CISA: вымогатели SafePay атаковали более 600 организаций критической инфраструктуры

Агентство по кибербезопасности и защите инфраструктуры США (CISA) совместно с ФБР, Секретной службой США, германским управлением уголовной полиции земли Рейнланд-Пфальц, а также британскими Национальным агентством по борьбе с преступностью и региональным подразделением по борьбе с оргпреступностью Северо-Запада выпустило совместный отчёт о деятельности группировки SafePay.

По данным ведомств, с августа 2024 года вымогатели взломали не менее 600 организаций из различных секторов критической инфраструктуры в Северной и Южной Америке, Европе и Австралии. SafePay названа одной из самых активных подобных группировок в мире.

Как действуют злоумышленники

Первоначальный доступ SafePay получает разными способами: через утечки учётных данных, подбор паролей методом перебора и эксплуатацию VPN-доступа — в частности, через IP-адреса провайдера Mullvad. Злоумышленники также используют скомпрометированные через фишинг учётные записи и эксплуатируют известные уязвимости (CVE) граничных устройств и систем, доступных из интернета, с помощью автоматизированных скриптов.

Получив действительные учётные данные, атакующие продвигаются по сети. Чтобы затруднить восстановление, они удаляют теневые копии и сбрасывают сетевые хранилища с резервными копиями. Группировка применяет и двойное вымогательство: похищает конфиденциальные документы до шифрования систем и угрожает опубликовать их, если выкуп не будет уплачен.

Рекомендации защитникам

Авторы отчёта призывают администраторов ограничить административные инструменты и привилегии, чтобы блокировать перемещение по сети после компрометации, внедрить многофакторную аутентификацию и политики управления идентификацией и доступом (ICAM). Отдельно подчёркивается необходимость своевременного обновления VPN, межсетевых экранов и других граничных устройств, уязвимости которых попадают в каталог активно эксплуатируемых угроз CISA.

Ведомства напоминают: уплата выкупа не гарантирует восстановления зашифрованных файлов, и просят пострадавших сообщать об инцидентах в правоохранительные органы.

В отличие от схожих операций, SafePay появилась в августе 2024 года как закрытая группировка, не работающая с партнёрами-аффилиатами. На её сайте утечек в даркнете уже сотни жертв, однако реальное число взломанных организаций выше: туда попадают лишь те, кто отказался платить. С начала 2025 года SafePay постепенно заняла нишу, освободившуюся после BlackCat (ALPHV) и LockBit. Отчёт также содержит индикаторы компрометации и описание тактик, наблюдавшихся в расследованиях с ноября 2024 по август 2026 года.

Источник: Bleeping Computer