باج‌افزار SafePay به بیش از ۶۰۰ سازمان زیرساخت حیاتی حمله کرده

سازمان امنیت سایبری و زیرساخت (CISA) و FBI، در همکاری با سرویس مخفی ایالات متحده و واحدهای جرایم سایبری آلمان و انگلستان، این هفته یه اطلاعیه‌ی مشترک منتشر کردن. توش اعلام شده که گروه باج‌افزاری SafePay از اوت ۲۰۲۴ تا الان بیش از ۶۰۰ سازمان زیرساخت حیاتی رو در سراسر جهان نقض امنیتی کرده.

این اطلاعیه با کد AA26-293A روی سایت CISA منتشر شده و فعالیت SafePay رو از نوامبر ۲۰۲۴ تا اوت ۲۰۲۶ پوشش می‌ده. قربانیان از آمریکای شمالی، آمریکای جنوبی، اروپا و استرالیا هستن. چون سایت نشت اطلاعات SafePay فقط اسم سازمان‌هایی رو می‌آره که حاضر به پرداخت نشدن، آژانس‌ها هشدار دادن که تعداد واقعی سازمان‌هایی که هم مورد نفوذ قرار گرفتن هم ازشون اخاذی شده تقریباً قطعاً از اون ۶۰۰ تایی که علنی شده بیشتره.

گروه SafePay از اوت ۲۰۲۴ وارد صحنه شد — محققان توصیفش می‌کنن به عنوان یه عملیات خصوصی و بسته. برخلاف گروه‌هایی که باج‌افزار رو به عنوان سرویس ارائه می‌دن، مثل LockBit یا BlackCat (معروف به ALPHV)، این گروه دنبال جذب شرکای خارجی برای اجرای حملات نمی‌ره. ولی این ساختار کارشون رو کُند نکرده: از اوایل ۲۰۲۵، SafePay تبدیل به یکی از فعال‌ترین عملیات باج‌افزاری شده که آژانس‌های فدرال دنبالش می‌گردن — جای خالی‌ای که بعد از اقدامات اجرای قانون علیه LockBit و BlackCat ایجاد شده بود رو تا حد زیادی پر کرده.

طبق این اطلاعیه، روش‌های دسترسی اولیه‌ی SafePay خیلی به دسترسی‌های راه دور آسیب‌پذیر یا ضعیف تکیه داره. این گروه اطلاعات ورود VPN رو با حملات brute-force به دست میاره و مشخصاً دیده شده که از آدرس‌های IP مرتبط با سرویس VPN به اسم Mullvad استفاده می‌کنه تا زیرساختش رو موقع نفوذ پنهان کنه. همچنین از اطلاعات حساب‌های فیشینگ‌شده و اسکریپت‌های اسکن خودکار استفاده می‌کنه تا آسیب‌پذیری‌های شناخته‌شده در دستگاه‌های لبه‌ی شبکه‌ی متصل به اینترنت — مثل فایروال‌ها و دروازه‌های VPN — رو اکسپلویت کنه. اینا همون دسته از ضعف‌هایی هستن که در فهرست آسیب‌پذیری‌های اکسپلویت‌شده‌ی شناخته‌شده‌ی CISA ثبت شدن.

وقتی SafePay وارد یه شبکه می‌شه، از روشی استفاده می‌کنه که بهش «اخاذی مضاعف» می‌گن — رویکردی که دیگه برای همه آشناست. اول فایل‌های حساس رو بیرون می‌کِشه، بعد رمزگذاری رو اجرا می‌کنه، و سپس تهدید می‌کنه که اگه باج پرداخت نشه اطلاعات دزدیده‌شده رو منتشر می‌کنه. طبق اطلاعیه، این گروه به طور خاص زیرساخت پشتیبان‌گیری رو هدف می‌گیره تا بازیابی رو سخت‌تر کنه — Volume Shadow Copy‌های سیستم‌های ویندوزی آلوده رو حذف می‌کنه و دستگاه‌های ذخیره‌ساز متصل به شبکه (NAS) که داده‌های پشتیبان نگه می‌دارن رو ریست می‌زنه.

سازمان CISA و FBI دوباره تأکید کردن که پرداخت باج نه تضمینی برای بازگشت فایل‌ها می‌ده، نه جلوی نشت احتمالی داده‌های دزدیده‌شده رو می‌گیره. به قربانیان هم توصیه کردن به جای مذاکره‌ی پنهانی، حادثه رو به نیروهای اجرای قانون گزارش بدن. توصیه‌های این اطلاعیه برای اپراتورهای زیرساخت حیاتی اینه که احراز هویت چندعاملی و مدیریت سخت‌گیرانه‌تر هویت و دسترسی رو اجباری کنن، استفاده از ابزارهای مدیریتی رو محدود کنن تا حرکت جانبی بعد از نفوذ اولیه کاهش پیدا کنه، و وصله‌های امنیتی برای آسیب‌پذیری‌های VPN، فایروال و دیگر دستگاه‌های لبه‌ی شبکه در فهرست CISA رو اولویت‌بندی کنن. اطلاعیه‌ی کامل شامل نشانگرهای نفوذ (IoC) و تکنیک‌های منطبق با چارچوب MITRE ATT&CK هست که مدافعان می‌تونن در شبکه‌های خودشون دنبالشون بگردن — همون‌طور که BleepingComputer گزارش داده.