Спільне попередження від CISA, ФБР та партнерів повідомляє, що програма-вимагач SafePay вразила понад 600 жертв, і шлях проникнення часто є болісно звичайним. Згідно з попередженням, угруповання використовує викрадені облікові дані VPN для SafePay, щоб просто увійти, а також експлуатує дві вразливості 2024 року в обладнанні Veeam і SonicWall. Висновок простий: VPN-шлюз настільки безпечний, наскільки захищені його облікові дані та його прошивка.

Що йдеться в попередженні щодо SafePay

У попередженні, випущеному CISA, ФБР та партнерськими агенціями, повідомляється, що програма-вимагач SafePay скомпрометувала понад 600 жертв. Виділяються два початкові шляхи доступу: дійсні облікові дані VPN, які зловмисники отримали в іншому місці, та дві вразливості 2024 року, що впливають на продукти Veeam і SonicWall.

Джерельний матеріал короткий, тому деякі деталі тут не висвітлені, зокрема конкретні ідентифікатори CVE або повний перелік постраждалих секторів. Адміністраторам слід безпосередньо ознайомитися з оригінальним попередженням щодо технічних індикаторів і переліку заходів пом'якшення. Що стає зрозумілим із резюме, так це схема: зловмисники не покладаються на екзотичні методи. Вони використовують доступ, який або був злитий, або залишився без виправлення.

Як викрадені облікові дані VPN та вразливості периферійних пристроїв відкривають двері

VPN призначений бути контрольованим входом до приватної мережі. Якщо зловмисник має дійсне ім'я користувача та пароль, цей вхід відкривається для нього так само, як і для співробітника. Для VPN викрадений логін виглядає як легітимна сесія, і саме тому цей шлях може бути важко виявити без додаткових перевірок.

Викрадені облікові дані зазвичай походять із попередніх зломів, фішингу або повторного використання паролів у різних сервісах. Якщо співробітник використовує той самий пароль для робочого VPN і особистого облікового запису, який згодом було злито, зловмиснику взагалі не потрібен технічний експлойт.

Другий шлях — це неоновлені периферійні пристрої. Міжмережеві екрани, VPN-пристрої та програмне забезпечення для резервного копіювання розташовані на межі або в центрі мережі, тому вразливість у них може дати зловмисникам міцну опору. У попередженні вказуються дві вразливості 2024 року: одна у Veeam, інша в обладнанні SonicWall. Те, що вразливості 2024 року досі використовуються, має значення: це свідчить про те, що виправлення існують, але не завжди застосовуються.

Разом ці шляхи показують, чому периферійні інструменти потребують такої ж уваги, як і будь-яка інша критична система. VPN захищає трафік лише за умови, що доступ до нього захищений, а сам пристрій має підтримуватися в актуальному стані.

Кроки для посилення захисту доступу до VPN та периферійних пристроїв

Ніщо з наведеного нижче не є екзотичним, і більшість цього відповідає слабким місцям, описаним у попередженні.

  • Вимагайте багатофакторної автентифікації для кожного входу до VPN. Викраденого пароля самого по собі не повинно бути достатньо для входу.
  • Своєчасно оновлюйте продукти SonicWall і Veeam. Перевірте, що виправлення 2024 року справді встановлені, а не просто заплановані.
  • Стежте за повторним використанням облікових даних. Порівнюйте облікові дані співробітників із відомими даними про зломи та примусово скидайте їх у разі виявлення компрометації.
  • Переглядайте журнали VPN на предмет незвичайної активності. Входи в незвичний час, із неочікуваних місць або з облікових записів, які зазвичай неактивні, заслуговують на пильнішу увагу.
  • Видаляйте застарілі облікові записи. Колишні співробітники та невикористовувані облікові записи підрядників є легкою мішенню.
  • Захищайте резервні копії. Veeam — це програмне забезпечення для резервного копіювання, тому компрометація там може підірвати відновлення. Зберігайте копії ізольовано та тестуйте відновлення.

Що означає цифра у 600 жертв для організацій та користувачів

Для організацій понад 600 жертв — це нагадування про те, що угруповання програм-вимагачів масштабуються, повторюючи те, що працює. Якщо достатньо одного слабкого логіна або одного старого неоновленого пристрою, то базова гігієна є одним із найефективніших і найдешевших засобів захисту.

Для окремих користувачів, зокрема тих, хто підключається до робочого VPN або користується споживчим VPN-сервісом, урок стосується облікових даних. Використовуйте унікальний пароль для кожного облікового запису, вмикайте багатофакторну автентифікацію всюди, де вона пропонується, і своєчасно змінюйте паролі, якщо сервіс, яким ви користуєтеся, повідомляє про злом. Співробітники є частиною захисту, оскільки саме їхні облікові дані є тим, що шукають зловмисники.

Також варто пам'ятати, що відбувається після злому мережі. Оператори програм-вимагачів часто посилюють тиск через вимоги викупу та погрози оприлюднити дані. Історія вимагання ATB, у якій угруповання, що називає себе DataSuckers, нібито вимагало 400 тисяч доларів, а 7,9 млн людей названо постраждалими, показує, як цей тиск розгортається після того, як зловмисники отримали доступ.

Що це означає для вас

Якщо ви керуєте ІТ-системами, ставтеся до свого VPN-шлюзу та програмного забезпечення для резервного копіювання як до високопріоритетних активів. Перевіряйте, хто може входити, підтверджуйте, що багатофакторна автентифікація впроваджена, і переконайтеся, що оновлення SonicWall і Veeam встановлені. Якщо ви звичайний користувач, захищайте власні облікові записи: унікальні паролі, MFA та швидкі дії після будь-якого повідомлення про злом.

Ключові висновки

Попередження про викрадені облікові дані VPN для програми-вимагача SafePay — це заклик виправити основи. Впроваджуйте MFA для всіх входів до VPN, негайно оновлюйте пристрої SonicWall і Veeam та відстежуйте повторно використані або злиті облікові дані. Зловмисникам, які можуть просто увійти, не потрібно зламувати систему, тож зробіть вхід для них значно складнішим.