Ransomware SafePay: Tattiche, Tecniche e Misure Difensive

Sommario

Gli attori del ransomware SafePay prendono di mira aziende e infrastrutture critiche tramite il furto delle credenziali, il phishing e lo sfruttamento di vulnerabilità note. Mantengono la persistenza manipolando gli account amministrativi e si affidano a tecniche living-off-the-land per il movimento laterale. L’attacco tipicamente si conclude con l’esfiltrazione dei dati seguita da crittografia ibrida ChaCha20-RSA e richieste di riscatto in criptovaluta.

Indagine

L’indagine è stata condotta congiuntamente dall’FBI, USSS, CISA, il Landeskriminalamt Rheinland-Pfalz della Germania, e la NCA e NWROCU del Regno Unito. I risultati si basano su indagini effettuate fino ad agosto 2026. Da agosto 2024, gli attori di SafePay hanno colpito almeno 600 vittime in diversi settori industriali e critici.

Mitigazione

Le organizzazioni dovrebbero dare priorità alla correzione delle vulnerabilità note e sfruttate, specialmente quelle che riguardano i dispositivi di frontiera e i firewall. L’applicazione dei principi di Zero Trust, l’autenticazione multifattoriale (MFA), e il controllo efficace della gestione delle identità e degli accessi (ICAM) sono essenziali. Mantenere backup offline immutabili ed imporre la segmentazione della rete può anche ridurre sostanzialmente l’impatto potenziale degli attacchi ransomware.

Risposta

Quando viene rilevata un’attività di SafePay, le organizzazioni dovrebbero isolare i sistemi compromessi ed effettuare un’attività di caccia alle minacce per determinare la portata completa dell’intrusione. Gli incidenti dovrebbero essere segnalati alle agenzie di applicazione della legge pertinenti, compreso l’FBI o l’IC3. Dopo il contenimento, applicare strategie di espulsione per rimuovere la minaccia e rafforzare gli ambienti interessati per prevenire ulteriori ingressi.

Esecuzione Simulazione

• Narrativa & Comandi d’Attacco: L’avversario ha ottenuto accesso iniziale e sta effettuando ricognizioni interne per identificare account utente di alto valore per il movimento laterale. Seguendo la guida del ransomware SafePay, l’attaccante esegue uno script PowerShell specializzato chiamato ShareFinder.ps1 per mappare le condivisioni di rete e poi utilizza il comando net user tramite cmd.exe per enumerare gli account utente locali. Queste azioni specifiche sono intese a far scattare la regola di rilevamento per validare se il SOC riceve un avviso.

• Script di Test di Regressione:

  # Script di Simulazione per la Validazione del Rilevamento SafePay
  
  Write-Host "[+] Avvio della Simulazione..." -ForegroundColor Cyan
  
  # 1. Simula l'esecuzione di PowerShell 'ShareFinder.ps1'
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Scansione delle condivisioni...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Esecuzione di ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Simula 'net user' tramite cmd.exe
  Write-Host "[+] Esecuzione di 'net user' tramite cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Comandi di Simulazione Inviati." -ForegroundColor Green

• Comandi di Pulizia:

  # Pulizia degli Artefatti di Simulazione
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Pulizia: Rimosso $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Pulizia: Script non trovato, niente da rimuovere." -ForegroundColor Gray
  }