ABD devlet kurumları, saldırılarda Nutanix AHV sanal makinelerini şifreleyen Akira fidye yazılımı operasyonunun tespit edildiği konusunda uyarıyor.
CISA, FBI, Savunma Bakanlığı Siber Suç Merkezi (DC3), Sağlık ve İnsani Hizmetler Bakanlığı (HHS) ve çeşitli uluslararası iş ortaklarından güncellenmiş bir ortak öneri, Akira fidye yazılımının Nutanix AHV VM disk dosyalarının şifreleme yeteneklerini genişlettiği konusunda uyarıda bulunuyor.
Tavsiye belgesi, Kasım 2025'e kadar FBI soruşturmaları ve üçüncü taraf raporları aracılığıyla gözlemlenen yeni uzlaşma göstergelerini ve taktikleri içermektedir.
Uyarı, Haziran 2025'te Akira oyuncularının Nutanix AHV sanal makineleri için disk dosyalarını şifrelemeye başladığı konusunda uyarıyor.
Güncellenen danışma belgesinde "Haziran 2025'te meydana gelen bir olayda, Akira tehdit aktörleri ilk kez Nutanix AHV VM disk dosyalarını şifreledi ve bir SonicWall güvenlik açığı olan Ortak Güvenlik Açıkları ve Etkilenmeleri (CVE)-2024-40766 [Ortak Zayıflık Sayımı (CWE)-284: Uygunsuz Erişim Kontrolü]'nü kötüye kullanarak yeteneklerini VMware ESXi ve Hyper-V'nin ötesine genişletti."
Nutanix'in AHV platformu, Nutanix'in altyapısındaki sanal makineleri çalıştıran ve yöneten Linux tabanlı bir sanallaştırma çözümüdür.
Yaygın olarak kullanıldığı için fidye yazılımı çetelerinin, VMware ESXi ve Hyper-V'de olduğu gibi bu platformdaki sanal makineleri de hedeflemeye başlaması sürpriz değil.
CISA, Akira'nın Nutanix AHV ortamlarını nasıl hedeflediğini paylaşmasa da BleepingComputer tarafından analiz edilen Akira Linux şifreleyicileri, dosyaları Nutanix AHV tarafından kullanılan sanal disk formatı olan .qcow2 uzantısıyla şifrelemeye çalışıyor.
Ancak .qcow2 dosya uzantısı, en azından 2024'ün sonundan beri Akira Linux şifreleyicileri tarafından hedefleniyor.
Ayrıca Akira'nın Nutanix VM'lerine odaklanması da VMware ESXi'yi hedeflemesi kadar gelişmiş değil
Linux şifreleyici, ESXi sanal makinelerini disklerini şifrelemeden önce zarif bir şekilde kapatmak için esxcli ve vim-cmd'yi kullanır, ancak Nutanix AHV için yalnızca .qcow2 dosyalarını doğrudan şifreler ve AHV VM'leri kapatmak için platformun acli veya ncli komutlarını kullanmaz.
Güncellenen tavsiye belgesi ayrıca Akira'nın izinsiz giriş yöntemleri ve uzlaşma sonrası taktikleri hakkında yeni bilgiler de içeriyor.
Akira bağlı kuruluşları, kurumsal ağları ihlal etmek için genellikle açık yönlendiricilerde çalıntı veya kaba zorlamalı VPN ve SSH kimlik bilgilerini kullanır ve açıktaki güvenlik duvarlarındaki SonicWall güvenlik açıklarından (CVE-2024-40766) yararlanır.
Erişim elde ettikten sonra, yedeklemelere erişim kazanmak ve yedeklemeleri silmek için yama uygulanmamış Veeam Backup & Replication sunucularındaki CVE-2023-27532 veya CVE-2024-40711 güvenlik açıklarından yararlanırlar.
Bir ağ içinde Akira üyelerinin, keşif gerçekleştirmek, diğer sistemlere yanal olarak yayılmak ve kalıcılık oluşturmak için nltest, AnyDesk, LogMeIn, Impacket'in wmiexec.py ve VB komut dosyaları gibi yardımcı programları kullandığı gözlemlendi. Tehdit aktörleri ayrıca genellikle uç nokta tespit araçlarını kaldırır ve kalıcılık için yeni yönetim hesapları oluşturur.
Bir olayda, saldırganlar bir etki alanı denetleyicisi VM'sinin gücünü kapattı, VMDK dosyalarını kopyaladı, bunları yeni bir VM'ye ekledi ve bir etki alanı yönetici hesabı elde etmek için NTDS.dit dosyasını ve SYSTEM kovanını çıkardı.
Bilgi notunda, daha önce Akira operasyonlarıyla bağlantılı olan "Megazord" aracının 2024'ten beri kullanımdan kaldırıldığı belirtiliyor.
Akira, bazı saldırılar sırasında verileri iki saat gibi kısa bir sürede sızdırdı ve komuta ve kontrol için, çevre izlemeyi atlayan şifreli kanallar oluşturmak için Ngrok gibi tünel açma araçlarına güvendi.
Tavsiye niteliğindeki belge, kuruluşlara güncellenen kılavuzu gözden geçirmeleri ve önerilen hafifletici önlemleri uygulamaları çağrısında bulunmaktadır.
CISA ve FBI ayrıca düzenli çevrimdışı yedeklemeler, zorunlu çok faktörlü kimlik doğrulama ve bilinen istismar edilen güvenlik açıklarına hızla yama uygulanmasını önermeye devam ediyor.
MCP (Model Bağlam Protokolü), LLM'leri araçlara ve verilere bağlamak için standart haline geldikçe, güvenlik ekipleri bu yeni hizmetleri güvende tutmak için hızla hareket ediyor.
Bu ücretsiz yardımcı sayfa, bugün kullanmaya başlayabileceğiniz en iyi 7 uygulamayı özetlemektedir.
Qilin fidye yazılımı Windows'ta Linux şifreleyicilerini çalıştırmak için WSL'yi kötüye kullanıyor
Apache OpenOffice, fidye yazılımı çetesinin veri ihlali iddialarına karşı çıkıyor
CISA: Yüksek önem derecesine sahip Linux kusuru artık fidye yazılımı çeteleri tarafından kullanılıyor
Birleşik Krallık hükümeti, siber saldırının ardından JLR'yi 1,5 milyar £ kredi garantisiyle destekledi
Akira fidye yazılımı MFA korumalı SonicWall VPN hesaplarını ihlal ediyor
Kaynak: Bleeping Computer