Safe Mode spegne EDR e Defender prima del ransomware
La parte decisiva non è solo il reboot in Safe Mode: è che il controllo endpoint può essere portato fuori gioco prima della detonazione, lasciando visibili soprattutto i segnali di boot e di servizio. In questo caso un affiliato di Akira ha usato un accesso SonicWall, l’enumerazione di Active Directory e poi un riavvio in Safe Mode per togliere di mezzo EDR e Defender su Windows.
Huntress descrive una catena già nota per Akira, ma con una variazione utile ai difensori: Safe Mode with Networking carica solo i componenti di base di Windows e lascia fuori i prodotti di terze parti, così la protezione in tempo reale si spegne pur restando attiva la connettività. La stessa mossa sembra però aver fatto saltare il ransomware e ha lasciato artefatti di boot rilevabili da SIEM e telemetria di sistema.
Per chi difende endpoint Windows o gestisce accessi VPN SonicWall, il punto è che la finestra critica non coincide più solo con l’esecuzione del malware. Se il reboot in Safe Mode riesce, la risposta deve partire da eventi di avvio e configurazione del servizio, non soltanto dagli alert di infezione.