Hacker Akira Menonaktifkan EDR Lewat Safe Mode, Curi Data tetapi Gagal Mengenkripsi File

Operator ransomware Akira menggunakan teknik untuk menonaktifkan perlindungan endpoint dengan me-restart komputer korban ke Safe Mode with Networking. Meskipun berhasil mematikan EDR dan mencuri data, attacker akhirnya gagal menjalankan payload ransomware untuk mengenkripsi file.

Serangan tersebut terjadi pada 4 Agustus 2026 dan bermula dari perangkat SonicWall VPN yang terekspos ke Internet tanpa perlindungan multi-factor authentication (MFA).

Insiden ini menunjukkan bahwa ransomware operator tidak selalu membutuhkan eksploitasi vulnerability yang kompleks. Kredensial VPN yang tidak dilindungi MFA dapat menjadi pintu masuk untuk melakukan reconnaissance, lateral movement, pencurian data, hingga mencoba menonaktifkan security software sebelum menjalankan ransomware.

Serangan Dimulai dari VPN SonicWall

Menurut penyelidikan perusahaan managed detection and response (MDR), attacker memperoleh akses awal melalui akun VPN pada perangkat SonicWall yang tidak menggunakan MFA.

Sekitar dua jam setelah berhasil login ke VPN, attacker mulai memperluas akses di jaringan internal.

Mereka terhubung ke domain controller menggunakan Remote Desktop Protocol (RDP), kemudian melakukan enumerasi terhadap pengguna dan komputer yang terdaftar di Active Directory.

Setelah memperoleh informasi mengenai lingkungan jaringan, attacker berpindah ke sebuah application server.

Aktivitas tersebut menunjukkan pola serangan yang umum digunakan dalam operasi ransomware, yaitu memanfaatkan akses awal untuk memahami struktur jaringan sebelum menentukan sistem dan data yang memiliki nilai tinggi.

Data Dicuri Sebelum Ransomware Dijalankan

Sebelum mencoba menjalankan ransomware, operator Akira terlebih dahulu mengumpulkan data dari jaringan korban.

Attacker menggunakan WinRAR untuk mengarsipkan file dari mapped network shares.

Arsip tersebut kemudian diunggah ke infrastructure yang dikendalikan attacker menggunakan s5cmd, sebuah command-line tool yang dapat digunakan untuk berinteraksi dengan layanan Amazon S3-compatible storage.

Data yang berhasil dicuri digunakan sebagai bagian dari skema data extortion.

Setelah proses pencurian data berlangsung, attacker memasang AnyDesk untuk memperoleh remote access tambahan terhadap sistem yang telah dikompromikan.

Tahap berikutnya menjadi bagian paling menarik dari serangan tersebut.

Akira Mematikan EDR Lewat Safe Mode

Dengan menggunakan AnyDesk, attacker memaksa sistem Windows untuk melakukan reboot ke Safe Mode with Networking.

Safe Mode merupakan mode startup Windows yang dirancang untuk troubleshooting dan diagnostic operations. Dalam mode ini, Windows hanya menjalankan driver dan service yang diperlukan sehingga banyak software pihak ketiga tidak ikut dimuat.

Kondisi tersebut dimanfaatkan attacker untuk menghindari perlindungan endpoint.

Ketika sistem berada dalam Safe Mode, attacker menonaktifkan Huntress agent sekaligus mematikan real-time protection milik Microsoft Defender.

Akibatnya, selama sekitar 10 menit sistem tidak memiliki EDR yang berfungsi dan perlindungan antivirus real-time juga tidak aktif.

Namun, attacker tidak hanya mengandalkan Safe Mode untuk mempertahankan akses.

AnyDesk Dimasukkan ke Konfigurasi Safe Mode

Untuk memastikan remote access tetap tersedia setelah sistem masuk Safe Mode, attacker menambahkan AnyDesk ke konfigurasi registry yang digunakan Windows Safe Mode.

Dengan cara tersebut, AnyDesk dapat tetap berjalan ketika komputer melakukan booting ke Safe Mode with Networking.

Teknik ini memungkinkan attacker mempertahankan koneksi remote meskipun berbagai service keamanan pihak ketiga tidak lagi berjalan.

Dari perspektif defender, perubahan terhadap konfigurasi Safe Mode seperti ini menjadi indikator penting yang perlu dipantau karena dapat menunjukkan upaya attacker untuk menghindari endpoint protection.

Ransomware Akira Justru Gagal Berjalan

Setelah EDR dan antivirus real-time berhasil dinonaktifkan, attacker mencoba menjalankan payload utama ransomware bernama akira.exe melalui AnyDesk.

Namun, rencana tersebut tidak berjalan sesuai harapan.

