SafePay атаковала более 600 организаций критической инфраструктуры
Агентство по кибербезопасности и защите инфраструктуры США (CISA) сообщило, что с 2024 года группировка SafePay, работающая по модели ransomware-as-a-service, скомпрометировала более 600 организаций критической инфраструктуры по всему миру. Инцидент затрагивает операторов промышленных и энергетических систем, а также компании из финансового и государственного секторов. Специалисты CISA и ФБР призывают организации срочно проверить защиту периметра и сегментацию сетей.
Подробности
SafePay действует по модели ransomware-as-a-service: операторы предоставляют партнёрам готовое вредоносное ПО и инфраструктуру, а доходы делят с аффилированными лицами. Группировка специализируется на двойном вымогательстве — перед шифрованием данных злоумышленники похищают конфиденциальную информацию и угрожают её публикацией, если жертва отказывается платить. По данным регуляторов, жертвами SafePay становятся операторы промышленных систем, энергетические и коммунальные компании, а также организации финансового и государственного секторов. Для первоначального доступа злоумышленники используют VPN-сервисы без MFA, скомпрометированные учётные данные и уязвимости в интернет-доступных сервисах. После закрепления в сети атакующие повышают привилегии, перемещаются по инфраструктуре и развёртывают шифровальщик, стремясь вывести из строя резервные копии. CISA и ФБР подчёркивают, что жертвами становятся в первую очередь организации с недостаточной сегментацией сети и слабым контролем доступа, из-за чего атака на корпоративный периметр быстро перерастает в инцидент на уровне производственных систем. В предупреждении приведены индикаторы компрометации и тактики, техники и процедуры, характерные для группировки.Что делать
- Включить MFA повсеместно, в первую очередь для VPN, почты и удалённого доступа к инфраструктуре; отключить устаревшие протоколы аутентификации. - Оперативно закрыть уязвимости в интернет-доступных сервисах, ограничить публикацию панелей управления и сервисов удалённого администрирования. - Сегментировать сети так, чтобы корпоративный сегмент не имел прямого доступа к промышленным системам, и строго контролировать межсегментный трафик. - Хранить резервные копии в изолированной среде, проверять их восстановление и не держать копии подключёнными к основной сети. - Ограничить чрезмерные привилегии, использовать принцип минимально необходимого доступа и контролировать учётные записи сервисов. - Настроить мониторинг и оповещения о подозрительной активности, включая массовое обращение к резервным копиям и попытки отключения средств защиты. - Проверить индикаторы компрометации из рекомендаций CISA и ФБР и при обнаружении следов SafePay действовать по заранее подготовленному плану реагирования. Стремительный рост числа жертв SafePay показывает, что вымогательские атаки на критическую инфраструктуру стали системной угрозой. Базовая гигиена — MFA на удалённом доступе, сегментация сетей и изолированные резервные копии — по-прежнему остаётся наиболее эффективной защитой от подобных группировок.Источник: BleepingComputer