SafePay Ransomware: Taktyki, Techniki i Środki Obronny

Podsumowanie

Aktorzy ransomware SafePay atakują firmy i infrastrukturę krytyczną poprzez kradzież poświadczeń, phishing i wykorzystanie znanych luk w zabezpieczeniach. Utrzymują trwałość, manipulując kontami administracyjnymi, i polegają na technikach żyjących z terenu w celu lateralnego poruszania się. Atak zwykle kończy się eksfiltracją danych, po której następuje hybrydowe szyfrowanie ChaCha20-RSA i żądania okupu w kryptowalutach.

Śledztwo

Śledztwo było prowadzone wspólnie przez FBI, USSS, CISA, niemieckie Landeskriminalamt Rheinland-Pfalz oraz brytyjskie NCA i NWROCU. Ustalenia opierają się na badaniach przeprowadzonych do sierpnia 2026 roku. Od sierpnia 2024 roku aktorzy SafePay dotknęli co najmniej 600 ofiar w różnych branżach i sektorach krytycznych.

Łagodzenie

Organizacje powinny priorytetowo traktować łatanie znanych wykorzystywanych luk, szczególnie tych dotyczących urządzeń brzegowych i zapór ogniowych. Zastosowanie zasad Zero Trust, uwierzytelniania wieloskładnikowego (MFA) i silnych kontroli zarządzania tożsamością i dostępem (ICAM) jest niezbędne. Utrzymanie niezmienialnych kopii zapasowych offline i egzekwowanie segmentacji sieci może również znacznie zmniejszyć potencjalny wpływ ataków ransomware.

Reakcja

Gdy zostanie wykryta aktywność SafePay, organizacje powinny izolować skompromitowane systemy i przeprowadzić wyszukiwanie zagrożeń w celu określenia pełnego zakresu włamania. Incydenty powinny być zgłaszane odpowiednim organom ścigania, w tym FBI lub IC3. Po zawarciu umowy zastosuj strategie eksmisji, aby usunąć zagrożenie i wzmocnić dotknięte środowiska, aby zapobiec ponownemu wstępowaniu.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik uzyskał początkowy dostęp i przeprowadza wewnętrzny rekonesans w celu zidentyfikowania wartościowych kont użytkowników do ruchu lateralnego. Podążając za podręcznikiem ataku SafePay ransomware, atakujący wykonuje wyspecjalizowany skrypt PowerShell o nazwie ShareFinder.ps1 w celu mapowania udziałów sieciowych, a następnie wykorzystuje polecenie net user poprzez cmd.exe w celu enumeracji lokalnych kont użytkowników. Te konkretne działania mają na celu uruchomienie reguły wykrywania w celu sprawdzenia, czy SOC otrzymuje alert.

• Skrypt testu regresji:

  # Skrypt symulacji dla walidacji wykrycia SafePay
  
  Write-Host "[+] Uruchamianie symulacji..." -ForegroundColor Cyan
  
  # 1. Symulacja wykonania PowerShell 'ShareFinder.ps1'
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Skanowanie na potrzeby udziałów...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Wykonywanie ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Symulacja 'net user' za pomocą cmd.exe
  Write-Host "[+] Wykonywanie 'net user' za pomocą cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Polecenia symulacyjne wysłane." -ForegroundColor Green

• Polecenia czyszczenia:

  # Czyszczenie artefaktów symulacyjnych
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Sprzątanie: Usunięto $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Sprzątanie: Skrypt nie znaleziony, nic do usunięcia." -ForegroundColor Gray
  }