Akira désactive l’EDR en basculant la machine en mode sans échec avant d’exfiltrer les données

4 août 2026. Un affilié du ransomware Akira obtient l’accès initial à travers un VPN SonicWall exposé, dépourvu de MFA. Deux heures plus tard. Il se connecte au contrôleur de domaine par RDP et énumère les comptes Active Directory. Moins de cinq heures après l’accès initial. Les données sont exfiltrées — alors que le chiffrement, lui, a échoué de peu.

C’est le récit publié le 13 août 2026 par Huntress, l’éditeur de MDR qui a détecté et suivi l’intrusion. Sa leçon dépasse Akira : un EDR n’est pas un filet de sécurité dès lors que l’attaquant détient des identifiants valides et peut décider, seul, dans quel mode la machine va redémarrer.

L’accès initial : un VPN exposé, sans MFA

Tout part d’un pare-feu VPN SonicWall accessible depuis Internet et non protégé par authentification multifacteur. C’est le maillon qui a tout débloqué. Environ deux heures après une connexion VPN réussie, l’attaquant a ouvert une session RDP sur le contrôleur de domaine, énuméré les utilisateurs et les machines de l’annuaire, puis pivoté vers un serveur d’applications.

Sur place, il a archivé les partages réseau mappés avec WinRAR, puis utilisé l’outil s5cmd pour téléverser les archives vers un bucket S3 qu’il contrôlait. Enfin, il a installé AnyDesk pour conserver un accès distant persistant — la porte de sortie comme la porte d’entrée.

Le mode sans échec, angle mort des EDR

C’est l’étape suivante qui fait la valeur du rapport Huntress. Via AnyDesk, l’attaquant a forcé la machine compromise à redémarrer en mode sans échec avec prise en charge réseau. Ce mode de démarrage de Windows, conçu pour le diagnostic, ne charge qu’un jeu réduit de pilotes et de services : la plupart des logiciels tiers ne démarrent pas. En l’occurrence, l’agent Huntress et la protection en temps réel de Microsoft Defender se sont retrouvés hors course.

« Pendant dix minutes en mode sans échec, l’hôte n’avait aucun EDR fonctionnel, et l’antivirus était aveugle », résume Huntress. L’attaquant a profité de cette fenêtre pour inscrire AnyDesk dans le registre du mode sans échec, de sorte que l’outil d’accès distant survive au redémarrage et lui garantisse la main sur la machine.

Le détail est décisif pour les défenseurs : le contournement de l’EDR n’a exigé aucun exploit, aucun kill de processus, aucun pilote signé. Juste un changement d’état de démarrage — un geste administratif que la plupart des télémétries ne surveillent pas.

Une vieille ruse qui traverse les familles de ransomware

Le redémarrage en mode sans échec pour neutraliser les défenses n’est pas une invention d’Akira. Snatch l’a popularisé dès 2019 en inscrivant son binaire dans le registre du mode sans échec pour qu’il s’exécute à la place des agents de sécurité ; AvosLocker a suivi, puis d’autres familles comme BlackByte ou Medusa ont exploité des variantes. Huntress note que c’est la première fois qu’elle l’observe chez Akira, ce qui en dit long sur la porosité des groupes : les TTP ne restent jamais l’apanage d’une seule famille.

La mécanique est toujours la même : Windows en mode sans échec avec prise en charge réseau charge un noyau minimal, un jeu réduit de pilotes et de services, et laisse de côté la plupart des agents EDR tiers — ils ne sont simplement pas démarrés. L’attaquant n’a pas besoin de tuer le processus de l’agent ; il lui suffit de faire en sorte que la machine ne le démarre pas.

Pourquoi le chiffrement a échoué, et pourquoi ça ne change rien

L’histoire se termine par une demi-victoire défensive. Quand l’attaquant a tenté de lancer la charge utile akira.exe via AnyDesk depuis le mode sans échec, elle a échoué : la machine signalait une mémoire virtuelle insuffisante et générait des erreurs PowerShell et de mémoire insuffisante.

Une analyse programmée de Defender a fini par détecter l’exécutable Akira, même sans protection en temps réel, mais n’a pas pu le supprimer tant que la machine restait en mode sans échec. Le fichier n’a été mis en quarantaine qu’après le redémarrage en mode normal, quand la protection temps réel a été restaurée.

Le piège serait de conclure à une victoire. Akira a échoué à chiffrer, mais l’opérateur a tout de même exfiltré identifiants et fichiers en moins de cinq heures, de quoi alimenter une extorsion classique. Le chiffrement n’est qu’une pression parmi d’autres ; l’exfiltration, elle, est déjà consommée.

Huntress note que des familles comme Snatch ou AvosLocker utilisent cette tactique depuis des années, mais que c’est la première fois que le laboratoire l’observe chez Akira — un signal que la technique se diffuse au-delà de ses inventeurs.

Le détail le plus inquiétant n’est pas la charge utile, c’est la vitesse. Moins de cinq heures ont séparé la connexion VPN initiale de l’exfiltration complète — un délai qui laisse à peine le temps de détecter, et aucun de répondre pendant les heures ouvrées. Face à un attaquant qui détient des identifiants valides, la fenêtre d’action se mesure en minutes, pas en jours.

La détection doit donc viser les états — le basculement en mode sans échec, l’ajout d’un accès distant au registre — plutôt que le malware lui-même. C’est le décalage qui a permis à l’attaquant de travailler dix minutes sans aucun EDR : une télémétrie qui ne surveille pas les changements de démarrage ne verra jamais l’évasion, seulement ses conséquences.

Ce que le mode sans échec charge, et ce qu’il omet

Le mode sans échec de Windows démarre avec un noyau et des pilotes limités au strict nécessaire, désactive la plupart des services non critiques et ne lance pas les programmes de démarrage tiers. La variante « avec prise en charge réseau » ajoute la pile réseau — ce qui permet à l’attaquant de conserver AnyDesk actif et d’exfiltrer — sans réactiver pour autant la protection en temps réel de Defender, qui reste désactivée tant que la machine n’est pas revenue en mode normal.

C’est ce décalage qui piège les équipes : la machine est joignable, l’attaquant travaille, mais la télémétrie de l’EDR est silencieuse parce que l’agent n’est pas chargé. Un SOC qui se fie à la seule présence de l’agent conclura à tort que « tout va bien » — pendant que l’exfiltration se poursuit.

Verdict

La mesure qui aurait tout arrêté est en amont de l’EDR : activez la MFA sur tous les comptes VPN, sans exception. Un pare-feu VPN exposé sans multifacteur est une invitation — c’est exactement le scénario d’entrée décrit ici.

En complément, surveillez l’évasion elle-même plutôt que le seul malware. Détectez les changements de configuration de démarrage (bascule vers le mode sans échec) et l’ajout d’outils d’accès distant au registre du mode sans échec. Ce sont deux signaux peu bruyants, mais ils précèdent de peu l’action destructrice.

Le signal de fond est simple : un EDR protège une machine telle qu’elle démarre normalement. Dès que l’attaquant détient des identifiants et peut décider du mode de démarrage, la protection se vide de son sens. La défense se joue donc sur la prévention des accès et la détection des changements d’état — pas sur la foi dans l’agent.

Références

• BleepingComputer — Akira hackers disable EDR with Safe Mode, steal data but fail to encrypt, 13 août 2026
• Huntress — rapport d’incident cité par BleepingComputer, consulté le 16 août 2026