Съвместно предупреждение от CISA, ФБР и партньори съобщава, че рансъмуерът SafePay е поразил над 600 жертви, а начинът за проникване често е болезнено обикновен. Според предупреждението групата използва SafePay рансъмуер откраднати VPN идентификационни данни, за да влезе просто в системата, и също така експлоатира две уязвимости от 2024 г. в оборудване на Veeam и SonicWall. Изводът е прост: VPN шлюзът е толкова сигурен, колкото са неговите данни за вход и неговият фърмуер.

Какво казва предупреждението за SafePay

Предупреждението, издадено от CISA, ФБР и партньорски агенции, съобщава, че рансъмуерът SafePay е компрометирал над 600 жертви. Два първоначални пътя за достъп се открояват: валидни VPN идентификационни данни, които атакуващите са получили другаде, и две уязвимости от 2024 г., засягащи продукти на Veeam и SonicWall.

Изходният материал е кратък, така че някои подробности не са разгледани тук, като конкретните идентификатори на CVE или пълният списък на засегнатите сектори. Администраторите следва да прочетат оригиналното предупреждение директно за техническите индикатори и списъка с мерки. Това, което обобщението прави ясно, е моделът: атакуващите не разчитат на екзотични техники. Те използват достъп, който е бил или изтекъл, или оставен без актуализация.

Как откраднатите VPN данни за вход и уязвимостите по периферията отварят вратата

VPN е предназначен да бъде контролиран вход към частна мрежа. Ако атакуващият притежава валидно потребителско име и парола, този вход се отваря за него точно както за служител. За VPN откраднатите данни за вход изглеждат като легитимна сесия, поради което този път може да е труден за забелязване без допълнителни проверки.

Откраднатите идентификационни данни обикновено идват от по-ранни breaches, фишинг или повторно използване на пароли в различни услуги. Ако служител използва същата парола за работен VPN и за личен акаунт, който по-късно изтече, на атакуващия не му е нужен никакъв технически експлойт.

Вторият път е неактуализирани устройства по периферията. Защитни стени, VPN устройства и софтуер за архивиране стоят на границата или в сърцето на мрежата, така че уязвимост в тях може да даде на атакуващите силна опора. Предупреждението посочва две уязвимости от 2024 г., една в Veeam и една в оборудване на SonicWall. Фактът, че уязвимости от 2024 г. все още се използват, е важен: това предполага, че поправки съществуват, но не винаги се прилагат.

Заедно тези пътища показват защо инструментите за периметрова защита се нуждаят от същото внимание като всяка друга критична система. VPN защитава трафика само ако достъпът до него е защитен, а самото устройство трябва да се поддържа актуално.

Стъпки за укрепване на VPN достъпа и устройствата по периферията

Нищо от следното не е екзотично и по-голямата част от него съответства на слабостите, описани в предупреждението.

  • Изисквайте многофакторна автентикация при всеки VPN вход. Открадната парола сама по себе си не бива да е достатъчна за влизане.
  • Актуализирайте своевременно продуктите на SonicWall и Veeam. Проверете дали поправките от 2024 г. действително са инсталирани, а не само планирани.
  • Следете за повторно използване на идентификационни данни. Сравнете служебните идентификационни данни на служителите с известни данни от breaches и принудете смяна на пароли там, като бъде открито излагане.
  • Преглеждайте VPN логовете за необичайна активност. Влизания в необичайни часове, от неочаквани местоположения или от акаунти, които обикновено са неактивни, заслужават по-внимателен поглед.
  • Премахнете остарелите акаунти. Бивши служители и неизползвани акаунти на изпълнители са лесни цели.
  • Защитете резервните копия. Veeam е софтуер за архивиране, така че компрометиране там може да подкопае възстановяването. Пазете копията изолирани и тествайте възстановяването.

Какво означава броят от 600 жертви за организациите и потребителите

За организациите над 600 жертви е напомняне, че рансъмуер групите се разрастват, като повтарят това, което работи. Ако един слаб вход или едно старо неактуализирано устройство е достатъчно, тогава основната хигиена е една от най-ефективните налични защити и една от най-евтините.

За отделните потребители, включително хората, които се свързват към работен VPN или използват потребителска VPN услуга, урокът е за идентификационните данни. Използвайте уникална парола за всеки акаунт, включете многофакторна автентикация навсякъде, където се предлага, и сменяйте паролите своевременно, ако услуга, която използвате, съобщи за breach. Служителите са част от защитата, тъй като техните данни за вход са точно това, което атакуващите търсят.

Помага също да се помни какво се случва след компрометиране на мрежа. Рансъмуер операторите често добавят натиск чрез изнудване и заплахи за разкриване на данни. Историята за изнудването на ATB, в която група, наричаща себе си DataSuckers, reportedly е поискала $400K, като се твърди, че 7.9M души са засегнати, показва как този натиск се развива, след като атакуващите са получили достъп.

Какво означава това за вас

Ако управлявате ИТ системи, третирайте своя VPN шлюз и софтуер за архивиране като активи с висок приоритет. Одитирайте кой може да влиза, потвърдете, че многофакторната автентикация е наложена, и проверете дали актуализациите за SonicWall и Veeam са налични. Ако сте обикновен потребител, защитете собствените си акаунти: уникални пароли, MFA и бързи действия след всяко уведомление за breach.

Основни изводи

Предупреждението за SafePay рансъмуер откраднати VPN идентификационни данни е призив за поправяне на основите. Налагайте MFA при всички VPN влизания, актуализирайте устройствата на SonicWall и Veeam без забавяне и наблюдавайте за повторно използвани или изтекли идентификационни данни. Атакуващите, които могат просто да влязат, не се нуждаят от пробив, така че направете влизането много по-трудно за тях.