SafePay ransomware
A CISA, az FBI, az amerikai Secret Service, valamint német és brit bűnüldöző szervek 2026. október 20-án közös figyelmeztetést adtak ki a SafePay zsarolóvírus-csoportról. A 2024 augusztusa óta aktív bűnözői hálózat legalább 600 szervezetet érintett Észak- és Dél-Amerikában, Európában és Ausztráliában, köztük kritikus infrastruktúrát működtető vállalatokat.
A támadók jellemzően ellopott vagy gyenge jelszavakkal, adathalászattal, valamint internet felől elérhető VPN-ek és peremhálózati eszközök sérülékenységeinek kihasználásával jutnak be. A hatóságok a Mullvad VPN-szolgáltatáshoz tartozó IP-címekről indított támadói kapcsolatokat is dokumentáltak.
A behatolás után a SafePay rendszergazdai jogosultságokat szerez, kikapcsolhatja a védelmi eszközöket, majd RDP, SMB, PsExec és WinRM segítségével terjeszkedik. Adatgyűjtésre és kiszivárogtatásra legitim programokat, például 7-Zipet, RClone-t és WinSCP-t is használ.
A csoport kettős zsarolást alkalmaz, előbb adatokat lop, majd ChaCha20- és RSA-alapú titkosítással zárolja a fájlokat. A helyreállítást a Windows árnyékmásolatainak törlésével és a biztonsági mentéseket tároló NAS-eszközök gyári visszaállításával is akadályozhatja. A váltságdíjat kriptovalutában követeli, és az adatok közzétételével, esetenként telefonhívásokkal gyakorol nyomást az áldozatokra.
A közös AA26-293A figyelmeztetés kompromittálódási indikátorokat és részletes támadási technikákat is tartalmaz. A hatóságok a VPN-ek és tűzfalak sürgős frissítését, a többtényezős hitelesítést, a rendszergazdai jogosultságok korlátozását és az elkülönített, rendszeresen tesztelt biztonsági mentéseket javasolják.
