Группировка SafePay крадёт данные и шифрует файлы жертв
Группировка SafePay активна с августа 2024 года. Её деятельность затронула не менее 600 жертв в секторах критической инфраструктуры и бизнеса в Северной и Южной Америке, Европе и Австралии.
Для первоначального доступа SafePay использует раскрытые или скомпрометированные учётные данные, распыление паролей, перебор паролей, фишинг, злоупотребление учётными записями VPN, а также эксплуатацию уязвимостей в системах, доступных из интернета, и периметровых устройствах. Участники группы применяли скомпрометированные профили и инфраструктуру Mullvad VPN для доступа к сетям жертв.
После получения доступа группа закрепляется, повышая привилегии существующих учётных записей или создавая новые с правами администратора. Для выполнения команд и перемещения внутри сети SafePay использует встроенные инструменты Windows и легитимные приложения, включая PsExec, службу удалённого управления Windows, протокол удалённого рабочего стола и программы для удалённого мониторинга и управления. Скрипт ShareFinder.ps1 и утилита SharpShares.exe помогают перечислять сетевые общие ресурсы и выявлять ценные системы и файлы.
Участники SafePay обходят контроль учётных записей пользователей (User Account Control), имитируют токены доступа, отключают средства защиты, меняют пароли пользователей и применяют упаковку или защиту на основе виртуализации, чтобы скрыть вредоносный код. Для сбора и передачи данных группа использует FileZilla, 7-Zip, RClone, WinRAR, WinSCP и OneDrive. Перед передачей данные сжимают, а затем отправляют в учётные записи или облачные хранилища, контролируемые злоумышленниками. Для передачи программ-вымогателей и других инструментов SafePay может устанавливать AnyDesk и TeamViewer.
Чтобы помешать восстановлению данных, группа останавливает службу копирования тома (Volume Shadow Copy Service) и сбрасывает сетевые устройства хранения данных с резервными копиями. SafePay шифрует файлы по гибридной схеме на основе ChaCha20 и RSA. В зависимости от типа и размера файла группа применяет полное или частичное шифрование. Зашифрованные файлы обычно получают расширение .SafePay.
Жертвы получают записки с требованием выкупа и указанием перейти на чат-портал в сети Tor. Если выкуп не выплачен, украденные данные могут опубликовать на сайте утечек SafePay. После завершения шифрования вредоносное ПО может удалить себя.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
