Agencja CISA oraz organy ścigania z kilku krajów opublikowały raport na temat grupy ransomware SafePay. Od sierpnia 2024 roku gang ten naruszył bezpieczeństwo ponad 600 organizacji z sektora infrastruktury krytycznej w Ameryce Północnej, Ameryce Południowej, Europie i Australii. W operacji tej uczestniczą również FBI, USSS, niemiecka policja oraz brytyjska National Crime Agency. Zapłacenie okupu nie gwarantuje odzyskania plików zaszyfrowanych w atakach ransomware, a ofiary są zachęcane do zgłaszania incydentów organom ścigania.
Grupa ta działa jako prywatna organizacja ransomware, która nie współpracuje z partnerami stowarzyszonymi. Ofiary są umieszczane na stronie z wyciekami w dark webie tylko wtedy, gdy nie płacą. Przestępcy stosują podwójne wymuszenie, kradnąc wrażliwe dokumenty przed zaszyfrowaniem systemów ofiar i grożąc wyciekiem wszystkich skradzionych danych online, jeśli okup nie zostanie zapłacony.
Wektory ataku i metody działania
Przestępcy uzyskują początkowy dostęp do sieci na kilka sposobów. Wykorzystują wycieki danych logowania, ataki brute force na hasła oraz luki w zabezpieczeniach sieci VPN, ze szczególnym uwzględnieniem adresów IP dostawcy Mullvad. Często posługują się także przejętymi profilami użytkowników oraz automatycznymi skryptami do wykorzystywania podatności typu CVE w urządzeniach brzegowych i innych systemach wystawionych na internet. Po włamaniu mogą zakłócać operacje odzyskiwania danych poprzez usuwanie kopii w tle oraz resetowanie urządzeń sieciowych zawierających kopie zapasowe.
Zalecenia obronne
Obrońcom sieci zaleca się zabezpieczenie sieci przed atakami grupy ransomware poprzez ograniczenie narzędzi administracyjnych i uprawnień w celu zablokowania ruchu bocznego po kompromisach oraz wdrożenie uwierzytelniania wieloskładnikowego i polityk zarządzania tożsamością, poświadczeniami i dostępem. Zespoły ds. bezpieczeństwa powinny również utrzymywać aktualność systemów, skupiając się na wadach wpływających na sieci VPN, zapory sieciowe i inne urządzenia brzegowe dodane do katalogu aktywnie wykorzystywanych podatności CISA.
