CISAn, FBIn ja kumppaneiden yhteisvaroitus kertoo, että SafePay-kiristyshaittaohjelma on iskenyt yli 600 uhriin, ja sisäänpääsy on usein tuskallisen tavallinen. Varoituksen mukaan ryhmä käyttää SafePay-kiristyshaittaohjelmaa varastettuja VPN-tunnistetietoja kirjautuakseen sisään, ja se hyödyntää myös kahta vuoden 2024 haavoittuvuutta Veeamin ja SonicWallin laitteissa. Johtopäätös on yksinkertainen: VPN-yhdyskäytävä on vain niin turvallinen kuin sen kirjautumiset ja laiteohjelmisto.

Mitä SafePay-varoitus kertoo

CISAn, FBIn ja kumppanivirastojen julkaisema varoitus raportoi, että SafePay-kiristyshaittaohjelma on saastuttanut yli 600 uhria. Kaksi alkuperäistä pääsyreittiä erottuu: hyökkääjien muualta hankkimat kelvolliset VPN-tunnistetiedot ja kaksi vuoden 2024 haavoittuvuutta, jotka vaikuttavat Veeamin ja SonicWallin tuotteisiin.

Lähdemateriaali on lyhyt, joten joitakin yksityiskohtia ei käsitellä tässä, kuten tiettyjä CVE-tunnisteita tai täydellistä luetteloa vaikutetuista toimialoista. Ylläpitäjien tulee lukea alkuperäinen varoitus suoraan saadakseen tekniset indikaattorit ja lieventämisluettelon. Se, minkä yhteenveto kuitenkin tekee selväksi, on kaava: hyökkääjät eivät luota eksoottisiin tekniikoihin. He käyttävät pääsyä, joka on joko vuotanut tai jätetty paikkaamatta.

Miten varastetut VPN-kirjautumiset ja reunahaavoittuvuudet avaavat oven

VPN on tarkoitettu valvotuksi sisäänkäynniksi yksityisverkkoon. Jos hyökkääjällä on kelvollinen käyttäjänimi ja salasana, se sisäänkäynti avautuu hänelle aivan kuten työntekijällekin. VPN:lle varastettu kirjautuminen näyttää lailliselta istunnolta, minkä vuoksi tämä reitti voi olla vaikea havaita ilman lisätarkistuksia.

Varastetut tunnistetiedot tulevat yleensä aiemmista tietomurroista, tietojenkalastelusta tai salasanojen uudelleenkäytöstä palveluiden välillä. Jos työntekijä käyttää samaa salasanaa työ-VPN:lle ja henkilökohtaiselle tilille, joka myöhemmin vuotaa, hyökkääjä ei tarvitse lainkaan teknistä haavoittuvuutta.

Toinen reitti on päivittämättömät reunalaittest. Palomuurit, VPN-laitteet ja varmuuskopiointiohjelmistot sijaitsevat verkon rajalla tai ytimessä, joten niiden haavoittuvuus voi antaa hyökkääjille vahvan jalansijan. Varoitus viittaa kahteen vuoden 2024 haavoittuvuuteen, yhteen Veeamissa ja yhteen SonicWallin laitteissa. Se, että vuoden 2024 haavoittuvuuksia käytetään edelleen, on merkityksellistä: se viittaa siihen, että korjaukset ovat olemassa mutta niitä ei aina sovelleta.

Yhdessä nämä reitit osoittavat, miksi reunatyökalut tarvitsevat samaa huomiota kuin mikä tahansa muu kriittinen järjestelmä. VPN suojaa liikennettä vain, jos pääsy siihen on suojattu, ja itse laite on pidettävä ajan tasalla.

Vaiheet VPN-pääsyn ja reunalaittesten vahvistamiseksi

Mikään seuraavista ei ole eksoottista, ja suurin osa niistä vastaa heikkouksia, joita varoitus kuvaa.

