باج‌افزار SafePay از اواسط سال ۲۰۲۴ تاکنون، بیش از ۶۰۰ سازمان را در بخش‌های مختلف از جمله زیرساخت‌های حیاتی هدف قرار داده است. نهادهای امنیتی برجسته‌ای از جمله FBI، CISA، سرویس مخفی ایالات متحده (USSS) و نهادهای مشابه در آلمان و بریتانیا، در یک هشدار مشترک، این گروه را یکی از فعال‌ترین گروه‌های باج‌افزاری در حال حاضر توصیف کرده‌اند. عملیات این گروه از آمریکای شمالی و جنوبی تا اروپا و استرالیا را در بر گرفته است.
روش‌های نفوذ و اکسپلویت
عامل‌های تهدید (Threat Actors) در گروه SafePay عمدتاً از روش‌های زیر برای دستیابی به دسترسی اولیه (Initial Access) استفاده می‌کنند:
- استفاده از اعتبارنامه‌های سرقت شده (Stolen Credentials) و حملات Brute Force برای ورود به سیستم‌ها.
- سوءاستفاده از دسترسی‌های VPN، به‌ویژه با استفاده از آدرس‌های IP سرویس Mullvad.
- اکسپلویت کردن آسیب‌پذیری‌های شناخته شده در تجهیزات لبه (Edge Devices) مانند محصولات Cisco، Veeam و SonicWall.
حرکت جانبی و سرقت داده‌ها
پس از ورود به شبکه، این گروه به جای استفاده از بدافزارهای پیچیده، بر تکنیک‌های Living-off-the-land تکیه می‌کند تا شناسایی آن‌ها توسط تیم‌های امنیتی دشوار شود. آن‌ها از ابزارهای سیستمی استاندارد برای حرکت جانبی (Lateral Movement) استفاده می‌کنند:
- شناسایی داده‌ها: استفاده از اسکریپت ShareFinder.ps1 برای یافتن پوشه‌های اشتراکی و شناسایی داده‌های ارزشمند.
- سرقت اعتبارنامه: بهره‌گیری از ابزار Mimikatz برای استخراج رمزهای عبور.
- دسترسی از راه دور: استفاده از ابزارهای قانونی مانند AnyDesk و TeamViewer برای کنترل سیستم‌ها.
- خروج داده‌ها (Exfiltration): استفاده از ابزارهایی مانند FileZilla، RClone، WinSCP و حتی سرویس OneDrive برای انتقال داده‌های سرقت شده.
رمزگذاری و باج‌خواهی دوگانه
SafePay از الگوریتم رمزگذاری ChaCha20 به همراه RSA برای تبادل کلید استفاده می‌کند و فایل‌ها را با پسوند .SafePay علامت‌گذاری می‌کند. این گروه از مدل باج‌خواهی دوگانه (Double Extortion) پیروی می‌کند؛ به این معنا که ابتدا داده‌ها را سرقت کرده و سپس با تهدید به انتشار عمومی آن‌ها در سایت‌های نشت داده (Leak Sites)، سازمان‌ها را مجبور به پرداخت باج می‌کنند. همچنین این گروه با حذف Volume Shadow Copies و بازنشانی (Reset) دستگاه‌های پشتیبان به تنظیمات کارخانه، تلاش می‌کند تمامی راه‌های بازیابی داده را مسدود کند.
توصیه‌های امنیتی برای مدیران SOC و CISO
- مدیریت آسیب‌پذیری: اولویت‌بندی وصله‌های امنیتی برای تجهیزات متصل به اینترنت، به‌ویژه VPNها و فایروال‌ها (مطابق با لیست CISA KEV).
- احراز هویت چندعاملی (MFA): فعال‌سازی اجباری MFA برای تمامی دسترسی‌های VPN، ایمیل‌های سازمانی و حساب‌های دارای دسترسی به سیستم‌های حساس.
- کنترل دسترسی‌ها: محدود کردن حساب‌های دارای امتیاز مدیریت (Admin Privileges) و غیرفعال کردن ابزارهای خط فرمان (Command-line tools) برای کاربرانی که نیاز مبرم به آن‌ها ندارند.
- استراتژی پشتیبان‌گیری: نگهداری نسخه‌های پشتیبان به‌صورت آفلاین، رمزگذاری شده و غیرقابل تغییر (Immutable) برای جلوگیری از حذف یا تغییر توسط مهاجم.
