Um alerta conjunto da CISA, do FBI e de parceiros afirma que o ransomware SafePay atingiu mais de 600 vítimas, e a forma de entrada costuma ser dolorosamente comum. Segundo o aviso, o grupo usa o ransomware SafePay com credenciais de VPN roubadas para simplesmente fazer login, e também explora duas falhas de 2024 em equipamentos Veeam e SonicWall. A conclusão é simples: um gateway de VPN é tão seguro quanto seus logins e seu firmware.

O que diz o alerta sobre o SafePay

O alerta, emitido pela CISA, pelo FBI e por agências parceiras, informa que o ransomware SafePay comprometeu mais de 600 vítimas. Duas rotas de acesso inicial se destacam: credenciais de VPN válidas que os atacantes obtiveram em outro lugar, e duas vulnerabilidades de 2024 que afetam produtos Veeam e SonicWall.

O material de origem é breve, portanto alguns detalhes não são abordados aqui, como os identificadores CVE específicos ou a lista completa dos setores afetados. Os administradores devem ler o alerta original diretamente para obter os indicadores técnicos e a lista de mitigações. O que o resumo deixa claro é o padrão: os atacantes não estão recorrendo a técnicas exóticas. Eles estão usando acesso que vazou ou que ficou sem correção.

Como logins de VPN roubados e falhas em dispositivos de borda abrem a porta

Uma VPN deve ser uma entrada controlada para uma rede privada. Se um atacante possui um nome de usuário e uma senha válidos, essa entrada se abre para ele da mesma forma que para um funcionário. Para a VPN, um login roubado parece uma sessão legítima, e é por isso que essa rota pode ser difícil de detectar sem verificações adicionais.

Credenciais roubadas tendem a vir de violações anteriores, phishing ou reutilização de senhas entre serviços. Se um funcionário usa a mesma senha para uma VPN de trabalho e para uma conta pessoal que depois vaza, o atacante não precisa de nenhum exploit técnico.

A segunda rota são dispositivos de borda sem patch. Firewalls, appliances de VPN e softwares de backup ficam na fronteira ou no coração de uma rede, então uma falha neles pode dar aos atacantes uma base sólida. O alerta aponta para duas falhas de 2024, uma no Veeam e outra em equipamentos SonicWall. O fato de vulnerabilidades de 2024 ainda estarem sendo usadas importa: isso sugere que as correções existem, mas nem sempre são aplicadas.

Juntas, essas rotas mostram por que ferramentas de perímetro precisam da mesma atenção que qualquer outro sistema crítico. Uma VPN protege o tráfego apenas se o acesso a ela estiver protegido, e o próprio appliance deve ser mantido atualizado.

Passos para reforçar o acesso à VPN e os dispositivos de borda

Nada do que segue é exótico, e a maior parte está alinhada com as fraquezas descritas no alerta.

  • Exija autenticação multifator em todos os logins de VPN. Uma senha roubada sozinha não deve ser suficiente para entrar.
  • Aplique patches nos produtos SonicWall e Veeam prontamente. Verifique se as correções de 2024 foram realmente instaladas, e não apenas agendadas.
  • Fique atento à reutilização de credenciais. Compare as credenciais dos funcionários com dados conhecidos de violações e force redefinições onde for encontrada exposição.
  • Revise os logs de VPN em busca de atividade incomum. Logins em horários estranhos, de locais inesperados ou de contas normalmente inativas merecem uma análise mais detalhada.
  • Remova contas obsoletas. Ex-funcionários e logins de prestadores não utilizados são alvos fáceis.
  • Proteja os backups. O Veeam é software de backup, então um comprometimento ali pode comprometer a recuperação. Mantenha cópias isoladas e teste as restaurações.

O que o total de 600 vítimas significa para organizações e usuários

Para as organizações, mais de 600 vítimas é um lembrete de que grupos de ransomware escalam repetindo o que funciona. Se um único login fraco ou um appliance antigo sem patch já basta, então a higiene básica é uma das defesas mais eficazes disponíveis, e uma das mais baratas.

Para usuários individuais, incluindo pessoas que se conectam a uma VPN de trabalho ou usam um serviço de VPN de consumo, a lição é sobre credenciais. Use uma senha única para cada conta, ative a autenticação multifator sempre que ela for oferecida e altere as senhas prontamente se um serviço que você usa relatar uma violação. Os funcionários fazem parte da defesa, já que seus logins são exatamente o que os atacantes buscam.

Também ajuda lembrar o que acontece depois que uma rede é comprometida. Operadores de ransomware frequentemente aumentam a pressão por meio de exigências de extorsão e ameaças de expor dados. A história da extorsão da ATB, na qual um grupo que se autodenomina DataSuckers teria exigido US$ 400 mil com 7,9 milhões de pessoas supostamente afetadas, mostra como essa pressão se desenrola depois que os atacantes obtêm acesso.

O que isso significa para você

Se você gerencia sistemas de TI, trate seu gateway de VPN e seu software de backup como ativos de alta prioridade. Audite quem pode fazer login, confirme que a autenticação multifator está sendo aplicada e verifique se as atualizações do SonicWall e do Veeam estão em vigor. Se você é um usuário comum, proteja suas próprias contas: senhas únicas, MFA e ação rápida após qualquer aviso de violação.

Principais conclusões

O alerta sobre credenciais de VPN roubadas pelo ransomware SafePay é um chamado para corrigir o básico. Exija MFA em todos os logins de VPN, aplique patches nos dispositivos SonicWall e Veeam sem demora e monitore credenciais reutilizadas ou vazadas. Atacantes que conseguem simplesmente fazer login não precisam invadir, então torne o login muito mais difícil para eles.