  • Vaadi monivaiheinen todennus jokaisessa VPN-kirjautumisessa. Pelkkä varastettu salasana ei saisi riittää sisäänpääsyyn.
  • Päivitä SonicWall- ja Veeam-tuotteet viipymättä. Tarkista, että vuoden 2024 korjaukset on todella asennettu, ei vain aikataulutettu.
  • Tarkkaile tunnistetietojen uudelleenkäyttöä. Vertaa työntekijöiden tunnistetietoja tunnettuihin tietomurtoaineistoihin ja pakota nollaukset, kun altistuminen havaitaan.
  • Käy läpi VPN-lokit epätavallisen toiminnan varalta. Kirjautumiset outoina aikoina, odottamattomista sijainneista tai tileiltä, jotka ovat normaalisti käyttämättömiä, ansaitsevat tarkemman tarkastelun.
  • Poista vanhentuneet tilit. Entiset työntekijät ja käyttämättömät urakoitsijoiden kirjautumiset ovat helppoja kohteita.
  • Suojaa varmuuskopiot. Veeam on varmuuskopiointiohjelmisto, joten sen vaarantuminen voi heikentää palautumista. Pidä kopiot eristettyinä ja testaa palautukset.

Mitä 600 uhrin lukumäärä merkitsee organisaatioille ja käyttäjille

Organisaatioille yli 600 uhria on muistutus siitä, että kiristyshaittaohjelmaryhmät skaalautuvat toistamalla sitä, mikä toimii. Jos yksi heikko kirjautuminen tai vanha päivittämätön laite riittää, perushygienia on yksi tehokkaimmista ja halvimmista käytettävissä olevista puolustuksista.

Yksittäisille käyttäjille, mukaan lukien henkilöt, jotka muodostavat yhteyden työ-VPN:ään tai käyttävät kuluttaja-VPN-palvelua, oppi koskee tunnistetietoja. Käytä ainutlaatuista salasanaa jokaisessa tilissä, ota monivaiheinen todennus käyttöön kaikkialla, missä sitä tarjotaan, ja vaihda salasanat viipymättä, jos käyttämäsi palvelu ilmoittaa tietomurrosta. Työntekijät ovat osa puolustusta, koska heidän kirjautumisensa ovat juuri se, mitä hyökkääjät tavoittelevat.

On myös hyvä muistaa, mitä tapahtuu, kun verkkoon on murtauduttu. Kiristyshaittaohjelmien operaattorit lisäävät usein painetta kiristysvaatimuksilla ja uhkauksilla tietojen paljastamisesta. ATB-kiristystarina, jossa DataSuckers-niminen ryhmä vaati väitetysti 400 000 dollaria ja 7,9 miljoonan ihmisen sanottiin olevan vaikutuksen alaisia, osoittaa, miten tämä paine toteutuu, kun hyökkääjät ovat saaneet pääsyn.

Mitä tämä merkitsee sinulle

Jos hallinnoit IT-järjestelmiä, kohtele VPN-yhdyskäytävääsi ja varmuuskopiointiohjelmistoasi korkean prioriteetin omaisuutena. Tarkasta, kuka voi kirjautua sisään, varmista että monivaiheinen todennus on pakotettu, ja varmista että SonicWall- ja Veeam-päivitykset ovat paikallaan. Jos olet tavallinen käyttäjä, suojaa omat tilisi: ainutlaatuiset salasanat, MFA ja nopea toiminta minkä tahansa tietomurtoilmoituksen jälkeen.

Keskeiset huomiot

SafePay-kiristyshaittaohjelman varastettujen VPN-tunnistetietojen varoitus on kehotus korjata perusasiat. Pakota MFA kaikissa VPN-kirjautumisissa, päivitä SonicWall- ja Veeam-laitteet viipymättä ja tarkkaile uudelleenkäytettyjä tai vuotaneita tunnistetietoja. Hyökkääjien, jotka voivat yksinkertaisesti kirjautua sisään, ei tarvitse murtautua sisään, joten tee kirjautumisesta heille paljon vaikeampaa.