Совместное предупреждение CISA, ФБР и партнёров сообщает, что SafePay ransomware поразила более 600 жертв, и способ проникновения часто до боли обыденный. Согласно предупреждению, группа использует SafePay ransomware украденные VPN-учётные данные для простого входа, а также эксплуатирует две уязвимости 2024 года в продуктах Veeam и SonicWall. Вывод прост: VPN-шлюз настолько безопасен, насколько безопасны его логины и его прошивка.

Что говорится в предупреждении о SafePay

В предупреждении, выпущенном CISA, ФБР и партнёрскими агентствами, сообщается, что SafePay ransomware скомпрометировала более 600 жертв. Выделяются два маршрута первоначального доступа: действительные VPN-учётные данные, полученные злоумышленниками из других источников, и две уязвимости 2024 года, затрагивающие продукты Veeam и SonicWall.

Исходный материал краток, поэтому некоторые детали здесь не освещены, например конкретные идентификаторы CVE или полный список затронутых секторов. Администраторам следует читать оригинальное предупреждение напрямую для получения технических индикаторов и списка мер защиты. Что действительно ясно из резюме — это паттерн: злоумышленники не полагаются на экзотические техники. Они используют доступ, который либо был утёк, либо остался неисправленным.

Как украденные VPN-логины и уязвимости пограничных устройств открывают дверь

VPN предназначен для контролируемого входа в частную сеть. Если злоумышленник обладает действительным именем пользователя и паролем, этот вход открывается для него так же, как и для сотрудника. Для VPN украденный логин выглядит как легитимная сессия, поэтому этот маршрут трудно обнаружить без дополнительных проверок.

Украденные учётные данные обычно происходят из более ранних утечек, фишинга или повторного использования паролей в разных сервисах. Если сотрудник использует один и тот же пароль для рабочего VPN и личного аккаунта, который позже утекает, злоумышленнику вообще не нужен технический эксплойт.

Второй маршрут — неисправленные пограничные устройства. Межсетевые экраны, VPN-устройства и программное обеспечение для резервного копирования находятся на границе или в сердце сети, поэтому уязвимость в них может дать злоумышленникам прочную опору. Предупреждение указывает на две уязвимости 2024 года: одну в Veeam и одну в оборудовании SonicWall. Тот факт, что уязвимости 2024 года всё ещё используются, важен: это говорит о том, что исправления существуют, но не всегда применяются.

Вместе эти маршруты показывают, почему пограничные инструменты нуждаются в таком же внимании, как и любая другая критическая система. VPN защищает трафик только в том случае, если защищён доступ к нему, а само устройство должно поддерживаться в актуальном состоянии.

Шаги по укреплению VPN-доступа и пограничных устройств

Ничто из перечисленного ниже не является экзотическим, и большая часть соответствует слабостям, описанным в предупреждении.

  • Требуйте многофакторную аутентификацию при каждом входе в VPN. Одного украденного пароля не должно быть достаточно для входа.
  • Своевременно устанавливайте исправления для продуктов SonicWall и Veeam. Убедитесь, что исправления 2024 года действительно установлены, а не просто запланированы.
  • Следите за повторным использованием учётных данных. Сравнивайте учётные данные сотрудников с известными данными об утечках и принудительно сбрасывайте их при обнаружении компрометации.
  • Проверяйте журналы VPN на предмет необычной активности. Входы в необычное время, из неожиданных мест или из учётных записей, которые обычно неактивны, заслуживают более пристального внимания.
  • Удаляйте устаревшие учётные записи. Бывшие сотрудники и неиспользуемые логины подрядчиков — лёгкие цели.
  • Защищайте резервные копии. Veeam — это программное обеспечение для резервного копирования, поэтому компрометация там может подорвать восстановление. Храните копии изолированно и тестируйте восстановление.

Что означает счёт в 600+ жертв для организаций и пользователей

Для организаций 600+ жертв — это напоминание о том, что группы ransomware масштабируются, повторяя то, что работает. Если достаточно одного слабого логина или старого неисправленного устройства, то базовая гигиена — одна из самых эффективных и самых дешёвых доступных защит.

Для отдельных пользователей, включая тех, кто подключается к рабочему VPN или пользуется потребительским VPN-сервисом, урок касается учётных данных. Используйте уникальный пароль для каждой учётной записи, включайте многофакторную аутентификацию везде, где она предлагается, и promptly меняйте пароли, если используемый вами сервис сообщает об утечке. Сотрудники являются частью защиты, поскольку их логины — именно то, что ищут злоумышленники.

Также полезно помнить, что происходит после компрометации сети. Операторы ransomware часто усиливают давление через требования выкупа и угрозы раскрыть данные. История вымогательства ATB, в которой группа, называющая себя DataSuckers, якобы потребовала $400K при 7,9 млн пострадавших, показывает, как это давление разворачивается после того, как злоумышленники получили доступ.

Что это значит для вас

Если вы управляете IT-системами, относитесь к вашему VPN-шлюзу и программному обеспечению для резервного копирования как к высокоприоритетным активам. Проверьте, кто может входить, убедитесь, что многофакторная аутентификация включена, и проверьте, что обновления SonicWall и Veeam установлены. Если вы обычный пользователь, защитите свои собственные учётные записи: уникальные пароли, MFA и быстрые действия после любого уведомления об утечке.

Ключевые выводы

Предупреждение о SafePay ransomware и украденных VPN-учётных данных — это призыв исправить основы. Включите MFA для всех входов в VPN, устанавливайте исправления для устройств SonicWall и Veeam без промедления и следите за повторно используемыми или утёкшими учётными данными. Злоумышленникам, которые могут просто войти, не нужно взламывать — сделайте вход для них намного сложнее.