Akira

Vue d’ensemble

Le groupe de rançongiciels Akira serait apparu en mars 2023, et les spéculations sont nombreuses sur ses liens avec l’ancien groupe CONTI. Il est à noter qu’avec la fin des opérations de CONTI, plusieurs affiliés ont migré vers des campagnes indépendantes comme Royal, BlackBasta et d’autres. Selon certains rapports, les affiliés d’Akira travaillent aussi avec d’autres opérations de rançongiciel, comme Snatch et BlackByte : un répertoire ouvert d’outils utilisés par un opérateur d’Akira a été identifié, et il avait également des liens avec le rançongiciel Snatch. La première version d’Akira était écrite en C++ et ajoutait l’extension « .akira » aux fichiers, en créant une note de rançon nommée « akira_readme.txt », en partie basée sur le code source de Conti V2. Toutefois, Avast aurait publié un outil de déchiffrement pour cette version le 29 juin 2023. Une version corrigeant la faille de déchiffrement est ensuite sortie le 2 juillet 2023. La nouvelle version serait écrite en Rust, cette fois nommée « megazord.exe », et change l’extension des fichiers chiffrés en « .powerranges ». La plupart des vecteurs d’accès initial d’Akira reposent sur des tentatives de force brute contre des équipements Cisco VPN (qui n’utilisent qu’une authentification à un seul facteur). L’exploitation des CVE-2019-6693 et CVE-2022-40684 pour l’accès initial a également été identifiée.

• Premier suivi: 2023-04-26
• Citée dans nos rapports: France · Émirats

Ce que disent les sources publiques

• Évaluée avec un niveau de confiance élevé comme dirigée par des personnes liées à l’opération Conti dissoute. L’analyse de la blockchain montre des portefeuilles d’Akira payant des portefeuilles liés à Conti, et le binaire refuse de s’exécuter sur des claviers russes.

TRM Labs · CybelAngel · Industrial Cyber

Géographie : origine et cibles

Vulnérabilités exploitées

Techniques ATT&CK

Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.

Détail des techniques

Outils

Infrastructure des sites de fuite

Sources et réserves

Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.

Relevé du: 2026-10-11