Un aviz comun de la CISA, FBI și parteneri afirmă că ransomware-ul SafePay a lovit peste 600 de victime, iar calea de intrare este adesea dureros de obișnuită. Conform avertismentului, grupul folosește ransomware-ul SafePay și date de autentificare VPN furate pentru a se conecta pur și simplu, și exploatează, de asemenea, două vulnerabilități din 2024 în echipamente Veeam și SonicWall. Concluzia este simplă: o poartă VPN este la fel de sigură pe cât sunt datele sale de autentificare și firmware-ul său.

Ce spune avizul despre SafePay

Avizul, emis de CISA, FBI și agențiile partenere, raportează că ransomware-ul SafePay a compromis peste 600 de victime. Două rute de acces inițial ies în evidență: date de autentificare VPN valide pe care atacatorii le-au obținut în altă parte și două vulnerabilități din 2024 care afectează produsele Veeam și SonicWall.

Materialul sursă este scurt, așa că unele detalii nu sunt acoperite aici, cum ar fi identificatorii CVE specifici sau lista completă a sectoarelor afectate. Administratorii ar trebui să citească avizul original în mod direct pentru indicatorii tehnici și lista de măsuri de atenuare. Ceea ce reiese clar din rezumat este tiparul: atacatorii nu se bazează pe tehnici exotice. Ei folosesc acces care fie a fost scurs, fie a rămas nepatchat.

Cum deschid ușa datele de autentificare VPN furate și deficiențele din echipamentele perimetrale

Un VPN este menit să fie o intrare controlată într-o rețea privată. Dacă un atacator deține un nume de utilizator și o parolă valide, acea intrare se deschide pentru el la fel cum se deschide pentru un angajat. Pentru VPN, o autentificare furată arată ca o sesiune legitimă, motiv pentru care această rută poate fi greu de detectat fără verificări suplimentare.

Datele de autentificare furate tind să provină din breșe anterioare, phishing sau reutilizarea parolelor între servicii. Dacă un angajat folosește aceeași parolă pentru un VPN de serviciu și pentru un cont personal care ulterior este scurs, atacatorul nu are nevoie de niciun exploit tehnic.

A doua rută o reprezintă dispozitivele perimetrale nepatchate. Firewall-urile, dispozitivele VPN și software-ul de backup se află la granița sau în inima unei rețele, astfel încât o deficiență în ele poate oferi atacatorilor o poziție solidă. Avizul indică două deficiențe din 2024, una în Veeam și una în echipamente SonicWall. Faptul că vulnerabilitățile din 2024 sunt încă exploatate contează: sugerează că există remedieri, dar acestea nu sunt întotdeauna aplicate.

Împreună, aceste rute arată de ce instrumentele perimetrale necesită aceeași atenție ca orice alt sistem critic. Un VPN protejează traficul doar dacă accesul la el este protejat, iar dispozitivul în sine trebuie menținut actualizat.

Pași pentru consolidarea accesului VPN și a dispozitivelor perimetrale

Niciunul dintre următoarele nu este exotic și majoritatea se aliniază cu slăbiciunile descrise în aviz.

  • Solicitați autentificare multi-factor la fiecare autentificare VPN. O parolă furată singură nu ar trebui să fie suficientă pentru a intra.
  • Patchați prompt produsele SonicWall și Veeam. Verificați că remedierile din 2024 au fost efectiv instalate, nu doar programate.
  • Urmăriți reutilizarea datelor de autentificare. Comparați datele de autentificare ale angajaților cu datele cunoscute din breșe și forțați resetări acolo unde se descoperă expunere.
  • Examinați jurnalele VPN pentru activitate neobișnuită. Autentificările la ore ciudate, din locații neașteptate sau din conturi care sunt în mod normal inactive merită o atenție mai atentă.
  • Eliminați conturile inactive. Foștii angajați și datele de autentificare neutilizate ale contractorilor sunt ținte ușoare.
  • Protejați backup-urile. Veeam este software de backup, deci o compromitere acolo poate submina recuperarea. Păstrați copiile izolate și testați restaurările.

Ce înseamnă bilanțul de 600 de victime pentru organizații și utilizatori

Pentru organizații, peste 600 de victime este un memento că grupurile de ransomware se scalează repetând ceea ce funcționează. Dacă o singură autentificare slabă sau un dispozitiv vechi nepatchat este suficient, atunci igiena de bază este una dintre cele mai eficiente apărări disponibile și una dintre cele mai ieftine.

Pentru utilizatorii individuali, inclusiv persoanele care se conectează la un VPN de serviciu sau folosesc un serviciu VPN pentru consumatori, lecția este despre datele de autentificare. Folosiți o parolă unică pentru fiecare cont, activați autentificarea multi-factor oriunde este oferită și schimbați parolele prompt dacă un serviciu pe care îl utilizați raportează o breșă. Angajații fac parte din apărare, deoarece datele lor de autentificare sunt exact ceea ce urmăresc atacatorii.

De asemenea, ajută să ne amintim ce se întâmplă după ce o rețea este compromisă. Operatorii de ransomware adesea adaugă presiune prin cereri de extorcare și amenințări de expunere a datelor. Povestea extorcării ATB, în care un grup care se autodenumește DataSuckers ar fi cerut 400K dolari, cu 7,9M de persoane afectate, arată cum se manifestă această presiune odată ce atacatorii au obținut acces.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă gestionați sisteme IT, tratați poarta VPN și software-ul de backup ca active de înaltă prioritate. Auditați cine se poate autentifica, confirmați că autentificarea multi-factor este impusă și verificați că actualizările SonicWall și Veeam sunt în vigoare. Dacă sunteți un utilizator obișnuit, securizați-vă propriile conturi: parole unice, MFA și acțiune rapidă după orice notificare de breșă.

Concluzii cheie

Avertismentul despre datele de autentificare VPN furate de ransomware-ul SafePay este un apel la remedierea aspectelor fundamentale. Impuneți MFA la toate autentificările VPN, patchați dispozitivele SonicWall și Veeam fără întârziere și monitorizați datele de autentificare reutilizate sau scurse. Atacatorii care se pot pur și simplu autentifica nu au nevoie să spargă sistemul, așa că faceți-le autentificarea mult mai dificilă.