Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

Akira

Akira gehört seit 2023 zu den aktivsten Ransomware-Gruppen – ihr bevorzugter Weg ins Netz: VPN-Zugänge ohne Multi-Faktor-Authentifizierung.

Vorfall melden
Kurz erklärt

Akira ist eine Ransomware-Gruppe, die vor allem kleine und mittlere Unternehmen über schwach gesicherte Fernzugänge angreift – typischerweise VPNs ohne MFA oder mit bekannten Schwachstellen. Nach dem Eindringen werden Daten gestohlen und Systeme verschlüsselt (Double Extortion). Die Gruppe zählt seit 2023 durchgehend zu den aktivsten weltweit.

Aktiv

Modell

Ransomware-as-a-Service (RaaS)

Auch bekannt als

Akira Ransomware

Gegründet

März 2023

Entstanden aus

Vermutlich aus dem Conti-Netzwerk (ähnliche TTPs und Codebasis)

Herkunft

Russland/Osteuropa (stark vermutet), mögliche Nähe zu Conti-Operatoren

Zielsektoren

Fertigung, Finanzwesen, Gesundheitswesen, Bildung, kritische Infrastruktur

Zielregionen

USA (über 50 %), DACH, UK, Kanada, Australien

Typisches Lösegeld

200.000 – 4 Mio. USD; Zahlung in Bitcoin und Monero

Opferzahl

1.400+ gelistete Opfer seit März 2023, über 244 Mio. USD erpresst (Stand: Juni 2026)

File Extensions

.akira, .akiranew

Ransom Note

akiranew.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern, bevor auch sie verschlüsselt werden.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note (akiranew.txt) – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist – das zerstört Spuren.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – sie sind teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen – häufig Fake oder zusätzliche Malware.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Stanford University (Sep. 2023)
  • Lakeview Loan Servicing (2023)
  • Mercer University (2024)
  • Nissan Oceania (2024)
  • Hitachi Vantara (2025)

Angriffstechniken (TTPs)

  • Initial Access: Öffentlich erreichbare VPN-Appliances ohne MFA sind der Haupt-Einstieg; ergänzend Spear-Phishing, RDP-Missbrauch mit gestohlenen Zugangsdaten und Password Spraying.
    • Ausgenutzte CVEs: CVE-2020-3259 & CVE-2023-20269 (Cisco ASA/VPN), CVE-2024-40766 (SonicWall SSL-VPN – 2025 Haupt-Vektor), CVE-2024-40711 & CVE-2023-27532 (Veeam)
    • MITRE: T1190, T1078, T1133, T1566
  • Discovery: Netzwerk-Scans mit Advanced IP Scanner und MASSCAN; Active-Directory-Enumeration via BloodHound, AdFind, nltest (T1018, T1087.002).
  • Credential Access: LSASS-Dumping via comsvcs.dll (T1003.001), Mimikatz, Kerberos-Ticket-Diebstahl (T1558).
  • Lateral Movement: RDP (T1021.001), WMI via Impacket, Anlegen neuer lokaler Admin-Konten (T1136.001).
  • Persistence: AnyDesk und LogMeIn für Fernzugriff (T1219), PuTTY-SSH-Tunnel, Firewall-Regeländerungen.
  • Defense Evasion: Abschalten von Windows Defender/Sicherheitstools (T1562), Löschen der Volume Shadow Copies (T1490), Ngrok-C2-Tunnel (T1572); Admin-Konten werden vor der Verschlüsselung gelöscht, um die Incident Response zu erschweren (T1531).

Technologie & Malware

Plattformen: Windows, Linux, VMware ESXi, Hyper-V und – seit Juni 2025 – Nutanix AHV (erste beobachtete AHV-Angriffe). Multi-Plattform-Fähigkeit ist ein Kennzeichen.

Verschlüsselung (Windows): C++-Variante mit AES. Linux/ESXi („Akira_v2“): KCipher2 + ChaCha8 pro Block, Schlüssel über 1.500 SHA-256-Runden, RSA-4096-geschützt; zielt auf ESXi-.vmdk-Dateien und fährt VMs via esxcli/vim-cmd herunter. Nutanix AHV: verschlüsselt .qcow2-Disks direkt.

Varianten: Original (C++/Windows), Linux/ESXi-Variante, „Megazord“ (Rust-Encryptor) und „Akira_v2“ (schnellerer ESXi-Encryptor). Programmiersprachen: C++ und Rust.

Indicators of Compromise (IOCs)

  • File Extensions: .akira, .akiranew
  • Ransom Note: akiranew.txt (enthält Link zum Tor-Verhandlungsportal)
  • Ausgenutzte CVEs: CVE-2020-3259, CVE-2023-20269, CVE-2024-40766, CVE-2024-40711, CVE-2023-27532
  • Eingesetzte Tools: Advanced IP Scanner, MASSCAN, BloodHound, AdFind, Mimikatz, AnyDesk, LogMeIn, PuTTY, Ngrok
  • MITRE ATT&CK: Gruppe G1024
  • Leak-Site: Tor-basiert, Retro-Optik (grün auf schwarz)

Was Unternehmen jetzt prüfen sollten

  • MFA auf allen VPN- und Remote-Zugängen – ohne Ausnahme
  • Firmware-Stand der VPN-/Firewall-Appliances (bekannte CVEs werden aktiv ausgenutzt)
  • Alte, ungenutzte VPN-Konten und Dienstleister-Zugänge deaktivieren
  • Backups offline/unveränderlich – Akira löscht erreichbare Sicherungen gezielt

Wie Argos unterstützt

Secure-Access-Lösungen mit MFA, 24/7-Erkennung über das Cyber Defense Center und Incident Response mit ≤ 30 Minuten Reaktionszeit remote.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →