Группировка вымогателей SafePay атакует организации в нескольких секторах критической инфраструктуры. CISA выпустила совместное предупреждение с правоохранительными органами США, Германии и Великобритании, чтобы помочь специалистам защитить сети и распознать следы атак. Среди пострадавших есть организации в Северной и Южной Америке, Европе и Австралии.
По данным CISA, с августа 2024 года SafePay затронула более 600 организаций. Предупреждение подготовлено вместе с ФБР, Секретной службой США, полицией федеральной земли Рейнланд-Пфальц, Национальным агентством по борьбе с преступностью Великобритании и подразделением по борьбе с организованной преступностью Северо-Западной Англии. В документ вошли признаки взлома и сведения о приёмах группировки, собранные в ходе расследований с ноября 2024-го по август 2026 года.
Для проникновения в сеть злоумышленники используют скомпрометированные учётные данные, перебирают пароли и атакуют VPN-доступ. CISA упоминает IP-адреса VPN-провайдера Mullvad. Группировка также применяет учётные записи, полученные с помощью фишинга, и автоматизированные скрипты для эксплуатации уязвимостей в устройствах на периметре сети и других системах с доступом из интернета.
После проникновения SafePay похищает документы и шифрует системы. Если жертва не платит, группировка угрожает опубликовать украденные данные. Как передаёт Boursorama, в отдельных случаях вымогатели звонят пострадавшим напрямую. По сведениям CISA, они могут затруднять восстановление: удаляют теневые копии данных и сбрасывают настройки сетевых хранилищ с резервными копиями.
SafePay действует как закрытая группировка и не привлекает партнёров для проведения атак. На своём сайте для публикации утечек она размещает сведения лишь о жертвах, которые не заплатили выкуп, поэтому список на сайте не отражает всех атак. CISA предупреждает, что выплата выкупа не гарантирует восстановления зашифрованных файлов, и призывает пострадавших сообщать о происшествиях правоохранительным органам.
Специалистам по защите сетей ведомства рекомендуют ограничить доступ к административным инструментам и права учётных записей, чтобы помешать злоумышленникам перемещаться между системами после взлома. В предупреждении также названы многофакторная аутентификация, контроль учётных данных и своевременная установка обновлений. Особое внимание советуют уделять уязвимостям VPN, межсетевых экранов и других устройств на периметре сети.