Akiraランサムウェア、WindowsのセーフモードでEDRを停止　データ窃取後の暗号化はメモリ不足で失敗

MDR（Managed Detection and Response）を提供するHuntressは2026年8月12日、Akiraランサムウェアのアフィリエイトによる攻撃で、Windowsを「セーフモードとネットワーク」に再起動し、EDRやMicrosoft Defenderのリアルタイム保護を停止させる手法を確認したと公表しました。

攻撃は8月4日に発生し、MFA（多要素認証）が設定されていないSonicWall SSL VPNへのクレデンシャルスプレーから始まりました。有効なVPNアカウントで侵入した攻撃者は、ドメインコントローラーやアプリケーションサーバーへ移動し、Active Directoryの情報収集やファイル共有の窃取を実施。その後、AnyDeskを利用して対象端末をセーフモードで再起動し、HuntressのEDRエージェントとMicrosoft Defenderのリアルタイム保護を停止させました。

ただし、攻撃者が実行したAkiraのランサムウェア本体は、セーフモード環境で仮想メモリ不足を起こして正常に動作せず、ファイル暗号化には失敗しました。一方で、認証情報やファイル共有のデータはすでに外部へ持ち出されており、暗号化されなかったからといって被害を回避できたわけではありません。

Akiraランサムウェアによるセーフモード悪用事案のサマリー

• Huntressは2026年8月12日、Akiraランサムウェアのアフィリエイトによる新たなEDR回避手法を公表しました。
• 攻撃は2026年8月4日に発生しました。
• 初期侵入は、インターネットへ公開されたSonicWall SSL VPNへのクレデンシャルスプレーでした。
• 対象のVPNアカウントにはMFAが設定されていませんでした。
• 攻撃者は有効なVPNアカウントでログイン後、約2時間でドメインコントローラーへRDP接続しています。
• Active Directory内のユーザーやコンピューター情報を列挙した後、アプリケーションサーバーへ移動しました。
• WinRARを使ってファイル共有のデータをまとめ、S3への転送ツールを利用して外部へ持ち出しました。
• 遠隔操作には正規のリモート管理ツールAnyDeskが使われました。
• 攻撃者はWindowsを「セーフモードとネットワーク」で再起動し、HuntressのEDRエージェントとMicrosoft Defenderのリアルタイム保護を停止させました。
• AnyDeskはセーフモードでも起動できるよう設定され、EDR停止中も攻撃者が遠隔操作を継続できる状態にされていました。
• Huntressによると、Akiraによるセーフモードを利用したEDR回避を同社が確認したのは今回が初めてです。
• Akiraランサムウェア本体はセーフモード環境で仮想メモリ不足を起こし、ファイル暗号化には失敗しました。
• Microsoft Defenderの定期スキャンはランサムウェアを検出しましたが、セーフモード中はリアルタイム保護が停止していたため、すぐには隔離できませんでした。
• 通常モードへ再起動した後、Defenderのリアルタイム保護が復旧し、Akiraの実行ファイルが隔離されました。
• 暗号化には失敗したものの、それ以前に認証情報とファイル共有のデータが窃取されていました。
• Huntressは、暗号化されなくても窃取データを材料とした恐喝が可能だと指摘しています。
• 今回の初期侵入について、SonicWall製品の特定の脆弱性が悪用されたとの情報は確認されていません。

項目	内容
公表日	2026年8月12日
調査・公表元	Huntress
攻撃確認日	2026年8月4日
攻撃者	AkiraランサムウェアのアフィリエイトとHuntressが評価
初期侵入	SonicWall SSL VPNへのクレデンシャルスプレー後、有効なVPNアカウントでログイン
MFA	対象VPNアカウントには設定されていなかった
内部侵入	ドメインコントローラーへRDP接続後、Active Directoryを列挙
データ窃取	ファイル共有をアーカイブし、外部のS3ストレージへ転送
遠隔操作	AnyDesk
EDR回避	Windowsをセーフモードとネットワークで再起動
停止した防御	Huntressエージェント、Microsoft Defenderのリアルタイム保護
ランサムウェア暗号化	仮想メモリ不足により失敗
データ流出	暗号化前に認証情報とファイル共有データを窃取
所要時間	初期侵入から暗号化試行まで数時間
特定CVEの悪用	今回事案では確認されていない
主な対策	VPNへのMFA、クレデンシャルスプレー検知、VPN・WindowsログのSIEM監視、セーフモード起動変更の監視、EDRの全端末展開

MFAのないSonicWall SSL VPNへクレデンシャルスプレー

攻撃は2026年8月4日午前3時45分ごろ（UTC）、SonicWall SSL VPNに対する複数のログイン失敗から始まりました。

Huntressが確認したログでは、複数のユーザー名に対して外部IPアドレスから認証試行が行われており、クレデンシャルスプレーと判断されています。

約7分後、有効なVPNアカウントによるログインが成功しました。

このアカウントにはMFAが設定されていませんでした。

今回のHuntressの調査では、SonicWallの特定の脆弱性を悪用して認証を突破したとの事実は示されていません。有効な認証情報を利用したVPNログインとして確認されています。

