Ciberseguridad

Estados Unidos ha elevado el nivel de alerta ante una de las operaciones de ransomware más agresivas de los últimos años. El grupo Akira, responsable de continuos ataques a empresas y organismos públicos desde 2023, representa una “amenaza inminente para la infraestructura crítica”, según ha advertido la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA, por sus siglas en inglés) en un nuevo aviso publicado conjuntamente con el FBI y agencias internacionales.

La advertencia no es menor. Akira lleva meses consolidándose como una de las bandas de ransomware más prolíficas, diversificadas y técnicamente versátiles del ecosistema criminal. Solo hasta finales de septiembre, el grupo había obtenido más de 244 millones de dólares en pagos de rescate, una cifra que confirma su impacto global y su capacidad para adaptarse a nuevos entornos, plataformas y vulnerabilidades.

La actualización de CISA llega además en un momento especialmente complejo para las defensas corporativas: en apenas dos días, la agencia estadounidense ha añadido varias vulnerabilidades críticas a su catálogo de fallos explotados activamente (KEV), recordando a los administradores de sistemas que los agujeros de seguridad siguen siendo la puerta principal para ataques devastadores.

Entre los nuevos datos publicados por CISA destaca un hito inquietante: en junio de 2025, el grupo consiguió cifrar por primera vez máquinas virtuales Nutanix AHV, superando así su dependencia histórica de entornos VMware ESXi o Hyper-V. Para lograrlo, los atacantes abusaron de la vulnerabilidad CVE-2024-40766, un fallo crítico de SonicWall que había sido descrito meses antes.

Nuevas vulnerabilidades explotadas: una puerta de entrada constante

La actualización de CISA incorpora seis nuevas vulnerabilidades confirmadas como utilizadas por Akira para obtener acceso inicial:

• CVE-2020-3580 – XSS en Cisco ASA y Firepower (FTD).

• CVE-2023-28252 – Elevación de privilegio en el sistema de archivos Common Log File System de Windows.

• CVE-2024-37085 – Bypass de autenticación en VMware ESXi.

• CVE-2023-27532 – Falta de autenticación crítica en Veeam.

• CVE-2024-40711 – Deserialización de datos no confiables en Veeam.

• CVE-2024-40766 – Acceso indebido en SonicWall.

El patrón es claro: Akira aprovecha fallos en productos ampliamente desplegados, especialmente soluciones de VPN, backup y seguridad perimetral, para infiltrarse en redes corporativas.

CISA advierte que los actores de Akira pueden comprometer productos como SonicWall mediante robo de credenciales, explotación directa de fallos o incluso mediante credenciales obtenidas a través de Initial Access Brokers (IAB). Estos intermediarios criminales venden accesos ya comprometidos, lo que reduce significativamente el tiempo y el esfuerzo de los grupos de ransomware.

Además, el grupo emplea técnicas como password spraying y herramientas como SharpDomainSpray para violar cuentas corporativas. El uso de SSH como vector de entrada también está documentado, especialmente mediante el abuso de direcciones IP de routers vulnerables.

Persistencia y movimiento lateral: una operación silenciosa y difícil de detectar

Una vez dentro de la red, Akira despliega una estrategia meticulosa para mantener persistencia, evadir controles y escalar privilegios.

Entre las tácticas descritas por CISA están el uso de scripts en Visual Basic para ejecutar comandos maliciosos, el descubrimiento del entorno mediante nltest /dclist y nltest /DOMAIN_TRUSTS,  así como el uso herramientas legítimas como AnyDesk y LogMeIn, camuflando actividad maliciosa como si fuese administración remota ordinaria y de Impacket, especialmente wmiexec.py, para obtener shells remotos. Además son capaces de desinstalar soluciones EDR, una técnica que se ha convertido en una firma del grupo para paralizar la detección.

Uno de los incidentes más llamativos descritos en la advertencia detalla cómo los atacantes consiguieron sortear la protección de archivos VMDK: apagaron un controlador de dominio virtual, copiaron los discos virtuales a una VM recién creada y extrajeron el archivo NTDS.dit y la colmena SYSTEM. Ese movimiento les permitió comprometer una cuenta de administrador de dominio altamente privilegiada, abriendo la puerta al cifrado masivo.

Velocidad letal: exfiltración en poco más de dos horas

Uno de las cosas más preocupantes es la rapidez con la que el grupo puede completar un ataque. Según CISA, Akira ha llegado a exfiltrar datos apenas dos horas después del acceso inicial, una velocidad que deja a las empresas prácticamente sin margen de reacción.

El aviso confirma también que la variante Akira_v2 utiliza extensiones como .akira, .powerranges, .akiranew o .aki para marcar archivos cifrados. Además, deja notas de rescate con nombres como fn.txt o akira_readme.txt en la raíz del sistema y en cada carpeta de usuario.