CISA、FBI及其合作伙伴发布的联合公告称，SafePay勒索软件已攻击超过600名受害者，而入侵途径往往极其普通。根据该警告，该组织利用窃取的VPN凭证直接登录，同时还利用了Veeam和SonicWall设备中两个2024年的漏洞。要点很简单：VPN网关的安全性取决于其登录凭证和固件。

SafePay公告的内容

该公告由CISA、FBI及合作机构发布，报告称SafePay勒索软件已攻陷600多名受害者。两条初始访问路径尤为突出：攻击者从其他地方获取的有效VPN凭证，以及两个影响Veeam和SonicWall产品的2024年漏洞。

原始材料较为简短，因此部分细节未在此涵盖，例如具体的CVE编号或受影响行业的完整列表。管理员应直接阅读原始公告以获取技术指标和缓解措施列表。该摘要明确揭示的模式是：攻击者并非依赖稀奇的技术手段。他们利用的是已泄露或未修补的访问入口。

窃取的VPN登录凭证和边缘设备漏洞如何打开大门

VPN本应是通往私有网络的可控入口。如果攻击者持有有效的用户名和密码，那扇门就会像对员工一样对他们敞开。对VPN而言，被盗的登录凭证看起来就是合法会话，这就是为什么在没有额外检查的情况下，这条路径很难被发现。

被盗凭证通常来自早先的数据泄露、网络钓鱼或跨服务的密码重用。如果员工将工作VPN的密码与后来泄露的个人账户使用同一密码，攻击者根本不需要任何技术漏洞利用。

第二条路径是未修补的边缘设备。防火墙、VPN设备和备份软件位于网络边界或网络核心，因此其中的漏洞可以为攻击者提供强有力的立足点。该公告指出2024年的两个漏洞，一个在Veeam中，一个在SonicWall设备中。2024年的漏洞仍被利用这一事实很重要：它表明补丁已经存在，但并未总是被应用。

综合来看，这些路径说明了为什么外围工具需要像任何其他关键系统一样受到重视。VPN只有在访问受到保护时才能保护流量，而设备本身必须保持更新。

加固VPN访问和边缘设备的步骤

以下措施都不稀奇，且大多与公告描述的弱点相符。

  • 要求每次VPN登录都使用多因素认证。 仅凭被盗密码不应足以进入。
  • 及时修补SonicWall和Veeam产品。 检查2024年的修复程序是否已实际安装，而不仅仅是已排期。
  • 警惕凭证重用。 将员工凭证与已知泄露数据进行比对，并在发现暴露时强制重置。
  • 审查VPN日志中的异常活动。 在异常时间、来自意外位置或来自通常闲置账户的登录值得进一步关注。
  • 移除过期账户。 前员工和未使用的承包商登录凭证是容易得手的目标。
  • 保护备份。 Veeam是备份软件，因此其被攻陷可能破坏恢复能力。保持副本隔离并测试恢复。

600名受害者数字对组织和用户意味着什么

对组织而言，600多名受害者提醒我们，勒索软件组织通过重复有效的手段来扩大规模。如果一个弱登录或一台旧的未修补设备就足够了，那么基本卫生措施就是最有效且最便宜的防御手段之一。

对个人用户而言，包括连接工作VPN或使用消费者VPN服务的人，教训在于凭证。为每个账户使用唯一密码，在提供多因素认证的地方开启它，并且如果你使用的服务报告了数据泄露，请及时更改密码。员工是防御的一部分，因为他们的登录凭证正是攻击者所追逐的目标。

同时也要记住网络被攻陷后会发生什么。勒索软件运营者通常通过勒索要求和威胁曝光数据来施加压力。ATB勒索故事中，一个自称DataSuckers的组织据报道索要40万美元，据称影响790万人，展示了攻击者一旦获得访问权后这种压力如何展开。

这对你意味着什么

如果你管理IT系统，请将VPN网关和备份软件视为高优先级资产。审计谁可以登录，确认多因素认证已强制执行，并验证SonicWall和Veeam更新已到位。如果你是普通用户，请保护好自己的账户：唯一密码、MFA，以及在收到任何泄露通知后迅速采取行动。

关键要点

SafePay勒索软件窃取VPN凭证的警告是对修复基础问题的呼吁。对所有VPN登录强制执行MFA，立即修补SonicWall和Veeam设备，并监控被重用或泄露的凭证。能够直接登录的攻击者不需要强行闯入，所以要让他们登录变得困难得多。