FBI、CISAなどが2025年11月に更新したAkiraランサムウェアの共同アドバイザリでは、Akiraの攻撃者がSonicWallを含むVPN製品へ、ログイン情報の窃取や脆弱性の悪用によって侵入することが確認されています。

今回の事案ではそのうち、認証情報を利用した侵入への対策としてMFAの重要性が改めて示されました。

セキュリティ対策Labでは、SonicWall SSL VPNを狙う攻撃について、SonicWall Gen6 SSL-VPNのCVE-2024-12802はファームウェア更新だけでは対策不十分でも取り上げています。ただし、CVE-2024-12802が今回のAkiraの侵入に利用されたことを示す情報はありません。

VPN侵入から約2時間でドメインコントローラーへ到達

VPNへのログイン成功後、攻撃者が実際に内部環境で操作を始めるまでには約2時間ありました。

その後、攻撃者はRDPを利用してドメインコントローラーへ接続し、Active Directoryに登録されたユーザーやコンピューターに関する情報を収集しました。

Huntressによると、ユーザー情報では所属グループ、メールアドレス、電話番号、パスワードの最終変更日時、最終ログイン日時などが収集され、コンピューター側ではホスト名、OS、IPアドレスなどが列挙されていました。

これらは認証情報そのものだけでなく、攻撃者が次にどの端末やアカウントを狙うかを判断するための情報になります。

攻撃者はその後アプリケーションサーバーへ移動し、データ窃取を開始しました。

ファイル共有をまとめて外部S3へ持ち出し

アプリケーションサーバーでは、正規の圧縮ソフトWinRARが導入され、複数のファイル共有に保存されているデータがまとめられました。

その後、Amazon S3互換ストレージとの高速なデータ転送に利用できる「s5cmd」というコマンドラインツールを使い、攻撃者が管理するS3バケットへデータを転送しています。

この時点で、ランサムウェアによるファイル暗号化はまだ行われていません。

Akiraを含む近年のランサムウェア攻撃では、暗号化の前にデータを窃取し、「身代金を支払わなければ情報を公開する」と脅す二重恐喝が一般化しています。

今回も最終的な暗号化には失敗しましたが、データ窃取そのものは完了していました。

そのため、「ランサムウェアが動かなかった＝インシデントを防げた」と評価することはできません。

AnyDeskを使いセーフモードでも遠隔操作を維持

データ窃取後、攻撃者は正規のリモート管理ソフトAnyDeskをサービスとして導入しました。

AnyDesk自体は企業のリモートサポートなどにも使われる正規製品ですが、攻撃者が侵害後の遠隔操作やC2通信に悪用するケースもあります。

今回の特徴は、Windowsをセーフモードへ移行した後もAnyDeskを利用できるように設定していた点です。

通常、Windowsのセーフモードではトラブルシューティングのため、必要最小限のドライバーとサービスだけが起動します。このため、多くのサードパーティ製セキュリティソフトやリモート管理ソフトは起動しません。

攻撃者はAnyDeskだけをセーフモードでも利用できる状態にしたうえで端末を再起動し、防御側の監視機能を停止させながら、自身の遠隔操作経路は維持していました。

セーフモードでHuntress EDRとDefenderのリアルタイム保護が停止

攻撃者は午前6時29分ごろ、対象端末を「セーフモードとネットワーク」で再起動しました。

セーフモードではサードパーティ製サービスの多くが起動しないため、HuntressのEDRエージェントも停止しました。

Microsoft Defenderについてもリアルタイム保護が利用できない状態になりました。

Huntressによると、この間、対象端末では正常に動作するEDRがなく、アンチウイルスのリアルタイム監視も機能していない状態となりました。

Windowsのセーフモードをセキュリティ製品の停止に利用する手法自体は新しいものではありません。

SnatchやAvosLockerなどのランサムウェアでも過去に確認されています。

一方、HuntressがAkiraの攻撃でこの手法を観測したのは今回が初めてです。

EDR停止には成功したがAkiraの暗号化処理がメモリ不足で失敗

攻撃者はセーフモードでEDRとMicrosoft Defenderのリアルタイム保護を停止させた後、Akiraランサムウェアの実行を試みました。

しかし、実行から間もなくWindows側で仮想メモリ不足のエラーが発生しました。

PowerShellを含む関連プロセスでもメモリに関するエラーが続き、Akiraの暗号化処理は正常に進みませんでした。

Huntressは、セーフモードが通常より制限された環境で動作することから、Akiraのプロセスが必要とする仮想メモリを確保できなくなった可能性を指摘しています。

