Μια κοινή προειδοποίηση από το CISA, το FBI και συνεργάτες αναφέρει ότι το ransomware SafePay έχει πλήξει περισσότερα από 600 θύματα, και ο τρόπος εισόδου είναι συχνά οδυνηρά συνηθισμένος. Σύμφωνα με την προειδοποίηση, η ομάδα χρησιμοποιεί το ransomware SafePay με κλεμμένα διαπιστευτήρια VPN για να συνδεθεί απλώς, και εκμεταλλεύεται επίσης δύο ευπάθειες του 2024 σε εξοπλισμό Veeam και SonicWall. Το συμπέρασμα είναι απλό: μια πύλη VPN είναι τόσο ασφαλής όσο οι συνδέσεις και το firmware της.

Τι αναφέρει η προειδοποίηση για το SafePay

Η προειδοποίηση, που εκδόθηκε από το CISA, το FBI και συνεργαζόμενες υπηρεσίες, αναφέρει ότι το ransomware SafePay έχει compromίσει 600+ θύματα. Ξεχωρίζουν δύο διαδρομές αρχικής πρόσβασης: έγκυρα διαπιστευτήρια VPN που οι επιτιθέμενοι απέκτησαν αλλού, και δύο ευπάθειες από το 2024 που επηρεάζουν προϊόντα Veeam και SonicWall.

Το υλικό πηγής είναι σύντομο, επομένως ορισμένες λεπτομέρειες δεν καλύπτονται εδώ, όπως τα συγκεκριμένα αναγνωριστικά CVE ή ο πλήρης κατάλογος των επηρεαζόμενων τομέων. Οι διαχειριστές θα πρέπει να διαβάσουν απευθείας την αρχική προειδοποίηση για τους τεχνικούς δείκτες και τη λίστα μετριασμού. Αυτό που καθιστά σαφές η σύνοψη είναι το μοτίβο: οι επιτιθέμενοι δεν βασίζονται σε εξωτικές τεχνικές. Χρησιμοποιούν πρόσβαση που είτε διέρρευσε είτε έμεινε χωρίς ενημέρωση.

Πώς οι κλεμμένες συνδέσεις VPN και τα ελαττώματα edge ανοίγουν την πόρτα

Ένα VPN προορίζεται να είναι μια ελεγχόμενη είσοδος σε ένα ιδιωτικό δίκτυο. Αν ένας επιτιθέμενος κατέχει έγκυρο όνομα χρήστη και κωδικό πρόσβασης, αυτή η είσοδος ανοίγει γι' αυτόν όπως ακριβώς και για έναν υπάλληλο. Για το VPN, μια κλεμμένη σύνδεση φαίνεται σαν νόμιμη συνεδρία, γι' αυτό αυτή η διαδρομή μπορεί να είναι δύσκολο να εντοπιστεί χωρίς πρόσθετους ελέγχους.

Τα κλεμμένα διαπιστευτήρια τείνουν να προέρχονται από προηγούμενες παραβιάσεις, phishing ή επαναχρησιμοποίηση κωδικών πρόσβασης μεταξύ υπηρεσιών. Αν ένα μέλος του προσωπικού χρησιμοποιεί τον ίδιο κωδικό πρόσβασης για ένα εταιρικό VPN και για έναν προσωπικό λογαριασμό που αργότερα διαρρέει, ο επιτιθέμενος δεν χρειάζεται καθόλου τεχνική εκμετάλλευση.

Η δεύτερη διαδρομή είναι συσκευές edge χωρίς ενημερώσεις. Τείχη προστασίας, συσκευές VPN και λογισμικό backup βρίσκονται στα όρια ή στην καρδιά ενός δικτύου, επομένως ένα ελάττωμα σε αυτά μπορεί να δώσει στους επιτιθέμενους ισχυρό πάτημα. Η προειδοποίηση επισημαίνει δύο ελαττώματα από το 2024, ένα στο Veeam και ένα στον εξοπλισμό SonicWall. Το γεγονός ότι ευπάθειες του 2024 εξακολουθούν να χρησιμοποιούνται έχει σημασία: υποδηλώνει ότι υπάρχουν διορθώσεις αλλά δεν εφαρμόζονται πάντα.

Μαζί, αυτές οι διαδρομές δείχνουν γιατί τα εργαλεία περιμέτρου χρειάζονται την ίδια προσοχή με οποιοδήποτε άλλο κρίσιμο σύστημα. Ένα VPN προστατεύει την κίνηση μόνο αν η πρόσβαση σε αυτό είναι προστατευμένη, και η ίδια η συσκευή πρέπει να διατηρείται ενημερωμένη.

Βήματα για την ενίσχυση της πρόσβασης VPN και των συσκευών edge

Κανένα από τα παρακάτω δεν είναι εξωτικό, και τα περισσότερα ευθυγραμμίζονται με τις αδυναμίες που περιγράφει η προειδοποίηση.

