El grupo de ransomware Akira ha comprometido a cientos de víctimas durante el año pasado con un ciclo de vida de ataque bien perfeccionado que ha reducido el tiempo desde el acceso inicial hasta el cifrado de datos en menos de cuatro horas. de acuerdo a empresa de ciberseguridad Halcyon.

Akira ha estado activo desde 2023, acumulando al menos 245 millones de dólares en pagos de rescate de las víctimas hasta septiembre de 2025. El grupo cibercriminal probablemente incluya a ex miembros y afiliados del ahora desaparecido grupo de ransomware Conti, y es conocido por su pulido enfoque de la extorsión digital.

Un ejemplo principal se puede encontrar en la eficiencia del ciclo de infección de Akira, que ha reducido los tiempos de respuesta a incidentes a horas. Según Halcyon, Akira es conocido por utilizar vulnerabilidades de día cero, comprar exploits de intermediarios de acceso inicial y explotar VPN que carecen de autenticación multifactor para infectar a sus víctimas. Akira también utiliza un proceso conocido como «cifrado intermitente», mediante el cual los archivos grandes se pueden cifrar más rápido en bloques más pequeños.

«Akira es más sigiloso y menos agresivo, lo que permite que el ransomware se mueva rápidamente a través de toda la cadena de ataque del ransomware, desde el acceso inicial hasta la exfiltración y el cifrado en tan solo 1 hora sin detección», escribió Halcyon en un blog publicado el jueves. «En la mayoría de los casos, el tiempo desde el acceso inicial hasta el cifrado fue de menos de cuatro horas».

Además, si bien la mayoría de los operadores de ransomware tienden a dedicar “alrededor del 90-95 %” de su tiempo a desarrollar su malware de cifrado y del 5 al 10 % a crear descifradores, Halcyon dijo que Akira ha hecho “grandes esfuerzos para garantizar la recuperación de archivos grandes, como imágenes del servidor”, llegando incluso a guardar automáticamente archivos temporalmente con extensiones .akira personalizadas para garantizar que se puedan recuperar si se interrumpe el proceso de cifrado.

El blog de Halcyon señala que estos esfuerzos probablemente se deban menos a principios éticos que a que el grupo cree que ofrecer descifradores funcionales aumenta las posibilidades de que una empresa pague el rescate. La combinación de Akira de infección rápida y al mismo tiempo ofrece a las empresas una forma más confiable de recuperar sus datos es algo que «lo distingue de muchos operadores de ransomware».

«La capacidad del grupo para pasar del acceso inicial al cifrado completo en menos de una hora, manteniendo al mismo tiempo las garantías de recuperación que incentivan el pago de las víctimas, refleja una empresa criminal madura e impulsada por los negocios», dijo Halcyon.

Se ha observado que el grupo explota vulnerabilidades en los servidores de replicación y respaldo de Veeam, las VPN de Cisco y los dispositivos SonicWall. Al igual que otros grupos de ransomware, Akira utiliza un modelo de doble extorsión contra las víctimas, robando sus datos antes de cifrarlos y luego amenazando con publicar los datos robados en línea si las empresas no pagan.

El año pasado, el FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad señalaron a Akira como uno de los principales grupos criminales de ransomware del mundo, dirigido principalmente a pequeñas y medianas empresas de los sectores de fabricación, educación, TI, atención médica, financiera y agrícola.