つまり攻撃者は、EDRを停止する目的で利用したセーフモードによって、自らのランサムウェアを正常に実行できない状態を作ったことになります。

ただし、これはセーフモードがAkiraへの防御策になることを意味しません。

Huntressも、物理メモリやページファイルの大きさが異なる端末では暗号化に成功する可能性や、攻撃者が今後ランサムウェアを改良する可能性を指摘しています。

DefenderはAkiraを検出するもセーフモード中は隔離できず

興味深い点として、Microsoft Defenderの定期スキャン自体はその後Akiraのランサムウェアファイルを検出しました。

しかし、セーフモードではDefenderのリアルタイム保護が正常に稼働していなかったため、検出したファイルを正常に隔離できませんでした。

攻撃者が端末を通常モードへ戻したことでDefenderのリアルタイム保護が復旧し、その後Akiraの実行ファイルが隔離されています。

この動きは、セキュリティ製品が「マルウェアを認識できること」と「実際に防御・隔離できること」が別である点も示しています。

EDRやアンチウイルスが意図的に停止される状態では、最新の検知シグネチャを持っていても防御機能を十分に発揮できない場合があります。

暗号化に失敗してもデータ恐喝は成立する

今回の攻撃では、最終的にファイル暗号化が成立しませんでした。

しかし、攻撃者はその前段階で認証関連情報やファイル共有のデータを外部へ持ち出しています。

Huntressは、暗号化に失敗した場合でも、窃取したデータの公開を材料とした恐喝は可能だと指摘しています。

これは近年のランサムウェア対応で重要な点です。

従来は「ファイルが暗号化されたか」「バックアップから復旧できるか」がランサムウェア対策の中心でしたが、現在は暗号化が発生していなくても情報漏えいインシデントとして対応する必要があります。

外部への大容量通信やクラウドストレージへのデータ転送を検知できる仕組みも、ランサムウェア対策の一部として考える必要があります。

AkiraはVPNやEDRの監視外を狙う手法を継続

FBIやCISAなどが2025年11月に更新した共同アドバイザリでも、AkiraはSonicWallを含むVPN製品を初期侵入経路として利用することが確認されています。

Akiraは2023年以降活発に活動しており、WindowsだけでなくVMware ESXiなどの仮想化環境も攻撃対象としてきました。

また、EDRが導入されていない場所やセキュリティ監視の死角を利用する事例も確認されています。

セキュリティ対策Labでは、AkiraランサムウェアがIPカメラを介して攻撃した事案も取り上げています。

今回のセーフモード悪用も、「EDRそのものを正面から突破する」のではなく、「EDRが動作しない環境を作る」という防御回避の一例です。

EDRを導入しているだけではなく、EDRが停止した場合や監視対象外の機器から攻撃された場合を想定する必要があります。

情報システム部門への示唆

今回の事案で最も基本的な対策は、VPNアカウントへのMFAです。

攻撃者は複数アカウントへの認証試行を繰り返した後、有効な認証情報を使ってMFAのないSSL VPNへログインしました。パスワードが漏えい・推測された場合でも、MFAが追加されていれば侵入を防げる可能性が大きく高まります。

VPNログについても、単発のログイン失敗だけを見るのではなく、同じ送信元から複数アカウントへ短時間に認証試行が行われ、その直後に成功ログインが発生していないかを相関分析する必要があります。

また、EDRは一部の重要端末だけでなく、攻撃者が横展開に利用できるサーバーや端末へ可能な限り広く展開することが重要です。今回の環境では、Huntressのエージェントが導入されていたのは列挙された端末の一部だったとされています。

Safe Modeを悪用した回避については、通常業務でセーフモード起動が頻繁に発生する環境は多くありません。Windowsのブート設定変更、セーフモードでの起動、セキュリティサービスの停止、セーフモードでも起動するサービスの追加などを監視対象にすることで、早期検知につながります。

さらに、VPNログとWindowsイベントログをSIEMへ集約し、端末側のEDRが一時的に停止してもネットワークや別のログ基盤から攻撃を追跡できるようにすることが重要です。

今回のように暗号化前にデータが窃取されることを前提として、外部クラウドストレージへの大量アップロード、通常利用していない転送ツール、急激な外向き通信量の増加なども監視する必要があります。

ランサムウェア対策では、「暗号化を止める」だけでなく、「VPNへの侵入を止める」「内部での横展開を検知する」「EDR停止を検知する」「データの外部持ち出しを止める」という複数の層で対策を設計することが求められます。

出典

• Akira Hits Safe Mode: Ransomware Rebooting Around EDR – Huntress
• #StopRansomware: Akira Ransomware – FBI / CISAほか
• CVE-2024-12802はファームウェア更新だけでは対策不十分、SonicWall Gen6 SSL-VPNでMFA回避 – セキュリティ対策Lab
• ランサムウェアグループ AkiraがIPカメラを介して攻撃 – セキュリティ対策Lab