  • Απαιτήστε έλεγχο ταυτότητας πολλαπλών παραγόντων σε κάθε σύνδεση VPN. Ένας κλεμμένος κωδικός πρόσβασης από μόνος του δεν πρέπει να αρκεί για να μπει κάποιος.
  • Ενημερώστε άμεσα τα προϊόντα SonicWall και Veeam. Βεβαιωθείτε ότι οι διορθώσεις του 2024 έχουν πράγματι εγκατασταθεί, όχι απλώς προγραμματιστεί.
  • Προσέξτε για επαναχρησιμοποίηση διαπιστευτηρίων. Συγκρίνετε τα διαπιστευτήρια των υπαλλήλων με γνωστά δεδομένα παραβιάσεων και επιβάλετε επαναφορές όπου εντοπίζεται έκθεση.
  • Ελέγξτε τα αρχεία καταγραφής VPN για ασυνήθιστη δραστηριότητα. Συνδέσεις σε παράξενες ώρες, από απροσδόκητες τοποθεσίες ή από λογαριασμούς που είναι συνήθως ανενεργοί αξίζουν closer examination.
  • Αφαιρέστε ανενεργούς λογαριασμούς. Πρώην υπάλληλοι και αχρησιμοποίητες συνδέσεις εξωτερικών συνεργατών είναι εύκολοι στόχοι.
  • Προστατέψτε τα backup. Το Veeam είναι λογισμικό backup, επομένως μια παραβίαση εκεί μπορεί να υπονομεύσει την ανάκτηση. Κρατήστε αντίγραφα απομονωμένα και δοκιμάστε τις επαναφορές.

Τι σημαίνει ο απολογισμός των 600 θυμάτων για οργανισμούς και χρήστες

Για τους οργανισμούς, τα 600+ θύματα είναι μια υπενθύμιση ότι οι ομάδες ransomware κλιμακώνονται επαναλαμβάνοντας ό,τι λειτουργεί. Αν μια μόνο αδύναμη σύνδεση ή μια παλιά συσκευή χωρίς ενημέρωση αρκεί, τότε η βασική υγιεινή είναι μια από τις πιο αποτελεσματικές διαθέσιμες άμυνες, και από τις φθηνότερες.

Για μεμονωμένους χρήστες, συμπεριλαμβανομένων των ανθρώπων που συνδέονται σε εταιρικό VPN ή χρησιμοποιούν υπηρεσία VPN καταναλωτή, το μάθημα αφορά τα διαπιστευτήρια. Χρησιμοποιήστε μοναδικό κωδικό πρόσβασης για κάθε λογαριασμό, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου προσφέρεται, και αλλάξτε κωδικούς πρόσβασης άμεσα αν μια υπηρεσία που χρησιμοποιείτε αναφέρει παραβίαση. Οι υπάλληλοι αποτελούν μέρος της άμυνας, καθώς οι συνδέσεις τους είναι ακριβώς αυτό που επιδιώκουν οι επιτιθέμενοι.

Βοηθά επίσης να θυμάστε τι συμβαίνει μετά την παραβίαση ενός δικτύου. Οι φορείς ransomware συχνά προσθέτουν πίεση μέσω απαιτήσεων εκβιασμού και απειλών αποκάλυψης δεδομένων. Η ιστορία εκβιασμού ATB, στην οποία μια ομάδα που αυτοαποκαλείται DataSuckers φέρεται να απαίτησε $400K με 7,9 εκατομμύρια ανθρώπους να λέγεται ότι επηρεάστηκαν, δείχνει πώς εκτυλίσσεται αυτή η πίεση μόλις οι επιτιθέμενοι αποκτήσουν πρόσβαση.

Τι σημαίνει αυτό για εσάς

Αν διαχειρίζεστε συστήματα IT, αντιμετωπίστε την πύλη VPN και το λογισμικό backup ως περιουσιακά στοιχεία υψηλής προτεραιότητας. Ελέγξτε ποιος μπορεί να συνδεθεί, επιβεβαιώστε ότι επιβάλλεται ο έλεγχος ταυτότητας πολλαπλών παραγόντων και επαληθεύστε ότι οι ενημερώσεις SonicWall και Veeam είναι σε ισχύ. Αν είστε καθημερινός χρήστης, ασφαλίστε τους δικούς σας λογαριασμούς: μοναδικοί κωδικοί πρόσβασης, MFA και γρήγορη δράση μετά από οποιαδήποτε ειδοποίηση παραβίασης.

Βασικά συμπεράσματα

Η προειδοποίηση για το ransomware SafePay με κλεμμένα διαπιστευτήρια VPN είναι ένα κάλεσμα για διόρθωση των βασικών. Επιβάλετε MFA σε όλες τις συνδέσεις VPN, ενημερώστε τις συσκευές SonicWall και Veeam χωρίς καθυστέρηση, και παρακολουθείτε για επαναχρησιμοποιημένα ή διαρρεύσαντα διαπιστευτήρια. Οι επιτιθέμενοι που μπορούν απλώς να συνδεθούν δεν χρειάζεται να διαρρήξουν, οπότε κάντε τη σύνδεση πολύ πιο δύσκολη γι' αυτούς.