گزارش‌های مشترک نهادهای امنیتی بین‌المللی، فعالیت‌های گسترده گروه باج‌افزاری SafePay را فاش کرده است. این گروه از اوت ۲۰۲۴ تاکنون، سازمان‌ها و زیرساخت‌های حیاتی را در مناطق مختلف از جمله آمریکای شمالی، آمریکای جنوبی، اروپا و استرالیا هدف قرار داده است. SafePay یکی از فعال‌ترین گروه‌های باج‌افزاری در سال ۲۰۲۶ بوده که تاکنون حداقل ۶۰۰ قربانی در بخش‌های مختلف زیرساختی را تحت تأثیر قرار داده است.
روش‌های دسترسی اولیه (Initial Access)
عامل‌های تهدید SafePay از چندین روش برای ورود به شبکه استفاده می‌کنند که مهم‌ترین آن‌ها عبارتند از:
- سرقت اعتبارنامه‌ها: استفاده از اطلاعات ورود فاش شده یا حملات Brute Force.
- اکسپلویت سرویس‌های VPN: بهره‌برداری از آسیب‌پذیری‌های موجود در تجهیزات لبه (Edge Devices).
- استفاده از آسیب‌پذیری‌های شناخته شده: این گروه از چندین CVE مهم از جمله CVE-2020-3259، CVE-2023-20269، CVE-2023-27532، CVE-2024-40711 و CVE-2024-40766 برای نفوذ اولیه استفاده می‌کند.
تکنیک‌های اجرا و ماندگاری (Execution & Persistence)
پس از ورود به شبکه، این گروه با استفاده از تکنیک‌های Living off the Land (LOTL)، از ابزارهای سیستمی قانونی برای پیشبرد اهداف خود استفاده می‌کند. آن‌ها با استفاده از ابزارهایی مانند PsExec و Windows Remote Management (WinRM)، دستورات خود را در سیستم‌های از راه دور اجرا می‌کنند. همچنین برای شناسایی فایل‌های ارزشمند، از اسکریپت‌های PowerShell مانند ShareFinder.ps1 بهره می‌برند. جهت جلوگیری از شناسایی، SafePay معمولاً نرم‌افزارهای امنیتی را غیرفعال کرده و از تکنیک‌های Software Packing برای پنهان‌سازی کدهای مخرب خود استفاده می‌کند.
حرکت عرضی و افزایش سطح دسترسی
عامل‌های SafePay برای گسترش حضور خود در شبکه، از پروتکل Remote Desktop Protocol (RDP) و سرویس‌های SMB استفاده می‌کنند. آن‌ها با هدف دستیابی به سطح دسترسی Administrator، از تکنیک‌های Bypass User Account Control (UAC) و impersonation توکن‌ها استفاده می‌کنند تا کنترل کامل بر سیستم‌ها را به دست بگیرند.
استخراج داده‌ها و اثرگذاری نهایی (Exfiltration & Impact)
این گروه پیش از رمزنگاری فایل‌ها، اقدام به استخراج داده‌های حساس (Data Exfiltration) می‌کند. ابزارهای قانونی مانند FileZilla، RClone، 7-Zip و حتی سرویس‌های ابری مانند OneDrive و OneDrive برای انتقال داده‌ها به سرورهای خودشان مورد استفاده قرار می‌گیرند. در مرحله نهایی، فایل‌ها با استفاده از یک طرح رمزنگاری ترکیبی پیشرفته (ترکیب ChaCha20 و RSA) رمزنگاری می‌شوند. پس از سرایت، باج‌افزار با حذف نسخه‌های پشتیبان (Shadow Copies) و ریست کردن تنظیمات کارخانه‌ای تجهیزات ذخیره‌سازی (NAS)، تلاش‌های بازیابی سیستم را مختل می‌کند.
اقدامات پیشنهادی برای مقابله
برای کاهش ریسک حملات SafePay، سازمان‌ها باید اقدامات زیر را در اولویت قرار دهند:
- وصله‌پذیری (Patching): به‌روزرسانی مداوم سیستم‌ها، به‌ویژه فایروال‌ها و تجهیزات لبه.
- مدل Zero Trust: پیاده‌سازی اصول اعتماد صفر در شبکه.
- مدیریت دسترسی: محدود کردن ابزارهای مدیریتی و سطح دسترسی کاربران به حداقل نیاز.
- احراز هویت چندعاملی (MFA): تقویت امنیت حساب‌ها از طریق سیاست‌های ICAM و استفاده از MFA.
