Một khuyến cáo chung từ CISA, FBI và các đối tác cho biết ransomware SafePay đã tấn công hơn 600 nạn nhân, và cách thức xâm nhập thường hết sức bình thường. Theo cảnh báo, nhóm này sử dụng ransomware SafePay với thông tin đăng nhập VPN bị đánh cắp để chỉ cần đăng nhập, và chúng cũng khai thác hai lỗ hổng năm 2024 trong thiết bị Veeam và SonicWall. Bài học rất đơn giản: một cổng VPN chỉ an toàn ngang với thông tin đăng nhập và firmware của nó.

Khuyến cáo về SafePay nói gì

Khuyến cáo do CISA, FBI và các cơ quan đối tác phát hành báo cáo rằng ransomware SafePay đã xâm phạm hơn 600 nạn nhân. Hai con đường truy cập ban đầu nổi bật: thông tin đăng nhập VPN hợp lệ mà kẻ tấn công có được từ nơi khác, và hai lỗ hổng từ năm 2024 ảnh hưởng đến sản phẩm Veeam và SonicWall.

Tài liệu nguồn khá ngắn gọn, nên một số chi tiết không được đề cập ở đây, chẳng hạn như mã CVE cụ thể hoặc danh sách đầy đủ các lĩnh vực bị ảnh hưởng. Quản trị viên nên đọc trực tiếp khuyến cáo gốc để biết các chỉ dấu kỹ thuật và danh sách biện pháp giảm thiểu. Điều mà bản tóm tắt làm rõ là mô thức: kẻ tấn công không dựa vào các kỹ thuật kỳ lạ. Chúng sử dụng quyền truy cập đã bị rò rỉ hoặc chưa được vá.

Thông tin đăng nhập VPN bị đánh cắp và lỗ hổng thiết bị biên mở cửa như thế nào

VPN được thiết kế để trở thành lối vào được kiểm soát cho một mạng riêng. Nếu kẻ tấn công nắm giữ tên người dùng và mật khẩu hợp lệ, lối vào đó sẽ mở cho chúng giống như với một nhân viên. Đối với VPN, thông tin đăng nhập bị đánh cắp trông giống như một phiên hợp lệ, đó là lý do tại sao con đường này có thể khó phát hiện nếu không có kiểm tra bổ sung.

Thông tin đăng nhập bị đánh cắp thường đến từ các vụ vi phạm trước đó, lừa đảo trực tuyến, hoặc tái sử dụng mật khẩu giữa các dịch vụ. Nếu một nhân viên sử dụng cùng mật khẩu cho VPN công việc và một tài khoản cá nhân sau đó bị rò rỉ, kẻ tấn công không cần khai thác kỹ thuật nào cả.

Con đường thứ hai là các thiết bị biên chưa được vá. Tường lửa, thiết bị VPN và phần mềm sao lưu nằm ở ranh giới hoặc trung tâm của mạng, nên một lỗ hổng trong chúng có thể cho kẻ tấn công một chỗ đứng vững chắc. Khuyến cáo chỉ ra hai lỗ hổng từ năm 2024, một trong Veeam và một trong thiết bị SonicWall. Việc các lỗ hổng năm 2024 vẫn đang bị khai thác có ý nghĩa quan trọng: nó cho thấy các bản vá đã tồn tại nhưng không phải lúc nào cũng được áp dụng.

Cùng nhau, những con đường này cho thấy tại sao các công cụ vành đai cần được chú ý như bất kỳ hệ thống quan trọng nào khác. VPN chỉ bảo vệ lưu lượng nếu quyền truy cập vào nó được bảo vệ, và bản thân thiết bị phải được cập nhật.

Các bước tăng cường bảo mật truy cập VPN và thiết bị biên

Không có điều nào sau đây là kỳ lạ, và hầu hết đều phù hợp với các điểm yếu mà khuyến cáo mô tả.

