En felles advarsel fra CISA, FBI og partnere sier at SafePay-løsepengevirus har rammet mer enn 600 ofre, og veien inn er ofte smertefullt ordinær. Ifølge advarselen bruker gruppen SafePay-løsepengevirus stjålne VPN-legitimasjoner for å bare logge inn, og den utnytter også to sårbarheter fra 2024 i Veeam- og SonicWall-utstyr. Lærdommen er enkel: en VPN-gateway er bare så sikker som innloggingene og fastvaren dens.

Hva SafePay-advarselen sier

Advarselen, utstedt av CISA, FBI og partnerbyråer, rapporterer at SafePay-løsepengevirus har kompromittert over 600 ofre. To innledende tilgangsveier skiller seg ut: gyldige VPN-legitimasjoner som angripere har skaffet seg andre steder, og to sårbarheter fra 2024 som påvirker Veeam- og SonicWall-produkter.

Kildematerialet er kortfattet, så enkelte detaljer dekkes ikke her, som de spesifikke CVE-identifikatorene eller den fullstendige listen over berørte sektorer. Administratorer bør lese den opprinnelige advarselen direkte for de tekniske indikatorene og listen over tiltak. Det sammendraget gjør klart, er mønsteret: angripere stoler ikke på eksotiske teknikker. De bruker tilgang som enten er lekket eller latt uoppdatert.

Hvordan stjålne VPN-innlogginger og sårbarheter i kantutstyr åpner døren

En VPN er ment å være en kontrollert inngang til et privat nettverk. Hvis en angriper har et gyldig brukernavn og passord, åpnes den inngangen for dem akkurat som for en ansatt. For VPN-en ser en stjålen innlogging ut som en legitim økt, og det er derfor denne veien kan være vanskelig å oppdage uten ekstra kontroller.

Stjålen legitimasjon kommer gjerne fra tidligere brudd, phishing eller gjenbruk av passord på tvers av tjenester. Hvis en ansatt bruker samme passord for en jobb-VPN og en personlig konto som senere lekkes, trenger angriperen ingen teknisk utnyttelse i det hele tatt.

Den andre veien er uoppdaterte kant-enheter. Brannmurer, VPN-enheter og sikkerhetskopieringsprogramvare sitter ved grensen eller i hjertet av et nettverk, så en sårbarhet i dem kan gi angripere et sterkt fotfeste. Advarselen peker på to sårbarheter fra 2024, én i Veeam og én i SonicWall-utstyr. Det at sårbarheter fra 2024 fortsatt brukes, betyr noe: det antyder at rettelser finnes, men ikke alltid brukes.

Sammen viser disse veiene hvorfor perimeterverktøy trenger samme oppmerksomhet som ethvert annet kritisk system. En VPN beskytter trafikk bare hvis tilgangen til den er beskyttet, og selve enheten må holdes oppdatert.

Trinn for å herde VPN-tilgang og kant-enheter

Ingenting av det følgende er eksotisk, og det meste samsvarer med svakhetene advarselen beskriver.

  • Krev flerfaktorautentisering på hver VPN-innlogging. Et stjålet passord alene bør ikke være nok til å komme inn.
  • Oppdater SonicWall- og Veeam-produkter raskt. Kontroller at rettelsene fra 2024 faktisk er installert, ikke bare planlagt.
  • Vær oppmerksom på gjenbruk av legitimasjon. Sammenlign ansattes legitimasjon med kjente bruddata og tving tilbakestilling der eksponering oppdages.
  • Gjennomgå VPN-logger for uvanlig aktivitet. Innlogginger på merkelige tider, fra uventede steder eller fra kontoer som normalt er inaktive fortjener en nærmere titt.
  • Fjern foreldede kontoer. Tidligere ansatte og ubrukte innlogginger for innleide er enkle mål.
  • Beskytt sikkerhetskopier. Veeam er sikkerhetskopiprogramvare, så en kompromittering der kan undergrave gjenoppretting. Hold kopier isolert og test gjenopprettinger.

Hva tallet på 600 ofre betyr for organisasjoner og brukere

For organisasjoner er over 600 ofre en påminnelse om at løsepengegrupper skalerer ved å gjenta det som fungerer. Hvis en enkelt svak innlogging eller en gammel uoppdatert enhet er nok, er grunnleggende hygiene et av de mest effektive forsvarene som finnes, og et av de billigste.

For individuelle brukere, inkludert folk som kobler til en jobb-VPN eller bruker en forbruker-VPN-tjeneste, handler lærdommen om legitimasjon. Bruk et unikt passord for hver konto, slå på flerfaktorautentisering der det tilbys, og endre passord raskt hvis en tjeneste du bruker rapporterer et brudd. Ansatte er en del av forsvaret, siden innloggingene deres er nøyaktig det angriperne er ute etter.

Det hjelper også å huske hva som skjer etter at et nettverk er kompromittert. Løsepengeoperatører legger ofte til press gjennom utpressingskrav og trusler om å eksponere data. ATB-utpressingshistorien, der en gruppe som kaller seg DataSuckers angivelig krevde 400 000 dollar med 7,9 millioner mennesker sagt å være berørt, viser hvordan det presset utspiller seg når angripere først har fått tilgang.

Hva dette betyr for deg

Hvis du administrerer IT-systemer, behandle VPN-gatewayen og sikkerhetskopiprogramvaren som høyprioriterte ressurser. Revider hvem som kan logge inn, bekreft at flerfaktorautentisering er håndhevet, og verifiser at SonicWall- og Veeam-oppdateringer er på plass. Hvis du er en vanlig bruker, sikre dine egne kontoer: unike passord, MFA og rask handling etter enhver bruddvarsel.

Viktige punkter

Advarselen om SafePay-løsepengevirus og stjålne VPN-legitimasjoner er en oppfordring til å fikse det grunnleggende. Håndhev MFA på alle VPN-innlogginger, oppdater SonicWall- og Veeam-enheter uten forsinkelse, og overvåk for gjenbrukt eller lekket legitimasjon. Angripere som bare kan logge inn, trenger ikke å bryte seg inn, så gjør innlogging mye vanskeligere for dem.