Peringatan bersama dari CISA, FBI dan mitra menyatakan bahwa ransomware SafePay telah menyerang lebih dari 600 korban, dan cara masuknya seringkali sangat biasa. Menurut peringatan tersebut, kelompok ini menggunakan ransomware SafePay kredensial VPN curian untuk sekadar masuk, dan juga mengeksploitasi dua celah tahun 2024 pada perangkat Veeam dan SonicWall. Kesimpulannya sederhana: gateway VPN hanya seaman login dan firmware-nya.

Apa yang dikatakan peringatan SafePay

Peringatan yang dikeluarkan oleh CISA, FBI dan lembaga mitra melaporkan bahwa ransomware SafePay telah mengompromikan 600+ korban. Dua jalur akses awal menonjol: kredensial VPN valid yang diperoleh penyerang di tempat lain, dan dua kerentanan dari tahun 2024 yang memengaruhi produk Veeam dan SonicWall.

Materi sumbernya singkat, sehingga beberapa detail tidak dibahas di sini, seperti pengenal CVE spesifik atau daftar lengkap sektor yang terdampak. Administrator harus membaca peringatan asli secara langsung untuk indikator teknis dan daftar mitigasi. Yang jelas dari ringkasan ini adalah polanya: penyerang tidak mengandalkan teknik eksotis. Mereka menggunakan akses yang่ฆไนˆ bocor atau dibiarkan tidak ditambal.

Bagaimana login VPN curian dan celah edge membuka pintu

VPN dimaksudkan sebagai pintu masuk terkendali ke jaringan privat. Jika penyerang memiliki nama pengguna dan kata sandi yang valid, pintu itu terbuka bagi mereka sama seperti bagi karyawan. Bagi VPN, login curian tampak seperti sesi yang sah, itulah sebabnya jalur ini sulit dikenali tanpa pemeriksaan tambahan.

Kredensial curian cenderung berasal dari pelanggaran sebelumnya, phishing, atau penggunaan ulang kata sandi di berbagai layanan. Jika seorang staf menggunakan kata sandi yang sama untuk VPN kerja dan akun pribadi yang kemudian bocor, penyerang tidak memerlukan eksploitasi teknis sama sekali.

Jalur kedua adalah perangkat edge yang tidak ditambal. Firewall, perangkat VPN dan perangkat lunak cadangan berada di batas atau di jantung jaringan, sehingga celah di dalamnya dapat memberi penyerang pijakan yang kuat. Peringatan tersebut menunjuk pada dua celah dari tahun 2024, satu di Veeam dan satu di perangkat SonicWall. Fakta bahwa kerentanan tahun 2024 masih digunakan itu penting: ini menunjukkan bahwa perbaikan sudah ada tetapi tidak selalu diterapkan.

Secara bersama-sama, jalur-jalur ini menunjukkan mengapa alat perimeter memerlukan perhatian yang sama seperti sistem kritis lainnya. VPN melindungi lalu lintas hanya jika akses ke sana dilindungi, dan perangkat itu sendiri harus dijaga tetap mutakhir.

Langkah-langkah untuk memperkuat akses VPN dan perangkat edge

Tidak ada yang eksotis dari berikut ini, dan sebagian besar sejalan dengan kelemahan yang dijelaskan dalam peringatan.

  • Wajibkan autentikasi multi-faktor pada setiap login VPN. Kata sandi curian saja tidak boleh cukup untuk masuk.
  • Tambal produk SonicWall dan Veeam segera. Periksa bahwa perbaikan tahun 2024 benar-benar telah dipasang, bukan hanya dijadwalkan.
  • Awasi penggunaan ulang kredensial. Bandingkan kredensial karyawan dengan data pelanggaran yang diketahui dan paksa reset di mana ditemukan paparan.
  • Tinjau log VPN untuk aktivitas tidak biasa. Login pada jam ganjil, dari lokasi tak terduga, atau dari akun yang biasanya tidak aktif perlu diperiksa lebih dekat.
  • Hapus akun usang. Mantan karyawan dan login kontraktor yang tidak digunakan adalah target mudah.
  • Lindungi cadangan. Veeam adalah perangkat lunak cadangan, sehingga kompromi di sana dapat merusak pemulihan. Simpan salinan terisolasi dan uji pemulihan.

Apa arti angka 600 korban bagi organisasi dan pengguna

Bagi organisasi, 600+ korban adalah pengingat bahwa kelompok ransomware berkembang biak dengan mengulangi apa yang berhasil. Jika satu login lemah atau perangkat lama yang tidak ditambal sudah cukup, maka higiene dasar adalah salah satu pertahanan paling efektif yang tersedia, dan salah satu yang termurah.

Bagi pengguna individu, termasuk orang-orang yang terhubung ke VPN kerja atau menggunakan layanan VPN konsumen, pelajarannya adalah tentang kredensial. Gunakan kata sandi unik untuk setiap akun, aktifkan autentikasi multi-faktor di mana pun ditawarkan, dan ubah kata sandi segera jika layanan yang Anda gunakan melaporkan pelanggaran. Karyawan adalah bagian dari pertahanan, karena login mereka adalah tepat apa yang dicari penyerang.

Ini juga membantu untuk mengingat apa yang terjadi setelah jaringan dikompromikan. Operator ransomware sering menambah tekanan melalui tuntutan pemerasan dan ancaman untuk mengekspos data. Kisah pemerasan ATB, di mana kelompok yang menyebut diri DataSuckers dilaporkan menuntut $400K dengan 7,9 juta orang dikatakan terdampak, menunjukkan bagaimana tekanan itu berlangsung setelah penyerang mendapatkan akses.

Apa Artinya Ini Bagi Anda

Jika Anda mengelola sistem TI, perlakukan gateway VPN dan perangkat lunak cadangan Anda sebagai aset prioritas tinggi. Audit siapa yang dapat masuk, konfirmasi bahwa autentikasi multi-faktor diterapkan, dan verifikasi bahwa pembaruan SonicWall dan Veeam sudah terpasang. Jika Anda pengguna sehari-hari, amankan akun Anda sendiri: kata sandi unik, MFA, dan tindakan cepat setelah pemberitahuan pelanggaran apa pun.

Poin-poin penting

Peringatan kredensial VPN curian ransomware SafePay adalah ajakan untuk memperbaiki hal-hal mendasar. Terapkan MFA pada semua login VPN, tambal perangkat SonicWall dan Veeam tanpa penundaan, dan pantau kredensial yang digunakan ulang atau bocor. Penyerang yang bisa sekadar masuk tidak perlu membobol, jadi buatlah proses masuk jauh lebih sulit bagi mereka.