Ransomware-ul SafePay: peste 600 de victime, iar intrarea este de obicei prin VPN

Un nou aviz guvernamental comun plasează SafePay printre cele mai active operațiuni ransomware din 2026, cu cel puțin 600 de organizații victime din sectoare de infrastructură critică din America de Nord, America de Sud, Europa și Australia. Grupul este activ din august 2024. Metodele sale nu sunt sofisticate. Se bazează pe credențiale de acces la distanță slabe sau furate și pe sisteme de perimetru și de backup neactualizate, iar odată intrat vizează capacitatea victimei de a se recupera.

Ce s-a întâmplat

Agențiile americane, conduse de CISA și FBI, cu sprijinul US Secret Service și al autorităților germane și britanice, au publicat pe 20 octombrie 2026 un aviz comun. Acesta descrie tacticile SafePay pe baza investigațiilor desfășurate până în august 2026.

Accesul inițial vine pe mai multe căi:

• Credențiale expuse sau refolosite, ghicirea parolelor și phishing, inclusiv abuzul de profiluri de cont compromise prin phishing.
• Exploatarea automatizată a sistemelor expuse la internet. Avizul menționează:
  • CVE-2020-3259 și CVE-2023-20269 în VPN-ul Cisco ASA / Firepower Threat Defense.
  • CVE-2024-40766 în controlul accesului SonicWall SonicOS.
  • CVE-2023-27532 și CVE-2024-40711 în Veeam Backup & Replication. Ultima permite execuție de cod de la distanță fără autentificare.
• Intruziuni observate de pe adrese Mullvad VPN. Asta nu spune nimic despre furnizorul VPN. Înseamnă doar că atacatorii l-au folosit ca să-și ascundă originea.

După pătrundere, atacatorii creează conturi noi sau le ridică privilegiile celor existente. Se deplasează lateral cu PsExec, WinRM și RDP și ocolesc User Account Control. Dezactivează soluțiile de securitate și uneori resetează parolele angajaților ca să-i blocheze. Datele sunt pregătite cu utilitare obișnuite precum 7-Zip, WinRAR, RClone, WinSCP și FileZilla, apoi trimise în stocare cloud precum OneDrive sau Backblaze.

Apoi vizează recuperarea. SafePay oprește serviciul Volume Shadow Copy și a fost observat resetând la setările din fabrică dispozitive NAS care găzduiau backup-uri. Abia apoi criptează, folosind ChaCha20 împreună cu RSA și alegând între criptare completă și parțială în funcție de fișier. Nota de răscumpărare trimite către un portal de chat pe Tor. Apelurile telefonice și amenințările cu publicarea datelor furate cresc presiunea, iar programul se poate șterge singur la final.

De ce contează

Aproape fiecare pas folosește fie o vulnerabilitate cunoscută, care se poate remedia, fie un instrument legitim de administrare. Asta are două consecințe:

• Prevenția este realizabilă. Pentru majoritatea acestor CVE-uri există corecții de un an sau mai mult.
• Detecția este mai grea. PsExec, RClone și WinSCP arată ca activitate IT normală. Fiecare eveniment pare inofensiv luat separat, iar atacul devine vizibil doar când le corelezi.

Cel mai grav este faptul că sunt vizate backup-urile Veeam și NAS. Fără copii curate și offline, victimei îi rămân puține opțiuni.

Ce trebuie făcut

1. Actualizați întâi perimetrul și zona de backup. Verificați Cisco ASA/FTD, SonicWall și Veeam Backup & Replication pentru CVE-urile de mai sus și tratați urgent orice interfață de administrare expusă.
2. Impuneți MFA pe orice acces la distanță (VPN, gateway-uri RDP, portaluri de administrare) și eliminați conturile partajate sau inactive.
3. Limitați drepturile de administrator și urmăriți apariția de conturi privilegiate noi, ocolirea UAC și dezactivarea instrumentelor de securitate.
4. Faceți backup-urile de neatins. Păstrați copii offline sau imuabile, izolați serverele de backup și NAS-urile într-un segment de rețea separat și testați periodic restaurarea.
5. Corelați, nu doar alertați. Conturile necunoscute, instrumentele de acces la distanță neașteptate, protecțiile dezactivate și transferurile ieșite din tipar, luate împreună, indică o singură intruziune.
6. Căutați după IoC-urile publicate. Avizul listează adrese IP, hash-uri SHA-1/SHA-256 și nume de fișiere (de ex. locker.dll, soc.dll, sharefinder.ps1). Verificați-le în jurnalele EDR și firewall.
7. Dacă suspectați o intruziune, izolați sistemele afectate, păstrați jurnalele și stabiliți amploarea incidentului. Agențiile recomandă să nu plătiți, deoarece plata nu garantează recuperarea și finanțează următorul atac.

Punctele de intrare folosite de SafePay sunt vizibile din exterior: un echipament VPN neactualizat sau un server Veeam accesibil din internet. Scanarea periodică a vulnerabilităților perimetrului extern este modul în care echipa noastră găsește aceste expuneri înaintea instrumentelor automate ale unui grup ransomware.

Subiect relatat inițial de Cyber Security News; sursa primară: avizul comun CISA / FBI privind ransomware-ul SafePay (20 octombrie 2026). Articolul este rezumatul și analiza proprie 4tify.