Le ransomware Akira reste l’une des menaces les plus rapides pour les PME et ETI : un nouveau rapport d’intrusion publié cette semaine montre un déploiement du ransomware Akira en moins de 44 heures après la compromission initiale, avec chiffrement multi-passes des partages et du contrôleur de domaine. Détecter l’intrusion avant le chiffrement est donc le seul levier réaliste : une fois le locker lancé, il est trop tard. Ce guide pratique vous donne les signaux à surveiller et les actions de durcissement à appliquer dès aujourd’hui.
Pourquoi le ransomware Akira va si vite
Le mode opératoire observé est désormais industrialisé. Les opérateurs d’Akira enchaînent accès initial, reconnaissance, élévation de privilèges et exfiltration en quelques heures, puis lancent le binaire de chiffrement (par exemple locker.exe -p=G:\ -n=15) sur l’ensemble des partages et le DC. Avant le chiffrement, les attaquants prennent soin d’effacer leurs traces — désinstallation d’outils de transfert comme FileZilla, suppression des journaux. Cette fenêtre de 44 heures est exactement le temps dont vous disposez pour détecter l’intrusion.
- Accès initial : VPN sans MFA, identifiants volés via infostealers (Amadey, StealC), ou faille exposée sur un service périmétrique.
- Reconnaissance : scans réseau internes, requêtes LDAP massives, énumération des partages.
- Mouvement latéral : RDP, outils légitimes détournés (RustDesk, AnyDesk, PsExec).
- Exfiltration puis chiffrement : double extorsion, suppression des sauvegardes (VSS) avant le locker.
Détecter le ransomware Akira : les signaux clés
La détection précoce du ransomware Akira repose sur des indicateurs comportementaux, pas seulement sur des signatures. Surveillez en priorité :
Signaux réseau et authentification
- Connexions VPN depuis des géolocalisations inhabituelles ou hors horaires.
- Pics d’échecs d’authentification suivis d’un succès (credential stuffing réussi).
- Trafic LDAP/SMB anormal entre postes qui ne communiquent jamais habituellement.
Signaux sur les hôtes
- Installation d’outils de prise en main à distance (AnyDesk, RustDesk) non approuvés.
- Exécution de
vssadmin delete shadowsouwbadmin delete— suppression des sauvegardes. - Création de comptes locaux ou de domaine suspects, ajout au groupe administrateurs.
- Désinstallation soudaine d’un client FTP/transfert juste après un gros volume sortant.
Durcir votre PME-ETI contre le ransomware Akira
Réduire la surface d’attaque du ransomware Akira et raccourcir votre temps de détection passe par des mesures concrètes et peu coûteuses :
- MFA partout : sur le VPN, les accès distants et les comptes à privilèges. C’est la barrière n°1 contre l’accès initial.
- Sauvegardes immuables et hors-ligne : appliquez la règle 3-2-1, testez la restauration, isolez au moins une copie du domaine.
- Segmentation réseau : cloisonnez serveurs, postes et sauvegardes pour casser le mouvement latéral.
- EDR/XDR avec réponse automatisée : un capteur capable d’isoler un hôte dès la détection de
vssadmin deletefait gagner les heures décisives. - Allowlisting des outils d’accès distant : bloquez par défaut RustDesk, AnyDesk et consorts.
- Patch des services périmétriques : VPN, pare-feu et passerelles sont les portes d’entrée préférées.
Que faire si l’intrusion est confirmée
Si vous détectez l’intrusion avant le chiffrement, chaque minute compte :
- Isoler les hôtes compromis du réseau sans les éteindre (préservation des preuves).
- Révoquer les sessions et réinitialiser les identifiants à privilèges.
- Vérifier l’intégrité des sauvegardes hors-ligne avant toute restauration.
- Déclencher votre plan de réponse à incident et, si besoin, un prestataire DFIR.
La leçon centrale de ces intrusions Akira est simple : la défense ne se joue pas au moment du chiffrement, mais dans les 44 heures qui le précèdent. Une détection rapide et une réponse automatisée transforment une catastrophe en simple incident maîtrisé. Pour les PME-ETI, investir dans la visibilité et les sauvegardes immuables reste le meilleur rapport coût/protection face au ransomware Akira.