Совместное предупреждение ФБР, CISA и европейских агентств выдвинуло группу SafePay ransomware в центр внимания: США, Великобритания и Германия названы целями глобальной кампании этой группы. Ключевая деталь для обычных пользователей и малого бизнеса: атакующие нацеливаются на резервные копии. Это делает защиту резервных копий от SafePay ransomware более важным вопросом, чем просто наличие второй копии ваших файлов.

Исходная статья краткая, поэтому этот пост сосредоточен на том, о чём сигнализирует предупреждение, и на практических шагах, которые вы можете предпринять. Там, где мы описываем типичное поведение атакующих, это отражает общие публичные отчёты о SafePay и распространённую практику ransomware.

Что делает SafePay Ransomware и кто является целью

SafePay — это группа ransomware, то есть она взламывает сети, блокирует данные и требует оплату за восстановление доступа. Публичные отчёты об угрозах описывают её как операцию двойного вымогательства: атакующие копируют данные из систем жертвы перед шифрованием, а затем требуют оплату в криптовалюте. Угроза состоит как в потере доступа, так и в утечке конфиденциальных файлов.

Совместное предупреждение описывает глобальную кампанию, и участвующие агентства охватывают США, Великобританию и Германию. Группы ransomware редко ограничиваются крупными корпорациями. Малый бизнес, клиники, школы и местные офисы часто располагают ценными данными, но имеют более слабую защиту, что делает их привлекательными. Отдельные лица с сетевыми устройствами хранения дома или в домашнем офисе также могут быть подвержены риску.

Публичные отчёты о SafePay говорят, что его операторы обычно проникают, крадя или угадывая пароли и эксплуатируя уязвимости в системах безопасности. Ничего из этого не является экзотическим, и именно поэтому основы так важны.

Почему атакующие сначала нацеливаются на резервные копии

Резервные копии — это страховочная сетка. Если жертва может восстановиться из чистой копии, требование выкупа теряет большую часть своего рычага. Поэтому атакующие, которые это понимают, пытаются убрать сетку до того, как нажать на курок. Удаление, шифрование или повреждение резервных копий в первую очередь означает, что когда появляется записка с требованием выкупа, варианты восстановления уже исчезли.

Это тот сдвиг, который стоит усвоить. Многие люди думают о резервной копии как о чём-то, что просто существует. На практике резервная копия, доступная из вашей основной сети с использованием тех же учётных данных для входа, может быть найдена и уничтожена любым, кто получит этот доступ. Копия на диске, постоянно подключённом к вашему компьютеру, или облачная папка, которая синхронизируется автоматически, может быть зашифрована вместе со всем остальным.

Как защитить резервные копии: офлайн-копии, неизменяемость и шифрование

Хорошая защита резервных копий от SafePay ransomware начинается с допущения, что атакующий в конечном итоге получит доступ к вашим основным системам, и затем обеспечения того, чтобы ваши резервные копии выжили в этом сценарии. Три идеи помогают:

  • Держите офлайн- или изолированную копию. Внешний диск, который отключается после каждого резервного копирования, не может быть зашифрован удалённо. Для бизнеса это означает копии, которые не являются постоянно доступными из производственной сети.
  • Используйте неизменяемые резервные копии. Неизменяемость означает, что резервная копия не может быть изменена или удалена в течение установленного периода, даже учётной записью администратора. Многие инструменты резервного копирования и облачные сервисы хранения предлагают это как настройку. Если атакующий украдёт учётные данные администратора, заблокированные копии останутся нетронутыми.
  • Шифруйте свои резервные копии. Шифрование не остановит атакующего от удаления данных, но оно защищает содержимое, если копия украдена. Это важно в случае двойного вымогательства, где утечка данных является частью давления.

Две поддерживающие привычки столь же важны. Используйте отдельные учётные данные для систем резервного копирования, в идеале защищённые многофакторной аутентификацией, чтобы украденный повседневный пароль не открывал их. И регулярно тестируйте восстановление. Резервная копия, которую вы никогда не восстанавливали, — это предположение, а не план.

Базовые защиты, которые останавливают первоначальное вторжение

Защита резервных копий — это последняя линия обороны. Лучший результат — не пустить атакующих внутрь. Поскольку отчёты указывают на украденные или угаданные пароли и эксплуатируемые уязвимости, наиболее полезные защиты — это неприукрашенные:

  • Включите многофакторную аутентификацию для электронной почты, удалённого доступа, облачных аккаунтов и консолей резервного копирования.
  • Используйте надёжные уникальные пароли, хранящиеся в менеджере паролей, чтобы одна утёкшая учётная запись не открывала несколько дверей.
  • Устанавливайте исправления оперативно, особенно для систем, обращённых в интернет, таких как межсетевые экраны, инструменты удалённого доступа и программное обеспечение для резервного копирования. Неисправленные известные уязвимости — распространённый путь проникновения.
  • Ограничьте удалённый доступ. Отключите неиспользуемые службы и ограничьте, кто может получить доступ к остальным.

VPN может помочь защитить удалённые подключения к рабочей сети, но он не заменяет установку исправлений и MFA и сам по себе не защитит резервные копии.

Что это значит для вас

Международный характер этого предупреждения стоит отметить. Правительства, сотрудничающие через границы по киберугрозам, — это не новость; такие альянсы, как Five Eyes и более широкий Fourteen Eyes, известны обменом разведданными, хотя эти соглашения касаются данных наблюдения и являются отдельным вопросом от этого предупреждения о ransomware. Вывод для читателей проще: когда несколько агентств выпускают совместное предупреждение, угроза широка и не ограничена одним регионом или отраслью.

Для отдельных лиц это означает проверку того, действительно ли ваши резервные копии отделены от вашего компьютера. Для малого бизнеса это означает вопрос о том, кто может удалить ваши резервные копии и защищён ли этот аккаунт с помощью MFA.

Практические выводы

Защита резервных копий от SafePay ransomware сводится к короткому аудиту, который вы можете завершить на этой неделе:

  1. Проверьте настройку резервного копирования. Есть ли у вас хотя бы одна копия, которая является офлайн или неизменяемой?
  2. Разделите учётные данные. Убедитесь, что доступ к резервным копиям использует другие логины, отличные от повседневных аккаунтов.
  3. Включите MFA везде, где она предлагается, начиная с электронной почты, удалённого доступа и инструментов резервного копирования.
  4. Установите ожидающие обновления, уделяя приоритет межсетевым экранам, программному обеспечению удалённого доступа и приложениям резервного копирования.
  5. Протестируйте восстановление нескольких файлов, чтобы подтвердить, что резервные копии действительно работают.

Ни один из этих шагов не является сложным, и вместе они отнимают рычаг, на который полагаются группы ransomware. Начните с аудита сегодня.