  • Yêu cầu xác thực đa yếu tố trên mọi lần đăng nhập VPN. Chỉ một mật khẩu bị đánh cắp không nên đủ để xâm nhập.
  • Vá sản phẩm SonicWall và Veeam kịp thời. Kiểm tra rằng các bản vá năm 2024 đã thực sự được cài đặt, không chỉ được lên lịch.
  • Theo dõi việc tái sử dụng thông tin đăng nhập. So sánh thông tin đăng nhập của nhân viên với dữ liệu vi phạm đã biết và buộc đặt lại khi phát hiện rò rỉ.
  • Xem xét nhật ký VPN để tìm hoạt động bất thường. Đăng nhập vào giờ lạ, từ vị trí không mong đợi, hoặc từ các tài khoản thường không hoạt động cần được xem xét kỹ hơn.
  • Xóa các tài khoản cũ. Nhân viên đã nghỉ việc và thông tin đăng nhập của nhà thầu không còn sử dụng là những mục tiêu dễ dàng.
  • Bảo vệ bản sao lưu. Veeam là phần mềm sao lưu, nên việc bị xâm phạm ở đó có thể làm suy yếu khả năng phục hồi. Giữ các bản sao được cô lập và kiểm tra khôi phục.

Con số 600 nạn nhân có ý nghĩa gì đối với tổ chức và người dùng

Đối với các tổ chức, hơn 600 nạn nhân là lời nhắc nhở rằng các nhóm ransomware mở rộng quy mô bằng cách lặp lại những gì hiệu quả. Nếu chỉ một thông tin đăng nhập yếu hoặc một thiết bị cũ chưa được vá là đủ, thì vệ sinh bảo mật cơ bản là một trong những biện pháp phòng thủ hiệu quả nhất hiện có, và cũng là một trong những biện pháp rẻ nhất.

Đối với người dùng cá nhân, bao gồm những người kết nối với VPN công việc hoặc sử dụng dịch vụ VPN tiêu dùng, bài học là về thông tin đăng nhập. Sử dụng mật khẩu duy nhất cho mỗi tài khoản, bật xác thực đa yếu tố ở bất cứ nơi nào được cung cấp, và thay đổi mật khẩu kịp thời nếu một dịch vụ bạn sử dụng báo cáo vi phạm. Nhân viên là một phần của hàng phòng thủ, vì thông tin đăng nhập của họ chính là thứ mà kẻ tấn công nhắm đến.

Cũng hữu ích khi nhớ điều gì xảy ra sau khi mạng bị xâm phạm. Các nhà điều hành ransomware thường gây áp lực thông qua các yêu cầu tống tiền và đe dọa tiết lộ dữ liệu. Câu chuyện tống tiền ATB, trong đó một nhóm tự gọi mình là DataSuckers được cho là đã yêu cầu 400.000 USD với 7,9 triệu người được cho là bị ảnh hưởng, cho thấy áp lực đó diễn ra như thế nào một khi kẻ tấn công đã có được quyền truy cập.

Điều này có ý nghĩa gì với bạn

Nếu bạn quản lý hệ thống CNTT, hãy coi cổng VPN và phần mềm sao lưu của bạn là tài sản ưu tiên cao. Kiểm tra ai có thể đăng nhập, xác nhận xác thực đa yếu tố được thực thi, và xác minh rằng các bản cập nhật SonicWall và Veeam đã được áp dụng. Nếu bạn là người dùng hàng ngày, hãy bảo vệ tài khoản của chính mình: mật khẩu duy nhất, MFA, và hành động nhanh chóng sau bất kỳ thông báo vi phạm nào.

Những điểm chính cần ghi nhớ

Cảnh báo về thông tin đăng nhập VPN bị đánh cắp của ransomware SafePay là lời kêu gọi khắc phục những điều cơ bản. Thực thi MFA trên mọi lần đăng nhập VPN, vá thiết bị SonicWall và Veeam không chậm trễ, và giám sát thông tin đăng nhập bị tái sử dụng hoặc rò rỉ. Kẻ tấn công có thể chỉ cần đăng nhập thì không cần phải đột nhập, vì vậy hãy làm cho việc đăng nhập trở nên khó khăn hơn nhiều đối với chúng.