CISA: باج افزار SafePay به بیش از 600 سازمان زیرساخت حیاتی حمله کرد

آژانس امنیت سایبری و امنیت زیرساخت (CISA) می گوید باند باج افزار SafePay از سال 2024 به بیش از 600 سازمان زیرساخت حیاتی در سراسر جهان نفوذ کرده است.

آژانس فدرال در گزارشی مشترک با FBI، سرویس مخفی ایالات متحده (USSS)، Landeskriminalamt Rheinland-Pfalz آلمان، و آژانس جرایم ملی بریتانیا و واحد جرایم سازمان‌یافته منطقه شمال غرب، افزود که پرداخت باج تضمینی برای بازیابی فایل‌های رمزگذاری‌شده در حملات باج‌افزاری برای گزارش‌های قربانیان حوادث و حوادث رمزگذاری‌شده نیست.

CISA گفت: «SafePay یکی از فعال‌ترین گروه‌های باج‌افزار است و بر کسب‌وکارها و زیرساخت‌های حیاتی در آمریکای شمالی، آمریکای جنوبی، اروپا و استرالیا تأثیر گذاشته است - از جمله حداقل 600 سازمان از چندین بخش زیرساخت‌های حیاتی از اوت 2024.»

"بازیگران تهدید SafePay از طریق روش‌های مختلف، از جمله افشای اعتبار، حملات گذرواژه به زور، و بهره‌برداری از دسترسی به شبکه خصوصی مجازی (VPN) - به‌ویژه آدرس‌های IP ارائه‌دهنده VPN "Mullvad"، دسترسی اولیه به دست می‌آورند.

آژانس‌های هم‌نویسنده به مدافعان شبکه توصیه کردند که شبکه‌های خود را در برابر حملات گروه باج‌افزار با محدود کردن ابزارها و امتیازات اداری برای مسدود کردن حرکت جانبی پس از به خطر انداختن و اجرای سیاست‌های احراز هویت چند عاملی (MFA) و هویت، اعتبار و مدیریت دسترسی (ICAM) برای امنیت بهتر حساب، ایمن کنند.

تیم‌های امنیتی همچنین باید سیستم‌ها را به‌روز نگه دارند و بر نقص‌های تأثیرگذار بر VPN، فایروال‌ها و سایر دستگاه‌های لبه‌ای که به کاتالوگ آسیب‌پذیری‌های فعالانه CISA اضافه شده‌اند تمرکز کنند، زیرا اغلب در حملات SafePay برای دسترسی اولیه به شبکه‌های قربانیان هدف قرار می‌گیرند.

CISA افزود: "آنها همچنین از پروفایل های حساب فیش شده برای نفوذ به شبکه ها و سوء استفاده از آسیب پذیری ها و مواجهه های رایج (CVE) برای دستگاه های لبه و سایر سیستم های در معرض اینترنت از طریق اسکریپت های خودکار استفاده می کنند." "بازیگران SafePay ممکن است با حذف کپی های سایه و بازنشانی دستگاه های ذخیره سازی متصل به شبکه حاوی نسخه های پشتیبان، عملیات بازیابی را مختل کنند."

این توصیه همچنین شامل شاخص‌های سازش (IOC) و تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTP) برای فعالیت‌های باج‌افزار SafePay قبلی است که بین نوامبر 2024 و اوت 2026 در جریان تحقیقات FBI، USSS و Landeskriminalamt Rheinland-Pfalz مشاهده شده است.

بر خلاف عملیات مشابه، SafePay در آگوست 2024 به عنوان یک گروه باج افزار خصوصی که با شرکت های وابسته کار نمی کند ظاهر شد.

از آن زمان تاکنون صدها قربانی از آمریکای شمالی، آمریکای جنوبی، اروپا و استرالیا به سایت نشت تاریک وب خود اضافه کرده است، اما تعداد واقعی قربانیانی که به آن نفوذ کرده و سعی در اخاذی داشته است، بیشتر است، زیرا فقط کسانی را فهرست می کند که در پلتفرم افشای آن پولی پرداخت نمی کنند.

این گروه باج‌افزار همچنین به‌خاطر تاکتیک‌های اخاذی مضاعف، سرقت اسناد حساس قبل از رمزگذاری سیستم‌های قربانیان و تهدید به افشای آنلاین تمام داده‌های دزدیده شده در صورت عدم پرداخت باج، شناخته شده است.

از آغاز سال 2025، SafePay به آرامی شکاف باقی مانده توسط باج افزار BlackCat (ALPHV) و LockBit را پر کرده و به یکی از فعال ترین عملیات باج افزار تبدیل شده است.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

CISA: نقص حیاتی VMware RCE اکنون توسط باج افزارهای باج افزار مورد سوء استفاده قرار گرفته است

FBI ابزارهای هک چینی را که برای نقض زیرساخت های حیاتی استفاده می شود، مختل می کند

FBI: حملات مداوم FortiBleed ادمین های FortiGate VPN را قفل می کند

CISA: باندهای باج افزار اکنون از نقص مهم TeamCity سوء استفاده می کنند

هکرهای ایرانی از بدافزار CHOSEN BRICK Windows برای جاسوسی از اهداف استفاده می کنند