آژانس امنیت سایبری و امنیت زیرساخت (CISA) اعلام کرد که گروه باج‌افزار SafePay از سال ۲۰۲۴ تاکنون، بیش از ۶۰۰ سازمان در بخش‌های زیرساخت حیاتی (Critical Infrastructure) را در سراسر جهان هدف قرار داده است.
در یک گزارش مشترک با FBI، سرویس مخفی ایالات متحده (USSS) و نهادهای امنیتی آلمان و بریتانیا، آمده است که پرداخت باج تضمینی برای بازیابی فایل‌های رمزگذاری‌شده در حملات باج‌افزاری نیست. این گزارش تأکید می‌کند که SafePay یکی از فعال‌ترین گروه‌های باج‌افزاری است که کسب‌وکارها و زیرساخت‌های حیاتی را در آمریکای شمالی، آمریکای جنوبی، اروپا و استرالیا تحت تأثیر قرار داده است.
روش‌های نفوذ و تکنیک‌های حمله
عامل‌های تهدید (Threat Actors) در گروه SafePay از روش‌های متنوعی برای دسترسی اولیه (Initial Access) استفاده می‌کنند، از جمله:
- افشای اعتبارنامه‌ها (Credential Exposure) و حملات Brute Force.
- سوءاستفاده از دسترسی‌های VPN، به‌ویژه از طریق آدرس‌های IP ارائه‌دهنده Mullvad VPN.
- استفاده از پروفایل‌های فیشینگ شده برای نفوذ به شبکه.
- استفاده از اسکریپت‌های خودکار برای اکسپلویت (Exploit) آسیب‌پذیری‌های رایج (CVEs) در تجهیزات لبه (Edge Devices) مانند فایروال‌ها و VPNها.
برخلاف بسیاری از گروه‌های مشابه، SafePay به عنوان یک گروه خصوصی ظاهر شده که با زیرساخت‌های باج‌افزار به عنوان سرویس (RaaS) یا وابستگان (Affiliates) کار نمی‌کند. این گروه از تاکتیک باج‌خواهی دوگانه (Double-Extortion) استفاده می‌کند؛ به این معنا که پیش از رمزگذاری، اسناد حساس را سرقت کرده و تهدید می‌کند که در صورت عدم پرداخت باج، آن‌ها را در Dark Web منتشر خواهد کرد. همچنین، این گروه برای مختل کردن فرآیند بازیابی، اقدام به حذف Shadow Copies و بازنشانی (Reset) دستگاه‌های ذخیره‌سازی متصل به شبکه (NAS) می‌کند.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدید، متخصصان امنیتی اقدامات زیر را توصیه می‌کنند:
- محدود کردن ابزارهای مدیریتی و سطح دسترسی‌ها برای جلوگیری از حرکت عرضی (Lateral Movement) پس از نفوذ.
- پیاده‌سازی احراز هویت چندعاملی (MFA) و سیاست‌های مدیریت هویت، اعتبار و دسترسی (ICAM) برای امنیت بهتر حساب‌ها.
- به‌روزرسانی مداوم سیستم‌ها، با تمرکز ویژه بر رفع آسیب‌پذیری‌های تجهیزات VPN، فایروال و سایر تجهیزات لبه که در کاتالوگ آسیب‌پذیری‌های مورد سوءاستفاده فعال قرار دارند.
