FBI ve CISA uyardı: SafePay fidye yazılımı 2024'ten bu yana 600'den fazla kurbana ulaştı

ABD, Almanya ve İngiltere'den altı kurum, SafePay fidye yazılımı grubunun Ağustos 2024'ten bu yana en az 600 kuruma sızdığı uyarısında bulundu. Grup, uyarıda 2026'nın en aktif fidye yazılımı operasyonlarından biri olarak tanımlanıyor. AA26-293A numaralı #StopRansomware uyarısı 20 Ekim'de FBI, CISA, ABD Gizli Servisi, Almanya'nın Rheinland-Pfalz Eyalet Kriminal Dairesi, İngiltere Ulusal Suç Ajansı (NCA) ve Kuzeybatı Bölgesel Organize Suç Birimi tarafından yayımlandı.

Neler oldu?

CISA'nın yayımladığı uyarıya göre SafePay, Kuzey ve Güney Amerika, Avrupa ve Avustralya'daki şirketleri ve kritik altyapıyı hedef alıyor. The Record'un aktardığına göre uyarı, FBI ve Alman kolluk kuvvetlerinin soruşturmalarına dayanıyor ve belirtilen en son olay ağustos ayında yaşandı. The Record ayrıca uzmanların SafePay kodunun bazı bölümlerini LockBit'e benzettiğini, grubun Ingram Micro, İngiliz teknoloji şirketi Microlise ve kamu yüklenicisi Conduent'e yönelik saldırıları üstlendiğini hatırlatıyor.

Teknik detaylar

CISA'ya göre SafePay operatörleri çalınan veya tahmin edilen parolalar, kaba kuvvet saldırıları, oltalama, istismar edilen VPN erişimi ve yamalanmamış internete açık sistemler üzerinden içeri giriyor. Uyarıda ilk erişimde kullanılan açıklar arasında CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 ve CVE-2024-40766 sayılıyor. The Record, grubun internete açık sistemleri otomatik betiklerle taradığını da ekliyor.

İçeri giren saldırganlar yeni hesap açıyor veya mevcut hesapları ele geçiriyor, meşru araçlarla ağda yanal hareket ediyor, güvenlik yazılımlarını devre dışı bırakıyor ve veri çalıyor. Uyarıda PsExec, WinRM, PowerShell, ScreenConnect, AnyDesk, TeamViewer, Mimikatz, NetExec, 7-Zip, WinRAR, RClone ve Backblaze'in b2.exe aracı gibi programlar listeleniyor; kurumlar bunların meşru yazılımlar olduğunu ve kötüye kullanım kanıtı olmadan zararlı sayılmaması gerektiğini vurguluyor.

Kurtarmayı engellemek için SafePay, Birim Gölge Kopyası (VSS) hizmetini durduruyor ve ağa bağlı depolama (NAS) yedeklerini fabrika ayarlarına döndürüyor. Dosyalar ChaCha20 ve RSA'yı birleştiren hibrit bir yöntemle şifreleniyor ve .SafePay uzantısı ekleniyor. The Record'a göre grup, şirket gelirinin bir kısmını kripto para olarak talep ediyor, kurbanlara telefonla baskı yapıyor, çalınan verileri sızıntı sitesinde yayımlıyor ve bazı durumlarda kullanıcı parolalarını değiştirerek müdahale ekiplerini dışarıda bırakıyor.

Kimler etkileniyor?

Uyarıya göre kurbanlar birden fazla kritik altyapı sektörüne yayılmış durumda. The Record, grubun sızıntı sitesinde onlarca Alman şirketinin yanı sıra Latin Amerika ve ABD'deki kamu kurumlarının yer aldığını aktarıyor.

Ne yapmalı?

• Başta VPN'ler olmak üzere internete açık sistemlerde bilinen istismar edilmiş açıkları öncelikle yamalayın.
• VPN, web posta ve ayrıcalıklı hesaplarda MFA'yı zorunlu kılın; uzun parola ve hesap kilitleme politikası uygulayın.
• Çevrim dışı, şifreli ve değiştirilemez yedekler tutun, geri yüklemeyi düzenli test edin.
• Ağı bölümlere ayırın, uzak erişim hizmetlerine erişimi filtreleyin ve kullanılmayan portları kapatın.
• Yanal hareketi yakalamak için EDR ve ağ izleme kullanın; Active Directory'de yeni veya tanımlanamayan hesapları denetleyin.
• Yönetici hesaplarında en az ayrıcalık ve tam zamanında (just-in-time) erişim ilkesini uygulayın.