SafePay Ransomware: Táticas, Técnicas e Medidas de Defesa

Resumo

Os atores de ransomware SafePay visam empresas e infraestruturas críticas através de roubo de credenciais, phishing e exploração de vulnerabilidades conhecidas. Eles mantêm persistência manipulando contas administrativas e dependem de técnicas de utilização dos recursos existentes para movimento lateral. O ataque geralmente termina com a exfiltração de dados seguida por criptografia híbrida ChaCha20-RSA e exigências de resgate em criptomoeda.

Investigação

A investigação foi conduzida conjuntamente pelo FBI, USSS, CISA, Landeskriminalamt Rheinland-Pfalz da Alemanha e o NCA e NWROCU do Reino Unido. As conclusões baseiam-se em investigações realizadas até agosto de 2026. Desde agosto de 2024, os atores SafePay afetaram pelo menos 600 vítimas em várias indústrias e setores críticos.

Mitigação

As organizações devem priorizar o patching de vulnerabilidades conhecidas exploradas, particularmente aquelas que afetam dispositivos de borda e firewalls. Aplicar princípios de Zero Trust, autenticação multifator (MFA) e controles robustos de gerenciamento de identidade e acesso (ICAM) é essencial. Manter backups offline imutáveis e aplicar segmentação de rede também pode reduzir substancialmente o impacto potencial dos ataques de ransomware.

Resposta

Quando a atividade SafePay é detectada, as organizações devem isolar sistemas comprometidos e realizar caça a ameaças para determinar o escopo completo da intrusão. Os incidentes devem ser relatados às agências de aplicação da lei relevantes, incluindo o FBI ou IC3. Após o confinamento, aplicar estratégias de expulsão para remover a ameaça e fortalecer os ambientes afetados para prevenir reentrada.

Execução de Simulação

• Narrativa & Comandos do Ataque: O adversário obteve acesso inicial e está realizando reconhecimento interno para identificar contas de usuários de alto valor para movimento lateral. Seguindo o roteiro do ransomware SafePay, o invasor executa um script PowerShell especializado chamado ShareFinder.ps1 para mapear compartilhamentos de rede e utiliza o comando net user via cmd.exe para enumerar contas de usuários locais. Essas ações específicas são destinadas a acionar a regra de detecção para validar se o SOC recebe um alerta.

• Roteiro de Teste de Regressão:

  # Script de Simulação para Validação de Detecção SafePay
  
  Write-Host "[+] Iniciando Simulação..." -ForegroundColor Cyan
  
  # 1. Simular execução do PowerShell 'ShareFinder.ps1'
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Procurando compartilhamentos...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Executando ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Simular 'net user' via cmd.exe
  Write-Host "[+] Executando 'net user' via cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Comandos de Simulação Enviados." -ForegroundColor Green

• Comandos de Limpeza:

  # Limpeza de Artefatos de Simulação
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Limpeza: Removido $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Limpeza: Script não encontrado, nada para remover." -ForegroundColor Gray
  }