Американската агенция за киберсигурност и инфраструктурна сигурност CISA предупреждава, че рансъмуер групата SafePay е компрометирала над 600 организации от критичната инфраструктура от август 2024 г. насам. В съвместен анализ с международни правоохранителни и киберструктури агенцията призовава организациите да засилят защитата на отдалечения достъп и административните акаунти, като подчертава, че плащането на откуп не гарантира възстановяване на криптираните данни.
Докладът е изготвен съвместно от CISA, ФБР, Тайните служби на САЩ, германската криминална полиция на провинция Райнланд-Пфалц, Националната агенция за борба с престъпността на Великобритания и Регионалното звено за борба с организираната престъпност в Северозападна Англия.
Според участващите институции SafePay е сред най-активните рансъмуер групи, като е засегнала организации в Северна и Южна Америка, Европа и Австралия. Реалният брой на жертвите може да е по-голям от публично известния, тъй като групата публикува в сайта си за изтичане на данни основно информация за организации, които не са платили откуп.
Откраднати идентификационни данни и уязвим VPN достъп
По данни на CISA нападателите използват различни начини за първоначален достъп до мрежите на жертвите. Сред тях са изтекли или компрометирани идентификационни данни, атаки с груба сила срещу пароли, фишинг и експлоатиране на уязвимости в устройства, изложени директно в интернет.
Агенцията посочва и VPN достъпа като важен вектор на атака, като отбелязва конкретно IP адреси на VPN доставчика Mullvad. Това не означава само по себе си, че доставчикът е компрометиран, а че посоченият тип достъп е наблюдаван в контекста на дейността на групата.
SafePay използва автоматизирани скриптове за експлоатиране на известни уязвимости – CVE – в периферни устройства и други интернет-достъпни системи. Сред потенциалните цели са VPN решения, защитни стени и други компоненти, които осигуряват достъп до корпоративната мрежа.
Двойно изнудване и саботиране на възстановяването
SafePay използва тактика на двойно изнудване. Преди да криптират системите, нападателите крадат чувствителни документи, след което заплашват да ги публикуват онлайн, ако жертвата откаже да плати откуп.
Според съвместния анализ групата може да затрудни и възстановяването след инцидент, като изтрива моментните копия на данните (shadow copies) и нулира устройства за мрежово съхранение, на които се пазят резервни копия.
SafePay се появява през август 2024 г. като частна рансъмуер операция, която не разчита на мрежа от партньори или афилиати. От началото на 2025 г. тя постепенно заема част от пространството, оставено от групите BlackCat (ALPHV) и LockBit, и се утвърждава като значим участник в рансъмуер екосистемата.
Препоръки за защита на корпоративните мрежи
CISA и партньорските агенции препоръчват на организациите да ограничат административните инструменти и привилегии, така че компрометирането на един акаунт да не позволява лесно придвижване между системите. Необходимо е също да се въведе многофакторна автентикация (MFA) и да се прилагат политики за управление на идентичностите, идентификационните данни и достъпа (ICAM).
Особено важно е редовното актуализиране на VPN устройствата, защитните стени и другите периферни системи. Приоритет трябва да имат уязвимостите, включени в каталога на CISA за известни активно експлоатирани уязвимости (Known Exploited Vulnerabilities, KEV).
Организациите трябва да поддържат резервни копия, защитени от промяна или изтриване от компрометирани административни акаунти, и периодично да проверяват дали възстановяването им работи. При инцидент е важно да се запазят логовете и другите доказателства и случаят да бъде докладван на компетентните правоохранителни органи.
Съвместният доклад съдържа и индикатори за компрометиране (IOC), както и описание на тактиките, техниките и процедурите (TTP) на SafePay, наблюдавани при разследвания между ноември 2024 г. и август 2026 г. Тези данни могат да помогнат на екипите по сигурността да проверят за следи от проникване и да подобрят механизмите си за откриване на атаки.
