Akira

El grupo Akira inició operaciones en marzo de 2023 y se ha consolidado como uno de los actores de ransomware más activos y lucrativos del panorama actual. Según el investigaciones del FBI, CISA, HHS, Europol y varias agencias europeas, el grupo ha generado aproximadamente 300 millones de dólares en ingresos por rescates hasta marzo de 2026.

Opera bajo un modelo de doble extorsión con una particularidad: no incluye la demanda de rescate ni las instrucciones de pago en la nota inicial, las víctimas deben contactar a los atacantes a través de un portal en la red Tor, donde reciben un identificador único por cada incidente.

En lo referente a sus lazos, desde sus primeras campañas se ha asociado a Akira con posibles individuos vinculados al extinto grupo Conti. Por otra parte, el grupo se dirige principalmente contra pequeñas y medianas empresas, aunque también ha conseguido afectar a grandes organizaciones en Norteamérica, Europa y Australia. Sus sectores preferentes incluyen educación, manufactura crítica, TI, sanidad, servicios financieros y agricultura.

De acuerdo con SentinelOne, el grupo ataca principalmente a pymes, aunque también ha afectado a grandes organizaciones en Norteamérica, Europa y Australia. Sus sectores preferentes incluyen educación, manufactura crítica, TI, sanidad, servicios financieros y agricultura. Complementan el acceso con phishing, credenciales válidas, RDP y password spraying; en incidentes documentados. Los actores han llegado a apagar temporalmente la máquina virtual del controlador de dominio, clonar los archivos VMDK y extraer el NTDS.dit para comprometer cuentas de administrador. Una vez dentro, priorizan el robo de credenciales con Mimikatz, el movimiento lateral y la exfiltración hacia servicios como MEGA, apoyándose en Cloudflare Tunnel para dificultar la detección; en algunos casos, la exfiltración se ha completado en poco más de dos horas desde el acceso inicial.

Un caso relevante fue el ataque contra la Universidad de Manchester en 2023, atribuido a Akira, que provocó la exfiltración de datos sensibles y obligó a la institución a activar medidas de contención y respuesta de forma urgente.

El ransomware ha evolucionado significativamente: las primeras versiones en C++ añadían la extensión .akira, pero desde agosto de 2023 incorporaron Megazord, un cifrador en Rust con extensión .powerranges, y posteriormente Akira_v2, también en Rust, con extensiones .akiranew o .aki y capacidades específicas para ESXi. En junio de 2025 se detectó el primer cifrado de sistemas Nutanix AHV, ampliando el alcance más allá de VMware e Hyper-V. El cifrado emplea un esquema híbrido ChaCha20 + RSA con cifrado parcial o completo, elimina shadow copies mediante PowerShell y deja la nota de rescate (fn.txt o akira_readme.txt) en C:\ y en cada directorio de usuario.

En la actualidad, Akira mantiene una actividad sostenida, manteniéndose y llevando desde principios del año 2026 en el top 5 threat actores de doble extorsión y una capacidad clara de adaptación técnica, especialmente en entornos de virtualización y en sistemas expuestos a través de servicios remotos.