Akira

Akira apareció en marzo de 2023. No existe atribución oficial/forense pública de identidad de sus operadores, pero múltiples analistas (Arctic Wolf, Trend Micro, Avast) señalan solapamiento de código y de patrones de pago en blockchain con el ecosistema post-Conti. Un analista de Red Sense plantea una hipótesis alternativa: que el nombre y parte del código derivarían de Ryuk, no directamente de Conti. Ninguna de estas atribuciones de origen está confirmada oficialmente.

Ransomware-as-a-Service (RaaS) con esquema de afiliados: el núcleo del grupo provee malware e infraestructura (DLS, paneles de negociación) a afiliados que ejecutan las intrusiones, a cambio de un porcentaje del rescate (porcentaje exacto no confirmado públicamente). A diferencia de otros RaaS, Sophos reporta que Akira NO recluta afiliados abiertamente en foros underground ni en su propio sitio de filtraciones, lo que sugiere un arreglo privado/cerrado. Usa doble extorsión (robo de datos + cifrado, con períodos en los que solo extorsionó sin cifrar). Demandas de rescate reportadas entre ~200.000 y más de 4.000.000 USD, ajustadas al perfil de la víctima.

La conexión más citada es con Conti (disuelto en 2022): Arctic Wolf documentó pagos por más de 600.000 USD desde wallets de Akira hacia direcciones vinculadas a afiliados de Conti (alta confianza según ese vendor, pero no confirmación independiente). Trend Micro y Avast reportan solapamiento de rutinas de cifrado y de archivos excluidos entre Akira y Conti, aunque advierten que el código fuente filtrado de Conti es usado por múltiples grupos no relacionados, por lo que la similitud de código por sí sola es evidencia débil. También se mencionan posibles vínculos operativos o de colaboración con Snatch y BlackByte (nivel de evidencia bajo). Una hipótesis minoritaria de un investigador individual sugiere relación directa con Ryuk antes que con Conti. No hay confirmación de identidad de miembros ni de detenciones.

Acceso inicial principalmente vía credenciales comprometidas y explotación de dispositivos perimetrales sin parchear o sin MFA: Cisco ASA/FTD (CVE-2023-20269, explotado desde agosto 2023 para ataques de fuerza bruta contra VPN de acceso remoto) y, más recientemente, firewalls SonicWall (actividad desde julio 2025 vinculada por SonicWall a CVE-2024-40766, no a un 0-day nuevo, pese a reportes iniciales de Arctic Wolf que sugerían lo contrario). Usa herramientas legítimas de administración remota para C2 (AnyDesk, MobaXterm, RustDesk, Ngrok, Cloudflare Tunnel, LogMeIn), desactiva EDR/AV (p.ej. abuso de PowerTool/driver Zemana AntiMalware), y exfiltra vía FTP/SFTP/Mega antes de cifrar. Ha tenido múltiples generaciones de encriptador: original en C++ (extensión .akira), 'Megazord' en Rust (extensión .powerranges, desde agosto 2023), 'Akira_v2' en Rust dirigido a ESXi (desde enero 2024, librería rust-crypto), y un retorno a muestras en C++ reportado por Cisco Talos desde septiembre 2024. Desde noviembre 2025 el aviso conjunto CISA/FBI documenta expansión a hipervisores Nutanix AHV (visto desde junio 2025), además de ESXi y Hyper-V ya cubiertos. Avisos oficiales clave: CISA/FBI/NCSC-NL AA24-109A (18 abril 2024) y su actualización del 13 de noviembre de 2025.