Wprowadzenie do problemu / definicja
SafePay to grupa ransomware, która od 2024 roku prowadzi intensywne kampanie przeciwko organizacjom z wielu sektorów, w tym podmiotom zaliczanym do infrastruktury krytycznej. Jej model działania opiera się na podwójnym wymuszeniu: najpierw dochodzi do kradzieży danych, a następnie do szyfrowania systemów i wywierania presji na ofierze w celu uzyskania okupu.
Najnowsze ostrzeżenia służb i agencji cyberbezpieczeństwa wskazują, że skala tej aktywności istotnie wzrosła. Według opublikowanych informacji kampania SafePay objęła już co najmniej 600 organizacji, co czyni ją jednym z najpoważniejszych aktywnych zagrożeń ransomware.
W skrócie
- SafePay należy do najbardziej aktywnych grup ransomware operujących obecnie globalnie.
- Ataki objęły organizacje w Ameryce Północnej, Południowej, Europie i Australii.
- Najczęstsze wektory wejścia to skradzione dane logowania, brute force oraz nadużycie dostępu VPN.
- Po uzyskaniu dostępu napastnicy poruszają się lateralnie z użyciem legalnych narzędzi administracyjnych.
- Grupa kradnie dane, szyfruje systemy i dodaje rozszerzenie .SafePay.
- Operatorzy usuwają kopie woluminów i sabotują środowiska backupowe, aby utrudnić odtworzenie systemów.
Kontekst / historia
SafePay pojawił się w połowie 2024 roku jako niezależna operacja ransomware, funkcjonująca bez klasycznego modelu afiliacyjnego. To istotna cecha, ponieważ może oznaczać większą spójność operacyjną, lepszą kontrolę nad łańcuchem ataku oraz większą przewidywalność stosowanych technik.
Wzrost aktywności tej grupy przypadł na okres osłabienia części znanych marek ransomware, co mogło stworzyć przestrzeń dla nowego aktora o dużej dynamice działania. Z perspektywy obrońców nie jest to już zagrożenie incydentalne, lecz dojrzała operacja, która wypracowała skuteczny model działania i konsekwentnie go powiela w kolejnych kampaniach.
Według dostępnych ustaleń SafePay od sierpnia 2024 roku zaatakował setki podmiotów. Oznacza to, że grupa zbudowała zdolność do skalowania ataków, a jej taktyki są wystarczająco skuteczne, by raz po raz przełamywać podstawowe mechanizmy ochronne organizacji.
Analiza techniczna
Profil techniczny SafePay pokazuje pragmatyczne podejście typowe dla skutecznych operatorów ransomware. Grupa nie ogranicza się do własnych narzędzi, lecz szeroko wykorzystuje legalne komponenty administracyjne i popularne programy używane w środowiskach firmowych. Dzięki temu aktywność napastników może przypominać normalne działania administratorów, co utrudnia jej szybkie wykrycie.
Najczęściej wskazywane wektory początkowego dostępu obejmują przejęte poświadczenia, ataki słownikowe i brute force oraz nadużywanie dostępu przez usługi VPN. Raporty wskazują również na wykorzystywanie znanych podatności w urządzeniach brzegowych i rozwiązaniach zdalnego dostępu. To potwierdza, że klasyczne zaniedbania, takie jak brak MFA, słabe hasła czy opóźnienia w łataniu, nadal pozostają jedną z głównych przyczyn skutecznych włamań.
Po uzyskaniu dostępu operatorzy przemieszczają się w sieci przy użyciu takich narzędzi jak PsExec, WinRM, RDP oraz PowerShell. Do identyfikacji udziałów i zasobów sieciowych wykorzystywany jest skrypt ShareFinder.ps1. W obszarze kradzieży poświadczeń raportowano użycie Mimikatz, a do zdalnej obsługi przejętych systemów stosowane są między innymi AnyDesk i TeamViewer.
Eksfiltracja danych odbywa się za pomocą rozpoznawalnych narzędzi transferowych i synchronizacyjnych, takich jak FileZilla, RClone, WinSCP czy OneDrive. To szczególnie problematyczne dla zespołów SOC, ponieważ ruch generowany przez te aplikacje może wtapiać się w legalną aktywność biznesową. Dopiero po zakończeniu rozpoznania i wyniesieniu danych następuje faza szyfrowania.
Mechanizm szyfrowania opiera się na wykorzystaniu algorytmu ChaCha20 oraz RSA do obsługi kluczy. Zaszyfrowane pliki otrzymują rozszerzenie .SafePay, a ofiara otrzymuje notę okupu prowadzącą do kanału negocjacyjnego. Presja psychologiczna jest dodatkowo wzmacniana przez bezpośredni kontakt z ofiarami, w tym rozmowy telefoniczne. Charakterystycznym elementem kampanii jest również usuwanie Volume Shadow Copies oraz resetowanie urządzeń backupowych do ustawień fabrycznych.
