Zajednička preporuka CISA-e, FBI-a i partnera navodi da je SafePay ransomware pogodio više od 600 žrtava, a način ulaska često je bolno običan. Prema upozorenju, grupa koristi ukradene VPN vjerodajnice za SafePay ransomware kako bi se jednostavno prijavila, a također iskorištava dvije ranjivosti iz 2024. u Veeam i SonicWall opremi. Pouka je jednostavna: VPN pristupnik je samo onoliko siguran koliko su sigurne njegove prijave i njegov firmware.

Što navodi SafePay preporuka

Preporuka koju su izdali CISA, FBI i partnerske agencije izvješćuje da je SafePay ransomware kompromitirao više od 600 žrtava. Ističu se dva početna puta pristupa: valjane VPN vjerodajnice koje su napadači dobili negdje drugdje i dvije ranjivosti iz 2024. koje pogađaju Veeam i SonicWall proizvode.

Izvorni materijal je kratak, pa neke pojedinosti ovdje nisu obuhvaćene, poput konkretnih CVE identifikatora ili cjelovitog popisa pogođenih sektora. Administratori bi trebali izravno pročitati originalnu preporuku za tehničke pokazatelje i popis mjera ublažavanja. Ono što sažetak jasno pokazuje jest obrazac: napadači se ne oslanjaju na egzotične tehnike. Koriste pristup koji je ili procurio ili ostao nezakrpan.

Kako ukradene VPN prijave i ranjivosti rubnih uređaja otvaraju vrata

VPN bi trebao biti kontrolirani ulaz u privatnu mrežu. Ako napadač ima valjano korisničko ime i lozinku, taj ulaz otvara se za njega jednako kao i za zaposlenika. Za VPN ukradena prijava izgleda kao legitimna sesija, zbog čega je taj put teško uočiti bez dodatnih provjera.

Ukradene vjerodajnice obično dolaze iz ranijih proboja, phishinga ili ponovne upotrebe lozinki na više servisa. Ako zaposlenik koristi istu lozinku za poslovni VPN i osobni račun koji kasnije procuri, napadaču uopće ne treba tehnički exploit.

Drugi put su nezakrpani rubni uređaji. Vatrozidi, VPN uređaji i softver za sigurnosne kopije nalaze se na granici ili u srcu mreže, pa im ranjivost može dati napadačima snažno uporište. Preporuka upućuje na dvije ranjivosti iz 2024., jednu u Veeam i jednu u SonicWall opremi. Činjenica da se ranjivosti iz 2024. još uvijek koriste je važna: sugerira da ispravci postoje, ali se ne primjenjuju uvijek.

Zajedno, ti putevi pokazuju zašto perimetarski alati trebaju istu pažnju kao i svaki drugi kritični sustav. VPN štiti promet samo ako je pristup njemu zaštićen, a sam uređaj mora biti ažuran.

Koraci za jačanje VPN pristupa i rubnih uređaja

Ništa od sljedećeg nije egzotično, a većina se toga podudara sa slabostima koje preporuka opisuje.

  • Zahtijevajte višefaktorsku autentifikaciju za svaku VPN prijavu. Ukradena lozinka sama po sebi ne bi trebala biti dovoljna za ulazak.
  • Pravodobno zakrpajte SonicWall i Veeam proizvode. Provjerite jesu li ispravci iz 2024. stvarno instalirani, a ne samo zakazani.
  • Pazite na ponovnu upotrebu vjerodajnica. Usporedite vjerodajnice zaposlenika s poznatim podacima o probojima i prisilno resetirajte gdje se otkrije izloženost.
  • Pregledajte VPN zapise za neobičnu aktivnost. Prijave u neobično vrijeme, s neočekivanih lokacija ili s računa koji su inače neaktivni zaslužuju bliži pogled.
  • Uklonite zastarjele račune. Bivši zaposlenici i nekorištene prijave vanjskih suradnika laki su ciljevi.
  • Zaštitite sigurnosne kopije. Veeam je softver za sigurnosne kopije, pa kompromitacija tamo može potkopati oporavak. Držite kopije izoliranima i testirajte vraćanje.

Što brojka od 600 žrtava znači za organizacije i korisnike

Za organizacije, više od 600 žrtava podsjetnik je da ransomware grupe skaliraju ponavljanjem onoga što funkcionira. Ako je dovoljna jedna slaba prijava ili stari nezakrpani uređaj, onda je osnovna higijena jedna od najučinkovitijih dostupnih obrana, i jedna od najjeftinijih.

Za pojedinačne korisnike, uključujući ljude koji se spajaju na poslovni VPN ili koriste potrošačku VPN uslugu, pouka je o vjerodajnicama. Koristite jedinstvenu lozinku za svaki račun, uključite višefaktorsku autentifikaciju gdje god je ponuđena i promptno promijenite lozinke ako usluga koju koristite prijavi proboj. Zaposlenici su dio obrane, jer su njihove prijave upravo ono što napadači traže.

Također je korisno zapamtiti što se događa nakon proboja mreže. Ransomware operateri često dodaju pritisak kroz zahtjeve za iznudom i prijetnje objavljivanjem podataka. Priča o ATB iznudi, u kojoj je grupa koja se naziva DataSuckers navodno zahtijevala 400 tisuća dolara uz 7,9 milijuna navodno pogođenih ljudi, pokazuje kako se taj pritisak odvija nakon što napadači dobiju pristup.

Što to znači za vas

Ako upravljate IT sustavima, tretirajte svoj VPN pristupnik i softver za sigurnosne kopije kao imovinu visokog prioriteta. Provjerite tko se može prijaviti, potvrdite da je višefaktorska autentifikacija prisilno primijenjena i provjerite jesu li SonicWall i Veeam ažuriranja na mjestu. Ako ste svakodnevni korisnik, zaštitite vlastite račune: jedinstvene lozinke, MFA i brza reakcija nakon svake obavijesti o proboju.

Ključne pouke

Upozorenje o ukradenim VPN vjerodajnicama za SafePay ransomware poziv je da se poprave osnove. Prisilno primijenite MFA na svim VPN prijavama, zakrpajte SonicWall i Veeam uređaje bez odgađanja i nadzirite ponovno korištene ili procurjele vjerodajnice. Napadači koji se mogu jednostavno prijaviti ne moraju provaljivati, pa im prijavu učinite mnogo težom.