Společné varování od CISA, FBI a partnerů uvádí, že ransomware SafePay zasáhl více než 600 obětí a cesta dovnitř je často bolestně obyčejná. Podle varování skupina používá ransomware SafePay ukradené přihlašovací údaje VPN k prostému přihlášení a zneužívá také dvě zranitelnosti z roku 2024 v zařízeních Veeam a SonicWall. Závěr je jednoduchý: brána VPN je jen tak bezpečná, jak bezpečné je její přihlašování a její firmware.

Co varování o SafePay uvádí

Varování, které vydaly CISA, FBI a partnerské agentury, uvádí, že ransomware SafePay kompromitoval více než 600 obětí. Vynikají dvě počáteční cesty přístupu: platné přihlašovací údaje VPN, které útočníci získali jinde, a dvě zranitelnosti z roku 2024 postihující produkty Veeam a SonicWall.

Zdrojový materiál je stručný, takže některé podrobnosti zde nejsou pokryty, například konkrétní identifikátory CVE nebo úplný seznam postižených odvětví. Správci by si měli přečíst původní varování přímo kvůli technickým indikátorům a seznamu opatření. Co shrnutí jasně ukazuje, je vzorec: útočníci se nespoléhají na exotické techniky. Využívají přístup, který byl buď vyzrazen, nebo zůstal nezáplatovaný.

Jak ukradená přihlášení VPN a zranitelnosti perimetru otevírají dveře

VPN má být kontrolovaným vstupem do privátní sítě. Pokud útočník disponuje platným uživatelským jménem a heslem, tento vstup se mu otevře stejně jako zaměstnanci. Pro VPN vypadá ukradené přihlášení jako legitimní relace, a proto může být tuto cestu bez dodatečných kontrol obtížné odhalit.

Ukradené přihlašovací údaje obvykle pocházejí z dřívějších úniků dat, phishingu nebo opětovného použití hesel napříč službami. Pokud zaměstnanec používá stejné heslo pro pracovní VPN a osobní účet, který později unikne, útočník nepotřebuje vůbec žádný technický exploit.

Druhou cestou jsou nezáplatovaná zařízení na perimetru. Firewally, VPN zařízení a zálohovací software sedí na hranici nebo v srdci sítě, takže zranitelnost v nich může útočníkům poskytnout silné opěrné body. Varování poukazuje na dvě zranitelnosti z roku 2024, jednu ve Veeam a jednu v zařízeních SonicWall. Skutečnost, že zranitelnosti z roku 2024 jsou stále zneužívány, je důležitá: naznačuje, že opravy existují, ale nejsou vždy aplikovány.

Dohromady tyto cesty ukazují, proč nástroje perimetru potřebují stejnou pozornost jako jakýkoli jiný kritický systém. VPN chrání provoz pouze tehdy, je-li chráněn přístup k ní, a samotné zařízení musí být udržováno aktuální.

Kroky k zabezpečení přístupu VPN a zařízení na perimetru

Nic z následujícího není exotické a většina se shoduje se slabinami, které varování popisuje.

  • Vyžadujte vícefaktorové ověřování při každém přihlášení VPN. Ukradené heslo samo o sobě by nemělo stačit k přístupu.
  • Záplatujte produkty SonicWall a Veeam promptly. Ověřte, že opravy z roku 2024 byly skutečně nainstalovány, ne jen naplánovány.
  • Sledujte opětovné použití přihlašovacích údajů. Porovnejte přihlašovací údaje zaměstnanců se známými úniky dat a vynuťte reset tam, kde je zjištěno vyzrazení.
  • Procházejte protokoly VPN kvůli neobvyklé aktivitě. Přihlášení v podivných hodinách, z neočekávaných lokalit nebo z účtů, které jsou obvykle neaktivní, si zaslouží bližší pohled.
  • Odstraňte zastaralé účty. Bývalí zaměstnanci a nepoužívaná přihlášení dodavatelů jsou snadné cíle.
  • Chraňte zálohy. Veeam je zálohovací software, takže kompromitace v něm může podkopat obnovu. Uchovávejte kopie izolované a testujte obnovu.

Co znamená bilance 600 obětí pro organizace a uživatele

Pro organizace je více než 600 obětí připomínkou, že ransomware skupiny škálují opakováním toho, co funguje. Pokud stačí jediné slabé přihlášení nebo staré nezáplatované zařízení, pak je základní hygiena jednou z nejúčinnějších dostupných obran a zároveň jednou z nejlevnějších.

Pro jednotlivé uživatele, včetně lidí, kteří se připojují k pracovní VPN nebo používají spotřebitelskou VPN službu, je ponaučení o přihlašovacích údajích. Používejte jedinečné heslo pro každý účet, zapněte vícefaktorové ověřování všude, kde je nabízeno, a změňte hesla promptly, pokud služba, kterou používáte, nahlásí únik dat. Zaměstnanci jsou součástí obrany, protože právě jejich přihlášení útočníci chtějí.

Pomáhá také pamatovat na to, co se stane po kompromitaci sítě. Provozovatelé ransomwaru často přidávají tlak prostřednictvím vyděračských požadavků a hrozeb zveřejněním dat. Příběh vydírání ATB, v němž skupina nazývající se DataSuckers údajně požadovala 400 tisíc dolarů a 7,9 milionu lidí mělo být postiženo, ukazuje, jak se tento tlak vyvíjí, jakmile útočníci získají přístup.

Co to znamená pro vás

Pokud spravujete IT systémy, považujte svou bránu VPN a zálohovací software za vysoce prioritní aktiva. Prověřte, kdo se může přihlásit, potvrďte, že je vynucováno vícefaktorové ověřování, a ověřte, že aktualizace SonicWall a Veeam jsou nasazeny. Pokud jste běžný uživatel, zabezpečte své vlastní účty: jedinečná hesla, MFA a rychlá akce po každém oznámení o úniku dat.

Klíčové poznatky

Varování před ransomware SafePay a ukradenými přihlašovacími údaji VPN je výzvou k nápravě základů. Vynucujte MFA při všech přihlášeních VPN, záplatujte zařízení SonicWall a Veeam bez odkladu a sledujte opětovně použitá nebo vyzrazená přihlašovací údaje. Útočníci, kteří se mohou prostě přihlásit, nemusí se vlámat, takže jim přihlašování výrazně ztěžte.