En gemensam varning från CISA, FBI och partner säger att SafePay-ransomware har drabbat fler än 600 offer, och vägen in är ofta smärtsamt ordinär. Enligt varningen använder gruppen SafePay-ransomware stulna VPN-uppgifter för att helt enkelt logga in, och den utnyttjar även två sårbarheter från 2024 i Veeam- och SonicWall-utrustning. Slutsatsen är enkel: en VPN-gateway är bara så säker som dess inloggningar och dess firmware.

Vad SafePay-varningen säger

Varningen, som utfärdats av CISA, FBI och partnerbyråer, rapporterar att SafePay-ransomware har komprometterat över 600 offer. Två initiala åtkomstvägar sticker ut: giltiga VPN-uppgifter som angriparna har fått tag på någon annanstans, och två sårbarheter från 2024 som påverkar Veeam- och SonicWall-produkter.

Källmaterialet är kortfattat, så vissa detaljer tas inte upp här, såsom de specifika CVE-identifierarna eller den fullständiga listan över drabbade sektorer. Administratörer bör läsa den ursprungliga varningen direkt för tekniska indikatorer och listan över motåtgärder. Vad sammanfattningen däremot tydligt visar är mönstret: angriparna förlitar sig inte på exotiska tekniker. De använder åtkomst som antingen har läckt eller lämnats ouppdaterad.

Hur stulna VPN-inloggningar och sårbarheter i kantenheter öppnar dörren

En VPN är tänkt att vara en kontrollerad ingång till ett privat nätverk. Om en angripare har ett giltigt användarnamn och lösenord öppnas den ingången för dem precis som för en anställd. För VPN:n ser en stulen inloggning ut som en legitim session, vilket är anledningen till att denna väg kan vara svår att upptäcka utan extra kontroller.

Stulna uppgifter kommer vanligtvis från tidigare intrång, nätfiske eller återanvändning av lösenord mellan tjänster. Om en medarbetare använder samma lösenord för ett arbets-VPN och ett personligt konto som senare läcker, behöver angriparen ingen teknisk exploit alls.

Den andra vägen är ouppdaterade kantenheter. Brandväggar, VPN-enheter och säkerhetskopieringsprogramvara sitter vid gränsen eller i hjärtat av ett nätverk, så en sårbarhet i dem kan ge angriparna ett starkt fotfäste. Varningen pekar på två sårbarheter från 2024, en i Veeam och en i SonicWall-utrustning. Det faktum att sårbarheter från 2024 fortfarande utnyttjas spelar roll: det tyder på att åtgärder finns men inte alltid tillämpas.

Tillsammans visar dessa vägar varför perimeterverktyg behöver samma uppmärksamhet som alla andra kritiska system. En VPN skyddar bara trafiken om åtkomsten till den är skyddad, och själva enheten måste hållas uppdaterad.

Åtgärder för att härda VPN-åtkomst och kantenheter

Inget av följande är exotiskt, och det mesta överensstämmer med de svagheter som varningen beskriver.

  • Kräv multifaktorautentisering vid varje VPN-inloggning. Ett stulet lösenord bör inte ensamt räcka för att komma in.
  • Uppdatera SonicWall- och Veeam-produkter omgående. Kontrollera att 2024-åtgärderna faktiskt har installerats, inte bara schemalagts.
  • Se upp för återanvändning av uppgifter. Jämför medarbetarnas uppgifter mot kända läckagedata och tvinga fram återställningar där exponering påträffas.
  • Granska VPN-loggar för ovanlig aktivitet. Inloggningar vid udda tider, från oväntade platser eller från konton som normalt är inaktiva förtjänar en närmare titt.
  • Ta bort inaktuella konton. Före detta anställda och oanvända konsultinloggningar är lätta mål.
  • Skydda säkerhetskopior. Veeam är säkerhetskopieringsprogramvara, så en kompromettering där kan undergräva återställningen. Håll kopior isolerade och testa återställningar.

Vad siffran på 600 offer innebär för organisationer och användare

För organisationer är fler än 600 offer en påminnelse om att ransomwaregrupper skalar genom att upprepa det som fungerar. Om en enda svag inloggning eller en gammal ouppdaterad enhet räcker, är grundläggande hygien ett av de mest effektiva försvaren som finns, och ett av de billigaste.

För enskilda användare, inklusive personer som ansluter till ett arbets-VPN eller använder en konsument-VPN-tjänst, handlar lärdomen om inloggningsuppgifter. Använd ett unikt lösenord för varje konto, aktivera multifaktorautentisering där det erbjuds och byt lösenord omgående om en tjänst du använder rapporterar ett intrång. Anställda är en del av försvaret, eftersom deras inloggningar är precis vad angriparna är ute efter.

Det hjälper också att komma ihåg vad som händer efter att ett nätverk har komprometterats. Ransomwareoperatörer lägger ofta till påtryckningar genom utpressningskrav och hot om att avslöja data. ATB-utpressningshistorien, där en grupp som kallar sig DataSuckers enligt uppgift krävde 400 000 dollar med 7,9 miljoner människor uppgivna som drabbade, visar hur den pressen utspelar sig när angriparna väl har fått åtkomst.

Vad detta innebär för dig

Om du hanterar IT-system, behandla din VPN-gateway och ditt säkerhetskopieringsprogram som högprioriterade tillgångar. Granska vem som kan logga in, bekräfta att multifaktorautentisering är påtvingad och verifiera att SonicWall- och Veeam-uppdateringar är på plats. Om du är en vardagsanvändare, säkra dina egna konton: unika lösenord, MFA och snabba åtgärder efter varje intrångsmeddelande.

Viktiga slutsatser

Varningen om SafePay-ransomwares stulna VPN-uppgifter är en uppmaning att åtgärda grunderna. Tvinga fram MFA vid alla VPN-inloggningar, uppdatera SonicWall- och Veeam-enheter utan dröjsmål och övervaka efter återanvända eller läckta uppgifter. Angripare som helt enkelt kan logga in behöver inte bryta sig in, så gör inloggningen mycket svårare för dem.