Payload ransomware gagal dieksekusi karena sistem mengalami masalah virtual memory. Windows menghasilkan error terkait kondisi out-of-memory dan PowerShell ketika attacker mencoba menjalankan ransomware.

Akibatnya, Akira tidak berhasil melakukan proses enkripsi file pada sistem korban.

Kegagalan tersebut membuat serangan ransomware tidak mencapai tahap akhir yang biasanya menjadi tujuan utama operator, yaitu mengenkripsi data dan meminta tebusan.

Microsoft Defender Tetap Mendeteksi Payload

Meskipun real-time protection dinonaktifkan selama Safe Mode, Microsoft Defender tetap menjalankan scheduled scan.

Dalam proses tersebut, Defender berhasil mendeteksi file akira.exe.

Namun, security software tersebut tidak dapat langsung menghapus atau mengarantina file selama sistem masih berada dalam Safe Mode.

Kondisi tersebut berubah setelah attacker melakukan reboot kembali ke mode Windows normal.

Ketika sistem kembali berjalan secara normal, real-time protection Defender aktif kembali dan file Akira akhirnya berhasil dikarantina.

Dengan demikian, upaya attacker untuk melewati security controls menggunakan Safe Mode berhasil untuk sementara waktu, tetapi tidak sepenuhnya berhasil mempertahankan payload ransomware.

Data Tetap Berhasil Dicuri dalam Kurang dari Lima Jam

Meskipun gagal mengenkripsi file, serangan tersebut tetap menghasilkan dampak yang signifikan.

Attacker berhasil memperoleh credentials dan mencuri file korban untuk digunakan dalam data extortion.

Seluruh rangkaian serangan, mulai dari initial access hingga aktivitas pencurian data, berlangsung dalam waktu kurang dari lima jam.

Hal ini memperlihatkan bahwa kegagalan ransomware melakukan enkripsi tidak berarti serangan dapat dianggap gagal sepenuhnya.

Dalam model ransomware modern, pencurian data dapat menjadi sumber tekanan tambahan terhadap korban. Operator dapat mengancam mempublikasikan informasi yang dicuri meskipun tidak berhasil mengenkripsi sistem.

Teknik Safe Mode Sudah Digunakan Ransomware Lain

Penggunaan Safe Mode untuk menghindari endpoint security sebenarnya bukan teknik baru.

Kelompok ransomware lain, termasuk Snatch dan AvosLocker, telah menggunakan pendekatan serupa selama bertahun-tahun.

Namun, ini merupakan pertama kalinya teknik tersebut diamati dalam serangan Akira yang ditangani oleh tim investigasi tersebut.

Pemanfaatan Safe Mode menjadi menarik bagi ransomware operator karena mode tersebut secara desain membatasi software dan service yang dijalankan Windows.

Jika security agent bergantung pada service yang tidak aktif dalam Safe Mode, attacker dapat memperoleh jendela waktu untuk menjalankan aktivitas malicious tanpa pengawasan endpoint protection secara normal.

MFA Menjadi Pertahanan Penting pada VPN

Serangan Akira ini juga memperlihatkan pentingnya penerapan MFA pada seluruh akun VPN.

Initial access dalam insiden tersebut berasal dari VPN yang tidak menggunakan MFA. Setelah mendapatkan akses, attacker hanya membutuhkan waktu sekitar dua jam sebelum mulai berinteraksi dengan domain controller dan melakukan reconnaissance terhadap jaringan internal.

Administrator juga disarankan menerapkan mekanisme deteksi terhadap credential spraying dan aktivitas login VPN yang tidak biasa.

Selain itu, perubahan konfigurasi boot Windows harus mendapatkan perhatian khusus.

Indikator yang perlu dipantau antara lain:

• Perubahan konfigurasi untuk melakukan boot ke Safe Mode
• Aktivasi Safe Mode with Networking secara tidak biasa
• Penambahan remote-access software ke registry Safe Mode
• Instalasi atau penggunaan AnyDesk yang tidak sah
• Perubahan status EDR atau antivirus
• Aktivitas mencurigakan setelah reboot
• Penggunaan tool seperti WinRAR dan s5cmd untuk mengarsipkan serta memindahkan data

Dengan memonitor aktivitas tersebut secara bersamaan, organisasi dapat meningkatkan peluang mendeteksi ransomware operator sebelum mereka berhasil menyelesaikan proses data theft maupun encryption.

Serangan ini menjadi pengingat bahwa Safe Mode bukan hanya fitur troubleshooting, tetapi juga dapat disalahgunakan sebagai sarana untuk melemahkan endpoint security. Sementara itu, penerapan MFA pada VPN tetap menjadi salah satu langkah paling penting untuk mencegah attacker memperoleh akses awal ke jaringan perusahaan.

Sumber: Huntress