بر اساس هشدار مشترک آژانس‌های امنیت سایبری ایالات متحده، بریتانیا و آلمان، یک گروه باج‌افزار (Ransomware) تحت عنوان SafePay به طور فعال در حال هدف قرار دادن کسب‌وکارها و زیرساخت‌های حیاتی در سراسر جهان است.
جزئیات فعالیت و دامنه حملات
از اوایل اوت ۲۰۲۴، این گروه دست‌کم ۶۰۰ قربانی را در بخش‌های مختلف زیرساخت‌های حیاتی هدف قرار داده است. این کمپین‌های با انگیزه‌ی مالی، از استراتژی باج‌افزارگذاری دوگانه (Double-extortion) پیروی می‌کنند؛ به این صورت که ابتدا داده‌ها را سرقت کرده و سپس ظرف کمتر از ۲۴ ساعت، سیستم‌های قربانی را رمزگذاری (Encryption) می‌کنند.
- شباهت با LockBit: تحلیل‌های امنیتی نشان می‌دهد که کد باینری SafePay با کدهای لو رفته از LockBit Black شباهت‌های ساختاری در دستورات (Command-line flags) و منطق رمزگذاری دارد.
- ویژگی Kill Switch: این باج‌افزار دارای یک سوئیچ توقف (Kill Switch) مبتنی بر زبان‌های سیریلیک است که از اجرای آن روی سیستم‌هایی با تنظیمات زبان اروپای شرقی جلوگیری می‌کند.
روش‌های نفوذ و بهره‌برداری (Exploitation)
عوامل تهدید (Threat Actors) برای دسترسی اولیه به شبکه، از روش‌های زیر استفاده می‌کنند:
- استفاده از اعتبارنامه‌های سرقتی (Compromised Credentials)، حملات Brute-force و سوءاستفاده از آسیب‌پذیری‌های VPN.
- بهره‌برداری از نقص‌های امنیتی در تجهیزات Cisco (مانند CVE-2020-3259 و CVE-2023-20269) که امکان دسترسی به اطلاعات حساس یا ایجاد نشست‌های SSL VPN غیرمجاز را فراهم می‌کند.
- سوءاستفاده از آسیب‌پذیری‌های نرم‌افزار پشتیبان‌گیری Veeam (شامل CVE-2023-27532 و CVE-2024-40711) که می‌تواند منجر به اجرای کد از راه دور (RCE) شود.
- استفاده از آسیب‌پذیری CVE-2024-40766 در تجهیزات SonicWall برای دسترسی غیرمجاز.
تکنیک‌های ماندگاری و حرکت عرضی (Lateral Movement)
پس از ورود به شبکه، این گروه برای حفظ ماندگاری و ارتقای سطح دسترسی (Privilege Escalation)، از تکنیک‌های Living-off-the-land استفاده می‌کند. آن‌ها از ابزارهای مدیریتی قانونی ویندوز مانند PsExec و Windows Remote Management برای اجرای دستورات از راه دور بهره می‌برند.
در مرحله نهایی، داده‌ها با استفاده از ابزارهای مدیریت فایل مانند RClone، FileZilla، 7-Zip و حتی سرویس OneDrive به سرورهای مهاجم منتقل می‌شوند. در نهایت، فایل‌ها با استفاده از یک سیستم رمزگذاری ترکیبی (Hybrid Encryption) شامل الگوریتم‌های ChaCha20 و RSA قفل شده و پسوند .safepay به آن‌ها اضافه می‌شود.
