Националният център за киберсигурност на Финландия (NCSC-FI) информира за повишена активност на рансъмуера Akira през декември, който е бил насочен към компании в страната и е изтривал резервни копия.

Агенцията твърди, че атаките на заплахата са съставлявали шест от седемте случая на инциденти с рансъмуер, докладвани през миналия месец.

Изтриването на резервните копия засилва щетите от атаката и позволява на извършителя на заплахата да окаже по-голям натиск върху жертвата, тъй като елиминира възможността за възстановяване на данните без заплащане на откуп.

По-малките организации често използват за тази цел мрежови устройства за съхранение на данни (NAS), но финландската агенция подчертава, че тези системи не са били пощадени при атаките с рансъмуер на Akira.

Нападателите са се насочили и към лентови устройства за архивиране, които обикновено се използват като вторична система за съхранение на цифрови копия на данните.

„Във всички случаи са положени усилия за щателно унищожаване на резервните копия и нападателят наистина полага големи усилия за това“, се казва в машинно преведената версия на уведомлението.

„Устройствата за мрежово съхранение на данни (NAS), често използвани за архивиране, са били разбивани и изпразвани, както и устройствата за автоматично архивиране на ленти, и в почти всички случаи, за които знаем, всички архиви са били загубени“, информира агенцията.

NCSC-FI предлага на организациите вместо това да преминат към използване на офлайн резервни копия, като разпределят копията на различни места, за да ги защитят от неоторизиран физически достъп.

„За най-важните резервни копия би било препоръчително да се следва правилото 3-2-1. Тоест да се поддържат поне три резервни копия на две различни места и едно от тези копия да се държи изцяло извън мрежата.“ – посъветва Оли Хьоно, NCSC-FI

Пробито през  Cisco VPN

Финландската агенция твърди, че атаките с рансъмуер Akira са получили достъп в мрежата на жертвите след използване на CVE-2023-20269 – уязвимост, която засяга VPN функцията в продуктите Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD).

Уязвимостта позволява на неупълномощени нападатели да извършват атаки с груба сила и да откриват идентификационните данни на съществуващи потребители, при които няма защита за влизане в системата, като например многофакторно удостоверяване (MFA).

CVE-2023-20269 беше призната от Cisco като нулев ден през септември 2023 г. и поправките бяха пуснати през следващия месец. Изследователи по сигурността обаче съобщават от началото на август 2023 г., че рансъмуерът Akira го е използвал за достъп.

Наблюдаваната дейност след компрометирането включва картографиране на мрежата, насочване към резервни копия и критични сървъри, кражба на потребителски имена и пароли от сървъри с Windows, криптиране на важни файлове и криптиране на дискове на виртуални машини на сървъри за виртуализация, особено на тези, които използват продукти на VMware.

За да се избегнат атаки, които се възползват от тази уязвимост, на организациите силно се препоръчва да надградят до Cisco ASA 9.16.2.11 или по-нова версия и Cisco FTD 6.6.7 или по-нова версия.