SafePay: тактика, техніки та заходи захисту від програм-вимагачів

Резюме

Зловмисники, що використовують програму-вимагач SafePay, націлюються на бізнес та критичну інфраструктуру, використовуючи крадіжку облікових даних, фішинг та експлуатацію відомих вразливостей. Вони зберігають стійкість, маніпулюючи адміністративними обліковими записами, та покладаються на техніки використання стандартних засобів операційної системи для горизонтального переміщення. Атака зазвичай завершується ексфільтрацією даних, за якою слідує гібридне шифрування ChaCha20-RSA і вимога викупу в криптовалюті.

Розслідування

Розслідування проводилося спільно з ФБР, Секретною службою США, CISA, земельною кримінальною поліцією Рейнланд-Пфальц (Німеччина) та Національним агентством злочинності та NWROCU Великої Британії. Висновки базуються на розслідуваннях, що проводилися до серпня 2026 року. З серпня 2024 року актори SafePay вплинули на щонайменше 600 жертв у різних галузях та критичних секторах.

Мітигація

Організації повинні пріоритезувати встановлення патчів для відомих експлуатованих вразливостей, особливо тих, що впливають на крайові пристрої та фаєрволи. Важливим є застосування принципів Zero Trust, багатофакторної автентифікації (MFA) та потужного управління ідентичностями та доступом (ICAM). Підтримка незмінних автономних резервних копій та впровадження сегментації мережі також можуть суттєво зменшити потенційний вплив атак програм-вимагачів.

Реагування

При виявленні активності SafePay організації повинні ізолювати скомпрометовані системи та проводити полювання на загрози для визначення повного масштабу вторгнення. Інциденти слід повідомляти відповідним правоохоронним органам, включаючи ФБР або IC3. Після ізоляції впроваджуйте стратегії вигнання, щоб усунути загрозу та зміцнити постраждалі середовища для запобігання повторному вторгненню.

Запуск симуляції

• Оповідь атаки та команди: Противник здобув початковий доступ і виконує внутрішню розвідку для визначення облікових записів користувачів високої цінності для горизонтального переміщення. Слідуючи сценарію програми-вимагача SafePay, нападник виконує спеціалізований скрипт PowerShell під назвою ShareFinder.ps1 для відображення мережевих спільних ресурсів, а потім використовує команду net user через cmd.exe для переліку локальних облікових записів користувачів. Ці конкретні дії призначені для ініціювання правила виявлення, щоб перевірити, чи отримує SOC попередження.

• Скрипт регресивного тестування:

  # Скрипт для симуляції валідації виявлення SafePay
  
  Write-Host "[+] Запуск симуляції..." -ForegroundColor Cyan
  
  # 1. Симуляція виконання 'ShareFinder.ps1' PowerShell
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Сканування спільних ресурсів...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Виконання ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Симуляція 'net user' через cmd.exe
  Write-Host "[+] Виконання 'net user' через cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Команди симуляції виконані." -ForegroundColor Green

• Команди прибирання:

  # Прибирання артефактів симуляції
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Прибирання: Видалено $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Прибирання: Скрипт не знайдено, нічого видаляти." -ForegroundColor Gray
  }