# Megazord
> Tipo: **malware** · S1191 · [MITRE ATT&CK](https://attack.mitre.org/software/S1191)
## Descrição
[[s1191-megazord|Megazord]] é uma variante do ransomware [[g1024-akira|Akira]] desenvolvida em Rust, em uso desde pelo menos agosto de 2023, visando ambientes Windows. O [[s1191-megazord|Megazord]] é parte do arsenal dual do grupo Akira - que mantém variantes para Windows (Megazord/Akira) e Linux (variante ESXi) - demonstrando capacidade de atacar toda a infraestrutura de uma organização. A atribuição ao grupo [[g1024-akira|Akira]] é baseada em sobreposição de infraestrutura de C2 e TTPs consistentes com outras operações do grupo.
O Megazord executa via shell Windows ([[t1059-003-windows-command-shell|T1059.003]]), para serviços antes da criptografia ([[t1489-service-stop|T1489]]) e enumera logs do sistema ([[t1654-log-enumeration|T1654]]) para reconhecimento antes de iniciar a criptografia de dados ([[t1486-data-encrypted-for-impact|T1486]]). A descoberta de processos ([[t1057-process-discovery|T1057]]) e arquivos/diretórios ([[t1083-file-and-directory-discovery|T1083]]) mapeia o ambiente para maximizar o impacto da criptografia. A implementação em Rust oferece vantagens de performance e reduz o footprint de detecção em relação a implementações em linguagens mais comuns como C++.
O grupo [[g1024-akira|Akira]] emergiu em 2023 e rapidamente se tornou uma das operações RaaS mais ativas, com vítimas em múltiplos setores e países, incluindo organizações na América Latina. O CISA emitiu alertas sobre o Akira/Megazord em 2024. A combinação de variante Windows (Megazord) e Linux (ESXi) permite ao grupo comprometer toda a infraestrutura de virtualização de uma organização em um único ataque.
**Plataformas:** Windows
## Técnicas Utilizadas
- [[t1059-003-windows-command-shell|T1059.003 - Windows Command Shell]]
- [[t1489-service-stop|T1489 - Service Stop]]
- [[t1654-log-enumeration|T1654 - Log Enumeration]]
- [[t1057-process-discovery|T1057 - Process Discovery]]
- [[t1486-data-encrypted-for-impact|T1486 - Data Encrypted for Impact]]
- [[t1083-file-and-directory-discovery|T1083 - File and Directory Discovery]]
## Grupos que Usam
- [[g1024-akira|Akira]]
## Detecção
- **[[ds-0022-file|File Creation]]** - Monitorar criação de arquivos com extensão `.powerranges` (extensão usada pelo Megazord) em múltiplos diretórios simultaneamente - indicador de criptografia Megazord em andamento.
- **[[ds-0009-process|Process Creation]]** - Detectar enumeração de logs do Event Viewer por processos não relacionados a ferramentas de auditoria - o Megazord enumera logs como parte do reconhecimento pré-criptografia.
- **[[ds-0030-instance|Service Stop]]** - Alertar para parada em massa de serviços Windows antes da execução de processos com alto uso de CPU/disco - sequência típica do Megazord antes de iniciar a criptografia.
```sigma
title: Megazord Akira Ransomware Log Enumeration
status: experimental
logsource:
category: process_creation
product: windows
detection:
selection:
Image|endswith: '\wevtutil.exe'
CommandLine|contains:
- 'el'
- 'enum-logs'
condition: selection
falsepositives:
- Legitimaté log management and SIEM collection
level: medium
tags:
- attack.discovery
- attack.t1654
- code/distill
```
## Relevância LATAM/Brasil
O grupo [[g1024-akira|Akira]], operador do Megazord, tem demonstrado interesse crescente em organizações latino-americanas, com vítimas documentadas na região. A variante Megazord para Windows complementa a variante ESXi, permitindo ao grupo comprometer toda a infraestrutura de uma organização - um risco real para empresas brasileiras que operam ambientes VMware com workloads Windows críticos.
## Referências
- [MITRE ATT&CK - S1191](https://attack.mitre.org/software/S1191)
- [CISA - #StopRansomware: Akira Ransomware](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a)