CISA وFBI: فيروس الفدية SafePay اخترق أكثر من 600 منظمة في البنية التحتية الحيوية

نشرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومكتب التحقيقات الفدرالي (FBI)، بالتعاون مع جهاز الخدمة السرية الأمريكية ووحدات مكافحة الجرائم السيبرانية في ألمانيا والمملكة المتحدة، تحذيرًا مشتركًا هذا الأسبوع يفيد بأن مجموعة فيروس الفدية SafePay اخترقت أكثر من 600 منظمة من البنية التحتية الحيوية حول العالم منذ أغسطس 2024.

التحذير، المنشور تحت الرمز AA26-293A على موقع CISA، يغطي نشاط SafePay المرصود بين نوفمبر 2024 وأغسطس 2026، ويسرد ضحايا في أمريكا الشمالية وأمريكا الجنوبية وأوروبا وأستراليا. ولأن موقع تسريب بيانات SafePay يذكر فقط المنظمات التي رفضت الدفع، حذّرت الوكالات من أن العدد الحقيقي للضحايا المخترقين والمبتزين أعلى بالتأكيد من الرقم المعلن البالغ 600.

ظهرت SafePay في أغسطس 2024 كعملية خاصة ومغلقة، على عكس مجموعات فيروسات الفدية كخدمة مثل LockBit أو BlackCat (ALPHV)، فهي لا تستقطب شركاء خارجيين لتنفيذ الهجمات. ولم يبطئ هذا الهيكل من نشاطها: فمنذ أوائل 2025، أصبحت SafePay واحدة من أكثر عمليات فيروسات الفدية نشاطًا التي ترصدها الوكالات الفدرالية، حيث ملأت جزءًا كبيرًا من الفراغ الذي خلفته الإجراءات القانونية التي عطّلت LockBit وBlackCat.

وفقًا للتحذير، تعتمد أساليب الوصول الأولي لدى SafePay بشكل كبير على الوصول عن بُعد المكشوف أو ضعيف الحماية. تقوم المجموعة بتخمين بيانات اعتماد VPN بالقوة الغاشمة، وقد لوحظ استخدامها عناوين IP مرتبطة بمزود VPN المسمى Mullvad لإخفاء بنيتها التحتية خلال عمليات الاختراق. كما تستخدم بيانات اعتماد مسروقة عبر التصيّد الاحتيالي وبرامج فحص آلية لاستغلال ثغرات معروفة في أجهزة الحافة المتصلة بالإنترنت مثل جدران الحماية وبوابات VPN -وهي نفس فئة الثغرات المرصودة في قائمة CISA للثغرات المستغلة المعروفة.

وبعد الوصول إلى الشبكة، تتبع SafePay أسلوب الابتزاز المزدوج المعروف الآن: سرقة الملفات الحساسة قبل تشفير الأنظمة، ثم التهديد بنشر البيانات المسروقة في حال عدم دفع الفدية. ويشير التحذير إلى أن المجموعة تستهدف بشكل خاص بنية النسخ الاحتياطي لعرقلة عملية التعافي، من خلال حذف نسخ الظل للمجلدات (volume shadow copies) على أنظمة ويندوز المخترقة، وإعادة ضبط أجهزة التخزين المتصلة بالشبكة (NAS) التي تحتفظ ببيانات النسخ الاحتياطي.

وأكدت CISA وFBI مجددًا أن دفع الفدية لا يضمن استرجاع الملفات أو عدم تسريب البيانات المسروقة، وحثّتا الضحايا على إبلاغ جهات تنفيذ القانون بالحوادث بدلًا من التفاوض سرًا. وتشمل توصيات التحذير لمشغلي البنية التحتية الحيوية تطبيق المصادقة متعددة العوامل (MFA) وتشديد سياسات إدارة الهوية والوصول، وتقييد استخدام أدوات الإدارة للحد من الحركة الجانبية بعد أي اختراق أولي، وإعطاء الأولوية لتصحيح ثغرات VPN وجدران الحماية وأجهزة الحافة الأخرى الواردة في قائمة الثغرات المستغلة لدى CISA. وبحسب ما ذكرته BleepingComputer، يتضمن التحذير الكامل مؤشرات الاختراق (IOCs) وتقنيات مصنّفة وفق إطار MITRE ATT&CK لتفحصها فرق الدفاع السيبراني في شبكاتها.