En felles advarsel fra FBI, CISA og EU-byråer har satt løsepengeransomwaregruppen SafePay i søkelyset, med USA, Storbritannia og Tyskland navngitt som mål for gruppens globale kampanje. Nøkkeldetaljen for vanlige brukere og små bedrifter: angriperne går etter sikkerhetskopier. Det gjør beskyttelse av sikkerhetskopier mot SafePay-løsepengeransomware til et større spørsmål enn bare å ha en ekstra kopi av filene dine.

Kildeartikkelen er kort, så dette innlegget fokuserer på hva advarselen signaliserer og på praktiske tiltak du kan gjøre. Der vi beskriver typisk angriperatferd, gjenspeiler det generell offentlig rapportering om SafePay og vanlig løsepengeransomware-praksis.

Hva SafePay-løsepengeransomware gjør og hvem som er mål

SafePay er en løsepengeransomwaregruppe, som betyr at den bryter seg inn i nettverk, låser data og krever betaling for å gjenopprette tilgang. Offentlige trusselrapporter beskriver den som en dobbel utpresningsoperasjon: angripere kopierer data ut av offerets systemer før de krypterer dem, og krever deretter betaling i kryptovaluta. Trusselen er både å miste tilgang og å få sensitive filer lekket.

Den felles advarselen beskriver en global kampanje, og byråene som er involvert spenner over USA, Storbritannia og Tyskland. Løsepengeransomwaregrupper begrenser sjelden seg til store selskaper. Små bedrifter, klinikker, skoler og lokale kontorer har ofte verdifulle data, men tynnere forsvar, noe som gjør dem attraktive. Enkeltpersoner med nettverkslagringsenheter hjemme eller på hjemmekontor kan også være utsatt.

Offentlig rapportering om SafePay sier at operatørene deres vanligvis kommer seg inn ved å stjele eller gjette passord og ved å utnytte sårbarheter i sikkerhetssystemer. Ingenting av dette er eksotisk, og det er derfor det grunnleggende betyr så mye.

Hvorfor angripere går etter sikkerhetskopier først

Sikkerhetskopier er sikkerhetsnettet. Hvis et offer kan gjenopprette fra en ren kopi, mister løsepengekravet det meste av sin makt. Så angripere som forstår dette, prøver å fjerne nettet før de trekker i avtrekkeren. Å slette, kryptere eller korrumpere sikkerhetskopier først betyr at når løsepengevarselet dukker opp, er gjenopprettingsalternativene allerede borte.

Dette er skiftet det er verdt å ta innover seg. Mange tenker på en sikkerhetskopi som noe som bare eksisterer. I praksis kan en sikkerhetskopi som er tilgjengelig fra hovednettverket ditt, med de samme påloggingsopplysningene, bli funnet og ødelagt av alle som får den tilgangen. En kopi som ligger på en stasjon som er permanent tilkoblet datamaskinen din, eller en sky mappe som synkroniseres automatisk, kan bli kryptert sammen med alt annet.

Hvordan beskytte sikkerhetskopier: Frakoblede kopier, uforanderlighet og kryptering

God beskyttelse av sikkerhetskopier mot SafePay-løsepengeransomware begynner med å anta at en angriper til slutt vil få tilgang til hovedsystemene dine, og deretter sørge for at sikkerhetskopiene overlever det scenariet. Tre ideer hjelper:

  • Hold en frakoblet eller isolert kopi. En ekstern stasjon som kobles fra etter hver sikkerhetskopiering kan ikke krypteres eksternt. For bedrifter betyr dette kopier som ikke er kontinuerlig tilgjengelige fra produksjonsnettverket.
  • Bruk uforanderlige sikkerhetskopier. Uforanderlighet betyr at en sikkerhetskopi ikke kan endres eller slettes i en fastsatt periode, selv av en administrator-konto. Mange sikkerhetskopiverktøy og skylagringstjenester tilbyr dette som en innstilling. Hvis en angriper stjeler admin-legitimasjon, forblir de låste kopiene intakte.
  • Krypter sikkerhetskopiene dine. Kryptering vil ikke stoppe en angriper fra å slette data, men den beskytter innholdet hvis en kopi blir stjålet. Det betyr noe i et dobbel utpresnings-tilfelle, der lekket data er en del av presset.

To støttende vaner er like viktige. Bruk separate påloggingsopplysninger for sikkerhetskopisystemer, ideelt sett beskyttet med flerfaktorautentisering, slik at et stjålet hverdagspassord ikke låser dem opp. Og test gjenopprettinger regelmessig. En sikkerhetskopi du aldri har gjenopprettet, er en antakelse, ikke en plan.

Grunnleggende forsvar som stopper den første inntrengingen

Å beskytte sikkerhetskopier er den siste forsvarslinjen. Det bedre utfallet er å holde angripere ute. Fordi rapportering peker på stjålne eller gjettede passord og utnyttede sårbarheter, er de mest nyttige forsvarene de uglamorøse:

  • Aktiver flerfaktorautentisering på e-post, ekstern tilgang, skykontoer og sikkerhetskopikonsoller.
  • Bruk sterke, unike passord lagret i en passordbehandler, slik at én lekket legitimasjon ikke åpner flere dører.
  • Oppdater raskt, spesielt internett-eksponerte systemer som brannmurer, verktøy for ekstern tilgang og sikkerhetskopiprogramvare. Uoppdaterte kjente feil er en vanlig inngangsvei.
  • Begrens ekstern tilgang. Slå av tjenester du ikke bruker og begrens hvem som kan nå resten.

En VPN kan bidra til å sikre eksterne tilkoblinger til et arbeidsnettverk, men den er ikke en erstatning for oppdatering og MFA, og den vil ikke beskytte sikkerhetskopier alene.

Hva dette betyr for deg

Det internasjonale preget av denne advarselen er verdt å merke seg. Regjeringer som samarbeider på tvers av landegrenser om cybertrusler er ikke nytt; allianser som Five Eyes og den bredere Fourteen Eyes er kjent for etterretningsdeling, selv om disse ordningene gjelder overvåkningsdata og er en separat sak fra denne løsepengeransomware-advarselen. Det viktigste for lesere er enklere: når flere byråer gir ut en felles advarsel, er trusselen bred og ikke begrenset til én region eller bransje.

For enkeltpersoner betyr det å sjekke om sikkerhetskopiene dine virkelig er atskilt fra datamaskinen din. For små bedrifter betyr det å spørre hvem som kan slette sikkerhetskopiene dine, og om den kontoen er beskyttet av MFA.

Konkrete tiltak

Beskyttelse av sikkerhetskopier mot SafePay-løsepengeransomware koker ned til en kort gjennomgang du kan fullføre denne uken:

  1. Sjekk sikkerhetskopioppsettet ditt. Har du minst én kopi som er frakoblet eller uforanderlig?
  2. Skill påloggingsopplysningene. Sørg for at sikkerhetskopitilgang bruker andre pålogginger enn daglige kontoer.
  3. Slå på MFA overalt hvor det tilbys, med start i e-post, ekstern tilgang og sikkerhetskopiverktøy.
  4. Installer ventende oppdateringer, med prioritet på brannmurer, programvare for ekstern tilgang og sikkerhetskopi-applikasjoner.
  5. Test en gjenoppretting av noen filer for å bekrefte at sikkerhetskopiene faktisk fungerer.

Ingen av disse trinnene er kompliserte, og sammen fjerner de makten løsepengeransomwaregrupper er avhengige av. Start med gjennomgangen i dag.