El ransomware Akira ahora secuestra controladores Intel para desactivar Microsoft Defender

El panorama de la ciberseguridad enfrenta una nueva amenaza tras descubrirse la última innovación del grupo de ransomware Akira: la manipulación de controladores legítimos de Intel para desactivar protecciones de seguridad críticas. Este sofisticado vector de ataque representa una peligrosa evolución en las tácticas de ransomware, siendo uno de los primeros casos generalizados donde se abusa de componentes de proveedores de hardware confiables para evadir software de seguridad.

Análisis técnico:
La cadena de ataque comienza con la compromiso de redes empresariales mediante vectores comunes como phishing o puertos RDP expuestos. Una vez establecidos, los atacantes implementan una versión modificada del controlador de diagnóstico Ethernet de Intel (e1d65x64.sys), que incluye funcionalidad para desactivar la protección en tiempo real de Microsoft Defender. Al aprovechar la firma digital legítima y los privilegios elevados del controlador, el malware puede manipular configuraciones de seguridad sin activar mecanismos estándar de detección.

Impacto e implicaciones:
Esta técnica es particularmente peligrosa porque:

1. Evade detección basada en firmas tradicionales
2. Explota la confianza inherente en componentes de proveedores firmados digitalmente
3. No requiere vulnerabilidades zero-day, utilizando capacidades existentes del controlador
4. Deja mínimos rastros forenses comparado con otros métodos de evasión

Recomendaciones defensivas:
Los equipos de seguridad deben implementar:

• Listas blancas de aplicaciones para instalación de controladores
• Monitoreo reforzado de eventos de carga de controladores
• Segmentación de red para limitar movimiento lateral
• Revisiones periódicas de controladores instalados en entornos empresariales

La aparición de esta técnica sugiere que los grupos de ransomware están invirtiendo significativamente en investigación de evasión de defensas, lo que probablemente inspire ataques similares en el ecosistema cibercriminal.