Konsekwencje / ryzyko
Skutki ataku SafePay należy rozpatrywać w kilku wymiarach. W warstwie operacyjnej ransomware może doprowadzić do zatrzymania procesów biznesowych, utraty dostępu do systemów produkcyjnych i zakłócenia usług zdalnych. W przypadku infrastruktury krytycznej ryzyko wykracza poza samą informatykę i może wpływać na ciągłość działania usług publicznych lub procesów przemysłowych.
W warstwie finansowej organizacje muszą uwzględnić koszty reagowania, odtworzenia środowiska, analiz powłamaniowych, przestoju oraz ewentualnych roszczeń kontraktowych. Model podwójnego wymuszenia sprawia, że nawet skuteczne przywrócenie systemów z kopii zapasowych nie zamyka incydentu, ponieważ wykradzione dane mogą zostać opublikowane lub wykorzystane w kolejnych działaniach przestępczych.
Wysokie jest również ryzyko wtórne. Skoro atakujący przejmują poświadczenia i nadużywają relacji zaufania, organizacja może mierzyć się z długotrwałą kompromitacją tożsamości, kont uprzywilejowanych i mechanizmów dostępowych. Bez pełnej rotacji haseł, kluczy, tokenów i aktywnych sesji część dostępu może przetrwać nawet po odbudowie środowiska.
Rekomendacje
Priorytetem powinno być ograniczenie powierzchni ataku usług dostępnych z internetu, szczególnie koncentratorów VPN, zapór sieciowych, bram dostępowych oraz narzędzi zdalnej administracji. Organizacje powinny przyspieszyć proces zarządzania poprawkami dla urządzeń brzegowych i systemów uwierzytelniania, zwłaszcza jeśli dotyczą one podatności aktywnie wykorzystywanych przez grupy ransomware.
Niezbędne jest wdrożenie wieloskładnikowego uwierzytelniania dla VPN, poczty, dostępu administracyjnego i wszystkich kont obsługujących systemy krytyczne. Równolegle warto wprowadzić polityki odporne na przejęcie haseł, obejmujące silne hasła, blokady po nieudanych próbach logowania, wykrywanie brute force oraz monitoring nietypowych logowań.
W środowiskach Windows należy ściśle monitorować wykorzystanie narzędzi typu living-off-the-land, takich jak PowerShell, PsExec, WinRM i RDP. Dodatkowo warto segmentować sieć, egzekwować zasadę najmniejszych uprawnień oraz regularnie przeglądać konta uprzywilejowane, w tym dostęp serwisowy i tymczasowy.
Kluczowe znaczenie ma także odporność kopii zapasowych. Backup powinien być odseparowany logicznie lub fizycznie, niemodyfikowalny, regularnie testowany i gotowy do realnego odtworzenia. Organizacje muszą zakładać scenariusz, w którym napastnik celowo niszczy mechanizmy przywracania, dlatego procedury disaster recovery powinny być ćwiczone praktycznie, a nie tylko dokumentowane.
Z punktu widzenia detekcji warto monitorować:
- nietypowe logowania z usług anonimizujących i komercyjnych VPN,
- masowe próby uwierzytelnienia i wzorce brute force,
- nagłe użycie narzędzi do transferu plików,
- uruchamianie skryptów enumerujących zasoby sieciowe,
- aktywność administracyjną poza standardowymi oknami operacyjnymi.
W razie incydentu reakcja powinna obejmować natychmiastową izolację hostów, zabezpieczenie logów, unieważnienie poświadczeń, ocenę skali eksfiltracji oraz aktywne poszukiwanie śladów ruchu lateralnego.
Podsumowanie
Kampania SafePay pokazuje, że nowoczesne operacje ransomware nie muszą opierać się na wyjątkowo zaawansowanych technikach, aby osiągać wysoką skuteczność. W praktyce wystarczają skradzione poświadczenia, słabo zabezpieczone usługi zdalne, legalne narzędzia administracyjne i konsekwentnie realizowany model podwójnego wymuszenia.
Skala ataków oraz koncentracja na organizacjach z sektorów krytycznych sprawiają, że SafePay należy traktować jako zagrożenie o wysokim priorytecie. Skuteczna obrona wymaga połączenia higieny bezpieczeństwa, szybkiego łatania, silnego uwierzytelniania, monitoringu aktywności administracyjnej oraz odpornych mechanizmów backupu i odtwarzania.