En fælles advarsel fra CISA, FBI og partnere siger, at SafePay-ransomware har ramt mere end 600 ofre, og vejen ind er ofte smertefuldt almindelig. Ifølge advarslen bruger gruppen SafePay-ransomware stjålne VPN-legitimationsoplysninger til blot at logge ind, og den udnytter også to sårbarheder fra 2024 i Veeam- og SonicWall-udstyr. Læren er enkel: en VPN-gateway er kun så sikker som dens logins og dens firmware.

Hvad SafePay-advarslen siger

Advarslen, som er udstedt af CISA, FBI og partneragenturer, rapporterer, at SafePay-ransomware har kompromitteret 600+ ofre. To indledende adgangsveje skiller sig ud: gyldige VPN-legitimationsoplysninger, som angriberne har skaffet sig andetsteds, og to sårbarheder fra 2024, der påvirker Veeam- og SonicWall-produkter.

Kildematerialet er kortfattet, så visse detaljer er ikke dækket her, såsom de specifikke CVE-identifikatorer eller den fulde liste over berørte sektorer. Administratorer bør læse den originale advarsel direkte for at få de tekniske indikatorer og listen over afhjælpningstiltag. Det, som resuméet gør klart, er mønsteret: angriberne er ikke afhængige af eksotiske teknikker. De bruger adgang, som enten er lækket eller efterladt uafhjulpet.

Hvordan stjålne VPN-logins og sårbarheder i edge-udstyr åbner døren

En VPN er beregnet til at være en kontrolleret indgang til et privat netværk. Hvis en angriber har et gyldigt brugernavn og en gyldig adgangskode, åbnes den indgang for dem, ligesom den gør for en medarbejder. For VPN'en ser et stjålet login ud som en legitim session, hvilket er grunden til, at denne rute kan være svær at opdage uden ekstra kontroller.

Stjålne legitimationsoplysninger stammer typisk fra tidligere databrud, phishing eller genbrug af adgangskoder på tværs af tjenester. Hvis en medarbejder bruger den samme adgangskode til en arbejds-VPN og en personlig konto, der senere lækkes, har angriberen slet ikke brug for nogen teknisk exploit.

Den anden rute er uafhulpne edge-enheder. Firewalls, VPN-apparater og backup-software sidder ved grænsen til eller i hjertet af et netværk, så en sårbarhed i dem kan give angriberne et stærkt fodfæste. Advarslen peger på to sårbarheder fra 2024, en i Veeam og en i SonicWall-udstyr. Det faktum, at sårbarheder fra 2024 stadig bruges, er vigtigt: det tyder på, at rettelser findes, men ikke altid anvendes.

Tilsammen viser disse ruter, hvorfor perimeter-værktøjer har brug for samme opmærksomhed som ethvert andet kritisk system. En VPN beskytter kun trafik, hvis adgangen til den er beskyttet, og selve apparatet skal holdes opdateret.

Trin til at hærde VPN-adgang og edge-enheder

Intet af følgende er eksotisk, og det meste stemmer overens med de svagheder, som advarslen beskriver.

  • Kræv multi-faktor-godkendelse ved hvert VPN-login. En stjålet adgangskode alene bør ikke være nok til at komme ind.
  • Ret SonicWall- og Veeam-produkter hurtigt. Kontroller, at rettelserne fra 2024 faktisk er installeret, ikke blot planlagt.
  • Hold øje med genbrug af legitimationsoplysninger. Sammenlign medarbejderes legitimationsoplysninger med kendte bruddata, og gennemtving nulstillinger, hvor eksponering findes.
  • Gennemgå VPN-logs for usædvanlig aktivitet. Logins på mærkelige tidspunkter, fra uventede steder eller fra konti, der normalt er inaktive, fortjener et nærmere kig.
  • Fjern forældede konti. Tidligere medarbejdere og ubrugte konsulentlogins er nemme mål.
  • Beskyt backups. Veeam er backup-software, så en kompromittering der kan underminere gendannelse. Hold kopier isolerede, og test gendannelser.

Hvad tallet på 600 ofre betyder for organisationer og brugere

For organisationer er 600+ ofre en påmindelse om, at ransomware-grupper skalerer ved at gentage det, der virker. Hvis et enkelt svagt login eller et gammelt uafhjulpet apparat er nok, så er basal hygiejne en af de mest effektive tilgængelige forsvar og en af de billigste.

For individuelle brugere, herunder personer, der forbinder til en arbejds-VPN eller bruger en forbruger-VPN-tjeneste, handler lektionen om legitimationsoplysninger. Brug en unik adgangskode til hver konto, slå multi-faktor-godkendelse til, hvor det tilbydes, og skift adgangskoder hurtigt, hvis en tjeneste, du bruger, rapporterer et databrud. Medarbejdere er en del af forsvaret, da det netop er deres logins, angriberne er ude efter.

Det hjælper også at huske, hvad der sker, efter et netværk er kompromitteret. Ransomware-operatører tilføjer ofte pres gennem afpresningskrav og trusler om at offentliggøre data. ATB-afpresningshistorien, hvor en gruppe, der kalder sig DataSuckers, angiveligt krævede $400K med 7,9 mio. personer sagt at være berørt, viser, hvordan det pres udspiller sig, når angriberne først har fået adgang.

Hvad dette betyder for dig

Hvis du administrerer IT-systemer, skal du behandle din VPN-gateway og dit backup-software som højt prioriterede aktiver. Revider, hvem der kan logge ind, bekræft, at multi-faktor-godkendelse er håndhævet, og verificer, at SonicWall- og Veeam-opdateringer er på plads. Hvis du er en almindelig bruger, skal du sikre dine egne konti: unikke adgangskoder, MFA og hurtig handling efter enhver brudmeddelelse.

Vigtige pointer

Advarslen om SafePay-ransomware og stjålne VPN-legitimationsoplysninger er en opfordring til at rette op på det grundlæggende. Håndhæv MFA ved alle VPN-logins, ret SonicWall- og Veeam-enheder uden forsinkelse, og overvåg for genbrugte eller lækkede legitimationsoplysninger. Angribere, der blot kan logge ind, behøver ikke at bryde ind, så gør det meget sværere for dem at logge ind.