A CISA, az FBI és partnereik közös figyelmeztetése szerint a SafePay zsarolóvírus több mint 600 áldozatot ért el, és a behatolás módja gyakran fájdalmasan hétköznapi. A figyelmeztetés szerint a csoport ellopott VPN-hitelesítő adatokkal egyszerűen bejelentkezik, valamint kihasznál két 2024-es sebezhetőséget a Veeam és a SonicWall eszközökben. A tanulság egyszerű: egy VPN-átjáró csak annyira biztonságos, mint a bejelentkezései és a firmware-je.

Mit mond a SafePay figyelmeztetés

A CISA, az FBI és partnerügynökségek által kiadott figyelmeztetés szerint a SafePay zsarolóvírus több mint 600 áldozatot compromittált. Két kezdeti hozzáférési útvonal emelkedik ki: a támadók által máshol megszerzett érvényes VPN-hitelesítő adatok, valamint két 2024-es sebezhetőség, amelyek a Veeam és a SonicWall termékeit érintik.

A forrásanyag rövid, ezért bizonyos részletek itt nem kerülnek tárgyalásra, például a konkrét CVE-azonosítók vagy az érintett ágazatok teljes listája. A rendszergazdáknak közvetlenül az eredeti figyelmeztetést kell elolvasniuk a technikai indikátorokért és az enyhítési listáért. Amit az összefoglaló egyértelművé tesz, az a minta: a támadók nem egzotikus technikákra támaszkodnak. Olyan hozzáférést használnak, amely vagy kiszivárgott, vagy javítatlan maradt.

Hogyan nyitnak ajtót az ellopott VPN-belépések és a peremeszközök hibái

A VPN egy privát hálózat ellenőrzött bejárata kell legyen. Ha egy támadó érvényes felhasználónévvel és jelszóval rendelkezik, az a bejárat ugyanúgy megnyílik előtte, mint egy alkalmazott előtt. A VPN számára egy ellopott bejelentkezés legitim munkamenetnek tűnik, ezért ez az útvonal extra ellenőrzések nélkül nehezen észlelhető.

Az ellopott hitelesítő adatok általában korábbi adatszivárgásokból, adathalászatból vagy a szolgáltatások közötti jelszó-újrafelhasználásból származnak. Ha egy munkatárs ugyanazt a jelszót használja a munkahelyi VPN-hez és egy személyes fiókhoz, amely később kiszivárog, a támadónak egyáltalán nincs szüksége technikai sebezhetőség kihasználására.

A második útvonal a javítatlan peremeszközök. A tűzfalak, VPN-berendezések és biztonsági mentési szoftverek a hálózat határán vagy szívében helyezkednek el, így a bennük lévő hiba erős támaszpontot adhat a támadóknak. A figyelmeztetés két 2024-es hibára mutat rá, egyre a Veeam és egyre a SonicWall eszközökben. Az a tény, hogy a 2024-es sebezhetőségeket még mindig kihasználják, számít: arra utal, hogy a javítások léteznek, de nem mindig alkalmazzák őket.

Együtt ezek az útvonalak megmutatják, miért igényelnek a peremvédelmi eszközök ugyanolyan figyelmet, mint bármely más kritikus rendszer. A VPN csak akkor védi a forgalmat, ha a hozzáférést is védik, és magát a berendezést naprakészen kell tartani.

Lépések a VPN-hozzáférés és a peremeszközök megerősítésére

Az alábbiak közül egyik sem egzotikus, és a legtöbbjük összhangban van a figyelmeztetésben leírt gyengeségekkel.

  • Követeljen meg többtényezős hitelesítést minden VPN-belépésnél. Egy ellopott jelszó önmagában nem lehet elegendő a bejutáshoz.
  • Javítsa haladéktalanul a SonicWall és a Veeam termékeket. Ellenőrizze, hogy a 2024-es javításokat ténylegesen telepítették-e, nem csak ütemezték.
  • Figyelje a hitelesítő adatok újrafelhasználását. Hasonlítsa össze az alkalmazottak hitelesítő adatait ismert adatszivárgási adatokkal, és kényszerítsen jelszó-visszaállítást, ahol kitettséget talál.
  • Vizsgálja át a VPN-naplókat szokatlan tevékenység után kutatva. A furcsa időpontokban, váratlan helyekről vagy általában tétlen fiókokból történő bejelentkezések közelebbi vizsgálatot érdemelnek.
  • Távolítsa el az elavult fiókokat. A korábbi alkalmazottak és a nem használt vállalkozói bejelentkezések könnyű célpontok.
  • Védje a biztonsági mentéseket. A Veeam biztonsági mentési szoftver, így az ottani kompromittálódás alááshatja a helyreállítást. Tartsa a másolatokat elkülönítve, és tesztelje a helyreállításokat.

Mit jelent a 600 áldozatot számláló mérleg a szervezetek és a felhasználók számára

A szervezetek számára a több mint 600 áldozat emlékeztető arra, hogy a zsarolóvírus-csoportok a működő dolgok ismétlésével növekednek. Ha egyetlen gyenge bejelentkezés vagy egy régi, javítatlan berendezés elegendő, akkor az alapvető higiénia az egyik leghatékonyabb és legolcsóbb rendelkezésre álló védelem.

Az egyéni felhasználók számára, beleértve azokat is, akik munkahelyi VPN-hez vagy fogyasztói VPN-szolgáltatáshoz csatlakoznak, a tanulság a hitelesítő adatokról szól. Használjon egyedi jelszót minden fiókhoz, kapcsolja be a többtényezős hitelesítést, ahol csak kínálják, és változtassa meg a jelszavakat haladéktalanul, ha egy Ön által használt szolgáltatás adatszivárgást jelent. Az alkalmazottak a védelem részét képezik, mivel a bejelentkezéseik azok, amikre a támadók pályáznak.

Az is segít emlékezni arra, mi történik egy hálózat compromittálása után. A zsarolóvírus-üzemeltetők gyakran zsarolási követelésekkel és az adatok nyilvánosságra hozatalával fenyegetve növelik a nyomást. Az ATB zsarolási történet, amelyben egy magát DataSuckersnek nevező csoport állítólag 400 ezer dollárt követelt, és 7,9 millió embert mondtak érintettnek, megmutatja, hogyan játszódik le ez a nyomás, miután a támadók hozzáférést szereztek.

Mit jelent ez Önnek

Ha Ön IT-rendszereket kezel, kezelje VPN-átjáróját és biztonsági mentési szoftverét kiemelt prioritású eszközként. Vizsgálja felül, ki tud bejelentkezni, erősítse meg, hogy a többtényezős hitelesítés érvényben van, és ellenőrizze, hogy a SonicWall és a Veeam frissítései telepítve vannak-e. Ha Ön hétköznapi felhasználó, biztosítsa saját fiókjait: egyedi jelszavak, MFA és gyors cselekvés bármilyen adatszivárgási értesítés után.

Fő tanulságok

A SafePay zsarolóvírus ellopott VPN-hitelesítő adatokról szóló figyelmeztetése felhívás az alapok rendbe tételére. Kényszerítse ki az MFA-t minden VPN-belépésnél, javítsa haladéktalanul a SonicWall és a Veeam eszközöket, és figyelje az újrafelhasznált vagy kiszivárgott hitelesítő adatokat. Azoknak a támadóknak, akik egyszerűen be tudnak jelentkezni, nem kell betörniük, ezért tegye sokkal nehezebbé számukra a bejelentkezést.