CyberVeille.ch📢 Reconstruction d'une kill chain Akira Ransomware à partir de logs périmètre et endpoint
📝 ## 🔍 Contexte
Publié le 28 mai 2026 sur le SANS Internet Storm Center par Man...
📖 cyberveille : https://cyberveille.ch/posts/2026-06-01-reconstruction-d-une-kill-chain-akira-ransomware-a-partir-de-logs-perimetre-et-endpoint/
🌐 source : https://isc.sans.edu/diary/Reconstructing+an+Akira+Ransomware+Kill+Chain+from+Perimeter+and+Endpoint+Logs/33024
#Active_Directory #AdFind #Cyberveille
Reconstruction d'une kill chain Akira Ransomware à partir de logs périmètre et endpoint
🔍 Contexte Publié le 28 mai 2026 sur le SANS Internet Storm Center par Manuel Humberto Santander Peláez (Handler SANS ISC), cet article présente la reconstruction complète d’une kill chain Akira ransomware dans une organisation de taille moyenne, en utilisant exclusivement des syslogs SSLVPN de pare-feu et des exports EVTX Windows (canaux Security, System, PowerShell/Operational). Aucun EDR, aucun PCAP, aucun proxy log n’était disponible. 🚪 Accès initial (Stage 1) L’attaquant a conduit une attaque par brute-force ciblant un compte SSLVPN local unique, depuis une seule adresse IP dans une plage d’hébergeur. Le compte était désactivé dans Active Directory mais toujours provisionné localement sur le firewall, sans MFA. L’authentification réussie est intervenue après environ 6 heures d’attaque, sans pause — comportement typique du credential stuffing.
Habr
