 5. 检查异常 SSH 隧道
netstat -ano | findstr "ESTABLISHED"

# 6. 检查勒索信文件
Get-ChildItem -Recurse -Filter "akira_readme.txt" -ErrorAction SilentlyContinue

# 7. 收集取证数据