Με βάση τα δημόσια στοιχεία threat intelligence, ο Akira είναι Ransomware actor χωρίς επιβεβαιωμένη γεωγραφική απόδοση. Αντιστοιχίζεται στο MITRE ATT&CK ως G1024. Κίνητρο: οικονομικό όφελος. Κύριοι στόχοι: πολλαπλούς τομείς. Στις δημόσιες πηγές αναφέρεται επίσης ως GOLD SAHARA, PUNK SPIDER, Howling Scorpius. Επίπεδο πολυπλοκότητας: προηγμένο. Σχετίζεται με 14 γνωστά CVEs (εκ των οποίων 4 κρίσιμα).

Τεχνική συμπεριφορά και TTPs

Με βάση τη δημόσια καταγραφή στο MITRE ATT&CK (G1024), στις κυριότερες τεχνικές του Akira περιλαμβάνονται:

  • T1531 – Account Access Removal
  • T1560 – συμπίεση/κρυπτογράφηση δεδομένων πριν την exfiltration
  • T1059 – εκτέλεση εντολών και scripts (PowerShell, cmd, bash)
  • T1486 – κρυπτογράφηση δεδομένων (ransomware impact)
  • T1213 – Data from Information Repositories: Sharepoint
  • T1685 – Disable or Modify Tools
  • T1482 – Domain Trust Discovery
  • T1567 – εξαγωγή δεδομένων εκτός περιμέτρου

Συνδεδεμένα εργαλεία και malware

  • AdFind (S0552)
  • Akira (S1129)
  • Akira _v2 (S1194)
  • LaZagne (S0349)
  • Megazord (S1191)
  • Mimikatz (S0002)
  • PsExec
  • Rclone

Γιατί αφορά ελληνικούς και ευρωπαϊκούς οργανισμούς

Σε οργανισμούς με υποχρεώσεις NIS2, DORA και GDPR, η ύπαρξη ενός actor όπως ο Akira καθιστά αναγκαία τη συγκεκριμένη χαρτογράφηση αμυντικών ελέγχων σε ATT&CK techniques. Η ελληνική αγορά —ιδίως τράπεζες, ενέργεια, ναυτιλία, τηλεπικοινωνίες και κρίσιμες υποδομές— παραμένει στόχος ευρύτερων εκστρατειών που τέμνουν πολλαπλούς τομείς. Η αλυσίδα εφοδιασμού (supply chain) αυξάνει την έκθεση ακόμα και όταν η οργάνωση δεν είναι στον αρχικό κύκλο στόχευσης του actor.

Από το προφίλ στην πράξη

Τα στοιχεία για κάθε adversary group συγκεντρώνονται από εκατοντάδες πηγές threat intelligence και περνούν από διασταύρωση και επιβεβαίωση πριν καταγραφούν ώστε κάθε τεχνική, εργαλείο και δείκτης που αποδίδεται στον actor να αντικατοπτρίζει επιβεβαιωμένη συμπεριφορά και όχι μεμονωμένες ή ανεπιβεβαίωτες αναφορές.

Διατηρούμε αυτά τα επιβεβαιωμένα προφίλ APT και τα αξιοποιούμε για να σχεδιάζουμε και να εκτελούμε adversary simulations με ακρίβεια στα συστήματα των πελατών μας. Αν διαθέτετε SOC, SIEM ή EDR, ο μόνος τρόπος να επαληθεύσετε αν η άμυνά σας δουλεύει είναι να τη δοκιμάσετε: το προφίλ μετατρέπεται σε ελεγχόμενα σενάρια επίθεσης, προσαρμοσμένα στην υποδομή σας, ώστε να δείτε στην πράξη τι ανιχνεύεται και τι περνά απαρατήρητο.

Δείτε την βιβλιοθήκη με όλους τους threat actors που έχουμε συγκεντρώσει