Akira, Safe Mode Kullanarak EDR'yi Devre Dışı Bırakmaya Çalıştı
Huntress tarafından incelenen Akira vakasında saldırganlar MFA uygulanmayan VPN hesabından giriş yaptı, Active Directory'yi keşfetti ve veri çaldı. Ransomware deployment öncesinde sistemi Safe Mode ile yeniden başlatarak EDR ve Defender real-time protection'ı devre dışı bıraktılar.
Yayın Tarihi: 08 Eylül 2026 · Son Güncelleme: 08 Eylül 2026 · 3 dk okuma · Hazırlanma yöntemi: AI destekli + editör kontrolü
Huntress tarafından incelenen bir Akira ransomware vakası, endpoint güvenlik ürününün kurulu olmasının tek başına ransomware'ı engellemek için yeterli olmadığını gösteren dikkat çekici bir saldırı zinciri ortaya koydu.
Saldırganlar MFA uygulanmayan bir SonicWall SSL VPN hesabını ele geçirdikten sonra Active Directory ortamını keşfetti, veri exfiltration gerçekleştirdi ve ransomware deployment öncesinde Windows'u Safe Mode with Networking modunda yeniden başlattı.
Bu işlem sırasında hem üçüncü taraf EDR agent'ı hem de Microsoft Defender real-time protection çalışamaz hale geldi.
Ne Oldu?
4 Ağustos'ta SonicWall SSL VPN üzerinde çok sayıda kullanıcı adına karşı başarısız login girişimleri görüldü.
Yaklaşık yedi dakika sonra saldırgan geçerli bir kullanıcı hesabıyla VPN'e giriş yapmayı başardı.
Kritik nokta, hesabın MFA ile korunmamasıydı.
Yaklaşık iki saat sonra saldırgan Domain Controller'a RDP ile bağlandı ve PowerShell kullanarak AD kullanıcıları ve bilgisayarları hakkında kapsamlı bilgi topladı.
File share'ler daha sonra WinRAR ile archive edildi ve s5cmd kullanılarak S3 storage'a gönderildi.
Dolayısıyla ransomware encryptor çalıştırılmadan önce veri hırsızlığı gerçekleşmişti.
Safe Mode Neden Kullanıldı?
Saldırgan msconfig.exe üzerinden sistemi Safe Mode with Networking modunda yeniden başlattı.
Safe Mode üçüncü taraf servislerin büyük bölümünü çalıştırmadığından Huntress agent'ı başlamadı. Windows Defender real-time protection da çalışamadı.
Saldırgan AnyDesk bağlantısını korumak için AnyDesk servisini Safe Mode servis listesine ayrıca eklemişti.
Bu davranış MITRE ATT&CK T1688 — Impair Defenses: Safe Mode Boot ile uyumludur.
Encryptor da Sorun Yaşadı
Bu vakada Safe Mode saldırgan açısından beklenmedik sonuç doğurdu.
Akira encryptor çalıştırıldıktan kısa süre sonra sistem virtual-memory hataları üretmeye başladı ve encryption başarıyla tamamlanamadı.
Bu durum bir security control değildir.
Farklı memory konfigürasyonlarında veya değiştirilmiş bir ransomware sürümünde sonuç farklı olabilir.
Ayrıca encryption başarısız olsa bile saldırgan daha önce credential ve kurumsal verileri dışarı çıkarmıştı.
Neden Önemli?
Olay beş ayrı kontrol alanının önemini gösteriyor:
- VPN MFA
- identity security
- Active Directory monitoring
- exfiltration detection
- EDR resilience
Encryptor'ın engellenmesi saldırının engellendiği anlamına gelmeyebilir.
BT Ekipleri Neyi Kontrol Etmeli?
- Tüm VPN hesaplarında MFA zorunlu olsun.
- Çok sayıda başarısız VPN login sonrası başarılı login'i correlate edin.
- msconfig.exe ve bcdedit.exe boot configuration değişikliklerini izleyin.
- SAFEBOOT option içeren Windows boot event'lerini izleyin.
- Security service'lerinin toplu şekilde durmasını alarm haline getirin.
- SafeBoot registry alanlarına yeni servis eklenmesini izleyin.
- Domain Controller'larda interactive RDP erişimini sınırlandırın.
- Encryption olmadan gerçekleşen veri hırsızlığını da ransomware incident olarak ele alın.
Kaynaklar
- Huntress — “Akira Hits Safe Mode: Ransomware Rebooting Around EDR”
İlgili İçerikler
EDR Vardı. Ransomware Neden Durdurulamadı?
Active Directory Ransomware Saldırılarında Neden Kritik?
MFA Varken Ransomware Nasıl Gerçekleşebilir?
Akira
Kurumunuz bu senaryoya hazır mı?
Ücretsiz ön değerlendirme ile kimlik, yedekleme, segmentasyon, EDR, görünürlük ve kurtarma hazırlığınızı ölçün.
Değerlendirme hizmeti Sparta Siber Güvenlik tarafından sunulmaktadır.
Diğer Gelişmeler
INC Ransom Vakasında İki Aşamalı Saldırı ve İkinci Baskı Notu
Huntress'ın incelediği INC Ransom vakası; random isimli scheduled task'lar, RDP ile yanal hareket, AnyDesk, vulnerable-driver kullanımı ve 17 günlük sessiz dönem üzerinden saldırının iki aşamalı yapısını gösteriyor. İkinci ransom note ise baskının artık yalnızca şifreleme üzerinden kurulmadığını ortaya koyuyor.
Cl0p'un Leak Sitesi Ele Geçirildi: Önceki Kurbanlar İçin İkincil Şantaj Riski
ShinyHunters, Cl0p'un leak sitesini ele geçirip deface etti. Olay yalnızca iki suç grubu arasındaki çatışma değil; geçmiş kurban verilerinin yeniden kullanılması, sahte gönderiler ve ikincil şantaj açısından ayrıca değerlendirilmesi gereken bir risk.
Cisco FMC Açıkları Gerçek Saldırılarda Kullanılıyor: Qilin ile Uyumlu Ransomware Operasyonu Gözlemlendi
Cisco Talos, Cisco Secure Firewall Management Center üzerindeki CVE-2026-20079 ve CVE-2026-20316 zafiyetlerinin gerçek saldırılarda kullanıldığını açıkladı. İncelenen saldırı kümelerinden birinde saldırganın iç ortam keşfi, credential toplama, tünelleme ve şifrelenecek sistemleri belirleme faaliyetlerinin Qilin ransomware affiliate'larının davranışlarıyla uyumlu olduğu değerlendirildi.