Ransomware Akira mira Hyper-V e VMware ESXi
Pesquisadores detectaram uma nova onda de ataques com o ransomware Akira direcionada especificamente a ambientes de virtualização: Hyper‑V e VMware ESXi. A campanha expõe um vetor de alto impacto, porque ao comprometer hosts de hypervisor os atacantes conseguem cifrar várias máquinas virtuais a partir de uma única infiltração.
Descoberta e escopo / O que mudou agora
Equipes de resposta e analistas da Huntress identificaram atividade incomum em infraestruturas virtualizadas que atribuíram ao grupo por trás da família Akira. O grupo teria aperfeiçoado ferramentas para localizar discos de máquinas virtuais e arquivos de configuração, com rotinas que aceleram a cifragem e tentam interromper mecanismos de recuperação.
Vetor e exploração / Mitigações
De acordo com a análise disponível, o Akira obtém acesso inicial sobretudo via credenciais administrativas comprometidas e exploração de hosts sem patch. Com privilégios de administrador sobre o host, os scripts do grupo pesquisam por VMDK, VHD(X) e outros artefatos relacionados a máquinas virtuais, desabilitam serviços de backup e removem snapshots ou cópias de recuperação antes de iniciar a cifragem em massa.
./akira_esxi --encryption-mode fast --exclude-vm backup-server
O comando de exemplo encontrado na cobertura demonstra parâmetros para acelerar a operação e evitar VMs específicas (por exemplo, servidores de backup), o que maximiza impacto e reduz chances de restauração automática.
Medidas imediatas de mitigação recomendadas:
- isolar hosts de hypervisor com controle de acesso estrito e autenticação multifator para contas administrativas;
- aplicar patches regularmente em ESXi e Hyper‑V e revisar configurações padrões;
- proteger e testar backups fora da rede principal e validar integridade de snapshots;
- monitorar logs de gerenciamento de virtualização e alertar para operações de exclusão de snapshot ou atividade de desligamento de serviços de backup;
- evitar o uso de credenciais administrativas compartilhadas e auditar acessos.
Impacto e alcance / Setores afetados
Ambientes de data center, provedores de serviços de nuvem privados e empresas que centralizam múltiplas VMs em hosts físicos estão em maior risco: uma invasão bem-sucedida pode paralisar dezenas ou centenas de sistemas simultaneamente, ampliando o dano e o tempo de recuperação.
Limites das informações / O que falta saber
A cobertura não traz números públicos de vítimas nem exemplos de segmentos afetados. Também faltam indicadores de comprometimento (IoCs) completos e amostras para análise pública, o que limita a capacidade de bloquear vetores específicos além das recomendações genéricas de hardening e monitoramento.
Repercussão / Próximos passos
Operadores de nuvem e equipes de proteção de infraestrutura devem priorizar auditorias de acesso administrativo, testes de restauração de backup e simulações de incidentes que envolvam hosts de virtualização. Fornecedores e integradores de soluções de proteção para hypervisors precisam aperfeiçoar detecções focadas em operações suspeitas sobre arquivos de VM e em mudanças de configuração de backup.
Fonte: análise e detecção relatadas pela Cyber Security News com base em investigação da Huntress.