Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Grupos

Ransomware Akira: como agir depois da criptografia

Akira é um ransomware ativo desde março de 2023 que ataca Windows, Linux, VMware ESXi e Nutanix AHV, segundo alerta da CISA atualizado em novembro de 2025. Os arquivos ganham extensões como .akira ou .powerranges, e a nota se chama fn.txt ou akira_readme.txt. A entrada mais citada é VPN sem autenticação em dois fatores. Isole o ambiente com a equipe de resposta e não reconecte backups. A Data Rescue avalia discos e cópias, sem promessa de desbloqueio.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Outros nomes
Storm-1567, Howling Scorpius, Punk Spider e Gold Sahara (CISA)
Visto desde
março de 2023; a CISA aponta possível ligação com o extinto grupo Conti
Sistemas atingidos
Windows, Linux e VMware ESXi; Nutanix AHV desde um caso de junho de 2025; Hyper-V em ataques anteriores
Entrada relatada
VPN sem MFA; falhas em SonicWall (CVE-2024-40766) e Cisco ASA/FTD (CVE-2020-3259, CVE-2023-20269); Veeam (CVE-2023-27532, CVE-2024-40711) para obter credenciais
Extorsão
dupla: copia dados e criptografa, com ameaça de publicação
Sinais públicos
extensões .akira, .powerranges, .akiranew ou .aki; nota fn.txt ou akira_readme.txt (akiranew.txt no ESXi)
Alerta oficial
CISA e FBI, AA24-109A: publicado em abril de 2024 e atualizado em 13/11/2025

O que o alerta da CISA descreve

O alerta conjunto AA24-109A, da CISA, do FBI e de parceiros, foi atualizado em 13 de novembro de 2025. Ele descreve ataques desde março de 2023, primeiro contra Windows e, a partir de abril de 2023, contra máquinas virtuais no VMware ESXi. A atualização acrescentou a versão Akira_v2, voltada a hipervisores, e registrou um caso de junho de 2025 com criptografia de discos no Nutanix AHV.

A porta de entrada mais repetida é o acesso remoto: VPN sem autenticação em dois fatores (MFA), aparelhos SonicWall e Cisco com falhas conhecidas e credenciais roubadas. Depois, os invasores costumam ir atrás do servidor de backup. O alerta cita falhas do Veeam Backup & Replication usadas para obter senhas e ampliar privilégios.

Criptografia total ou parcial

Segundo a CISA, o Akira combina ChaCha20 e RSA e ajusta o método ao tipo e ao tamanho de cada arquivo, podendo criptografar o arquivo inteiro ou só partes dele. Versões antigas aceitavam uma opção para escolher quanto de cada arquivo seria cifrado. Por isso, em alguns casos, discos virtuais VMDK, bancos e arquivos de backup grandes guardam trechos legíveis.

Ao mesmo tempo, o grupo apaga as cópias de sombra do Windows, o que elimina uma das saídas mais simples. O que sobra varia muito de um caso para outro, e só a análise dos arquivos e dos discos mostra se há estruturas aproveitáveis.

Existe ferramenta pública?

Em junho de 2023, a Avast publicou um descriptografador para as amostras de Akira analisadas na época, com manual hospedado no No More Ransom. Ele exige um par de arquivos, o original e o criptografado. Não presuma que sirva para versões posteriores, como a Akira_v2. Antes de rodar qualquer ferramenta, a equipe de resposta deve confirmar a variante e trabalhar sobre cópias, nunca sobre o único original.

Com o ambiente isolado, você conta o caso e a Data Rescue combina o envio por escrito, antes de qualquer remessa. Avaliamos discos, datastores e repositórios de backup em busca de cópias anteriores e trechos íntegros.

Como reconhecer o Akira

  • Arquivos com final .akira, .powerranges, .akiranew ou .aki, em servidores Windows e em datastores do ESXi.
  • Nota fn.txt ou akira_readme.txt na raiz do disco e nas pastas dos usuários.
  • No ESXi, máquinas virtuais paradas e uma nota akiranew.txt perto dos discos virtuais.
  • Acessos de VPN em horários estranhos, com contas que não usam autenticação em dois fatores.
  • Cópias de sombra do Windows apagadas e alterações no servidor de backup pouco antes do ataque.

O que não fazer

  • Pagar o resgate sem orientação jurídica e de segurança: segundo a CISA e o FBI, pagar não garante a recuperação.
  • Rodar o descriptografador de 2023 direto nos únicos arquivos originais, sem cópia.
  • Religar a VPN com as mesmas contas antes de trocar senhas e ativar MFA.
  • Formatar datastores ou reinstalar o ESXi por cima dos discos virtuais.

O que fazer agora

01

Isole com quem responde ao incidente

Desconecte da rede os servidores e hipervisores afetados, em coordenação com a equipe de resposta. Desligar tudo às pressas pode apagar informações da memória.
02

Feche o acesso remoto

Suspenda a VPN e revise as contas sem MFA. No caso do Akira, a VPN é a porta de entrada mais citada pela CISA.
03

Isole o servidor de backup

Tire da rede o Veeam ou outro sistema de backup e não o use para restaurar até a equipe confirmar que está limpo.
04

Preserve nota e pares de arquivos

Guarde a nota e alguns arquivos criptografados, junto das versões originais que existam em outro lugar. Esses pares permitem testar ferramentas públicas.
05

Trate os dados pessoais

Havendo dados de clientes ou funcionários, o controlador analisa com o jurídico se comunica a ANPD e os titulares, como prevê a Resolução CD/ANPD nº 15/2024.
06

Descreva o caso

Informe quais servidores, datastores e backups foram atingidos. O envio é combinado por escrito antes de você mandar qualquer equipamento.
Perguntas frequentes

Perguntas sobre
Akira.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

O descriptografador da Avast funciona para o meu Akira?
Só se a sua amostra for da geração analisada em 2023. A ferramenta foi publicada em junho daquele ano e não há indicação de que cubra versões posteriores. A equipe de resposta deve confirmar a variante e testar sobre cópias, com orientação do No More Ransom.
O Akira criptografa máquinas virtuais inteiras?
Pode atingir os discos virtuais no ESXi e no Nutanix AHV. Como a criptografia pode ser parcial, conforme a CISA, alguns discos virtuais grandes guardam partes legíveis. Isso precisa ser avaliado arquivo por arquivo.
Por que o grupo ataca o servidor de backup?
Porque o backup é o caminho de volta. A CISA descreve o uso de falhas do Veeam para obter credenciais e escalar privilégios. Por isso o servidor de backup deve ser isolado e examinado antes de qualquer restauração.
A Data Rescue negocia com o grupo?
Não. A Data Rescue não faz negociação, contenção nem perícia. Avalia discos, arquivos e backups depois que a equipe responsável isolou o ambiente, e diz no laudo, por escrito, o que é possível.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo