Wprowadzenie do problemu / definicja
SafePay to grupa ransomware, która w krótkim czasie urosła do rangi jednego z najbardziej aktywnych zagrożeń wymierzonych w przedsiębiorstwa i podmioty infrastruktury krytycznej. Jej operacje opierają się na modelu podwójnego wymuszenia, co oznacza jednoczesne szyfrowanie systemów oraz kradzież danych wykorzystywanych później do wywierania presji na ofiary.
Tego typu kampanie są szczególnie niebezpieczne dla organizacji świadczących usługi o znaczeniu publicznym i gospodarczym. W praktyce incydent nie kończy się wyłącznie na przestoju środowiska IT, ale może prowadzić również do kryzysu operacyjnego, prawnego i reputacyjnego.
W skrócie
- SafePay miał od 2024 roku naruszyć bezpieczeństwo ponad 600 organizacji związanych z infrastrukturą krytyczną.
- Ofiary zidentyfikowano w Ameryce Północnej, Ameryce Południowej, Europie i Australii.
- Główne wektory wejścia obejmują przejęte poświadczenia, ataki brute force, phishing oraz nadużywanie dostępu VPN i usług brzegowych.
- Po uzyskaniu dostępu operatorzy prowadzą ruch boczny, eskalują uprawnienia, eksfiltrują dane i utrudniają odzyskiwanie systemów.
- Ataki są wymierzone w ciągłość działania organizacji, a nie tylko w zasoby informatyczne.
Kontekst / historia
SafePay pojawił się w sierpniu 2024 roku jako prywatna grupa ransomware działająca poza klasycznym modelem RaaS opartym na afiliantach. To istotne, ponieważ wiele współczesnych operacji tego typu bazuje na partnerach realizujących poszczególne etapy ataku. W przypadku SafePay widoczny jest bardziej scentralizowany model działania, który może sprzyjać spójności taktyk i większej dyscyplinie operacyjnej.
Wzrost aktywności tej grupy zbiegł się z osłabieniem części wcześniej dominujących marek przestępczych. W efekcie SafePay zaczął szybko wypełniać lukę na krajobrazie ransomware, stając się jednym z najczęściej obserwowanych aktorów w analizach incydentów. Ustalenia służb i agencji bezpieczeństwa obejmują incydenty obserwowane od listopada 2024 do sierpnia 2026, co wskazuje na długotrwałą i konsekwentnie rozwijaną kampanię.
Analiza techniczna
Z perspektywy technicznej SafePay wykorzystuje zestaw metod dobrze znanych zespołom bezpieczeństwa, ale stosuje je w sposób systematyczny i skuteczny. Szczególne znaczenie mają skradzione lub ujawnione dane logowania, które umożliwiają wejście do środowiska bez konieczności uruchamiania klasycznego malware na pierwszym etapie ataku. Dzięki temu aktywność napastników może przypominać legalne działania administratorów i dłużej pozostawać niezauważona.
Do najważniejszych wektorów początkowego dostępu należą ataki słownikowe i brute force, phishing oraz wykorzystywanie systemów zdalnego dostępu, w tym VPN-ów i innych usług wystawionych do internetu. Grupa koncentruje się na zasobach brzegowych, ponieważ to właśnie one często stanowią najsłabszy element ochrony i najłatwiejszy punkt wejścia do sieci organizacji.
Po kompromitacji środowiska operatorzy przechodzą do ruchu bocznego, eskalacji uprawnień i przygotowania gruntu pod właściwą fazę wymuszenia. Charakterystycznym elementem działań SafePay jest połączenie szyfrowania z eksfiltracją danych. Oznacza to, że jeszcze przed uruchomieniem ładunku szyfrującego napastnicy pozyskują dokumenty, archiwa i inne wrażliwe informacje, a następnie wykorzystują je jako dodatkowy środek nacisku.
Istotną częścią operacji jest także sabotowanie procesu odzyskiwania systemów. Atakujący mogą usuwać shadow copies oraz ingerować w urządzenia NAS zawierające kopie zapasowe. Tego rodzaju działania mają wydłużyć przestój, podnieść koszty incydentu i ograniczyć organizacji możliwość samodzielnego odtworzenia krytycznych zasobów.
Konsekwencje / ryzyko
Skala kampanii przypisywanej SafePay pokazuje, że nie jest to zagrożenie ograniczone do jednego sektora czy jednego regionu. Ataki na ponad 600 organizacji infrastruktury krytycznej oznaczają realne ryzyko dla ciągłości świadczenia usług o znaczeniu publicznym, przemysłowym i gospodarczym.
Najpoważniejsze skutki obejmują niedostępność systemów, zatrzymanie procesów operacyjnych, ryzyko wycieku danych oraz wielowymiarowe koszty przywracania działania środowiska. W modelu podwójnego wymuszenia organizacja musi jednocześnie radzić sobie z awarią operacyjną i incydentem naruszenia poufności informacji. To zwiększa presję na zarząd, zespoły techniczne, działy prawne i komunikację kryzysową.
Dodatkowym problemem pozostaje fakt, że zapłata okupu nie daje gwarancji odzyskania danych ani usunięcia skradzionych materiałów. Z tego względu organizacje nie powinny traktować płatności jako skutecznej strategii ograniczania ryzyka. Znacznie ważniejsze jest budowanie odporności technicznej i organizacyjnej jeszcze przed wystąpieniem incydentu.
Rekomendacje
Podstawowym krokiem obronnym powinno być ograniczenie powierzchni ataku na systemach brzegowych. Oznacza to regularne aktualizowanie VPN-ów, firewalli i innych usług publikowanych do internetu, wyłączanie zbędnego dostępu zdalnego oraz szybkie usuwanie podatności aktywnie wykorzystywanych przez napastników.
Równie ważne jest wzmocnienie zarządzania tożsamością i dostępem. W praktyce obejmuje to wymuszenie MFA dla kont uprzywilejowanych i dostępu zdalnego, ograniczenie liczby kont administracyjnych, stosowanie zasady najmniejszych uprawnień oraz monitorowanie nietypowego użycia poprawnych poświadczeń.
- Wdrożyć segmentację sieci i ograniczyć możliwość swobodnego ruchu bocznego.
- Monitorować kontrolery domeny, zasoby NAS i systemy backupowe pod kątem nietypowych działań.
- Ograniczyć użycie narzędzi administracyjnych oraz uruchamianie skryptów bez uzasadnienia biznesowego.
- Centralizować logi i rozwijać reguły detekcji dla aktywności przypominającej działania operatorów ransomware.
- Regularnie testować procedury odtwarzania danych i scenariusze reagowania na ransomware.
Strategia backupu powinna zakładać kopie odseparowane logicznie lub fizycznie od środowiska produkcyjnego. Same kopie zapasowe nie wystarczą, jeśli organizacja nie weryfikuje, czy dane da się realnie przywrócić w wymaganym czasie. Dlatego ćwiczenia tabletop, testy odtworzeniowe i okresowe przeglądy planów reagowania powinny być stałym elementem programu bezpieczeństwa.
Podsumowanie
SafePay wyrósł na jednego z najważniejszych operatorów ransomware atakujących infrastrukturę krytyczną. Skala działalności, dobór wektorów wejścia i nacisk na podwójne wymuszenie pokazują, że mamy do czynienia z dojrzałym oraz skutecznym przeciwnikiem.
Dla organizacji kluczowe pozostają podstawy cyberhigieny: ochrona tożsamości, aktualizacje systemów brzegowych, segmentacja sieci, odporne kopie zapasowe i dobrze przećwiczone procedury reagowania. To właśnie te elementy najczęściej decydują o tym, czy incydent zakończy się ograniczonym zakłóceniem, czy pełnoskalowym kryzysem biznesowym.
Źródła
- BleepingComputer — https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/
- CISA Cybersecurity Advisory AA26-293A — https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a