SafePay Ransomware : Tactiques, Techniques et Mesures Défensives

Résumé

Les acteurs du ransomware SafePay ciblent les entreprises et les infrastructures critiques par le vol d’identifiants, le phishing et l’exploitation de vulnérabilités connues. Ils maintiennent la persistance en manipulant les comptes administratifs et s’appuient sur des techniques de squattage pour le déplacement latéral. L’attaque se termine généralement par l’exfiltration de données suivie par un chiffrement hybride ChaCha20-RSA et des demandes de rançon en cryptomonnaie.

Enquête

L’enquête a été menée conjointement par le FBI, l’USSS, la CISA, le Landeskriminalamt Rheinland-Pfalz en Allemagne, et le NCA et NWROCU du Royaume-Uni. Les conclusions se basent sur des enquêtes réalisées jusqu’en août 2026. Depuis août 2024, les acteurs de SafePay ont affecté au moins 600 victimes dans divers secteurs industriels et critiques.

Atténuation

Les organisations doivent prioriser le correctif des vulnérabilités connues, particulièrement celles affectant les appareils périphériques et les pare-feu. L’application des principes de Zero Trust, de l’authentification multifactorielle (AMF) et des contrôles de gestion de l’identité et des accès (ICAM) est essentielle. Le maintien de sauvegardes immuables hors ligne et l’application de la segmentation du réseau peuvent également réduire substantiellement l’impact potentiel des attaques par ransomware.

Réponse

Lorsqu’une activité SafePay est détectée, les organisations doivent isoler les systèmes compromis et mener une chasse aux menaces pour déterminer l’étendue de l’intrusion. Les incidents doivent être signalés aux agences de lutte contre la cybercriminalité, y compris le FBI ou IC3. Une fois le confinement réalisé, appliquer des stratégies d’expulsion pour éliminer la menace et renforcer les environnements affectés pour empêcher toute réintroduction.

Exécution de Simulation

• Narration de l’Attaque & Commandes: L’adversaire a obtenu un accès initial et effectue une reconnaissance interne en vue d’identifier des comptes utilisateurs de grande valeur pour un mouvement latéral. Suivant le manuel du ransomware SafePay, l’attaquant exécute un script PowerShell spécialisé nommé ShareFinder.ps1 pour cartographier les partages réseau et utilise ensuite la commande net user via cmd.exe pour énumérer les comptes utilisateurs locaux. Ces actions spécifiques visent à déclencher la règle de détection pour valider si le SOC reçoit une alerte.

• Script de Test de Régression:

  # Script de Simulation pour validation de la détection SafePay
  
  Write-Host "[+] Lancement de la simulation..." -ForegroundColor Cyan
  
  # 1. Simuler l'exécution de PowerShell 'ShareFinder.ps1'
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Recherche de partages...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Exécution de ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Simuler 'net user' via cmd.exe
  Write-Host "[+] Exécution de 'net user' via cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Commandes de simulation envoyées." -ForegroundColor Green

• Commandes de Nettoyage:

  # Nettoyage des artefacts de simulation
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Nettoyage : Suppression de $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Nettoyage : Script non trouvé, rien à supprimer." -ForegroundColor Gray