Хакерская группа SafePay скомпрометировала более 600 организаций критической инфраструктуры

Вымогательская группировка SafePay с августа 2024 года скомпрометировала не менее 600 организаций из секторов критической инфраструктуры. О масштабах кампании предупредили американские CISA, ФБР и Секретная служба США, а также правоохранительные органы Германии и Великобритании. В совместном документе ведомства описали способы проникновения в сети, используемые уязвимости и методы уничтожения резервных копий.

Жертвы в Америке, Европе и Австралии

Пострадали компании в Северной и Южной Америке, Европе и Австралии. SafePay входит в число самых активных вымогательских групп 2026 года. Цифра 600 обозначает нижнюю границу подтверждённого масштаба, поскольку на сайте утечек преступники публикуют данные преимущественно о тех, кто отказался платить.

Первоначальный доступ к сетям группировка получает несколькими путями:

• украденные или подобранные пароли;
• фишинг;
• эксплуатация уязвимостей;
• подключение через VPN.

В предупреждении отдельно названы IP-адреса сервиса Mullvad, с которых наблюдались подключения, связанные с группировкой. Это не означает взлом сервиса, но адреса помогают находить подозрительные сессии.

Удар по периметру

Злоумышленники применяют автоматизированные скрипты для поиска ошибок в VPN-шлюзах, межсетевых экранах и системах резервного копирования. Названы Cisco ASA и Firepower Threat Defense, Veeam Backup & Replication и SonicWall SonicOS, а среди эксплуатируемых брешей перечислены:

• CVE-2020-3259 и CVE-2023-20269 в продуктах Cisco;
• CVE-2023-27532 и CVE-2024-40711 в Veeam Backup & Replication;
• CVE-2024-40766 в SonicWall SonicOS.

Россия среди названных регионов не значится, но перечисленные продукты применяются во многих российских компаниях. После ухода ряда западных вендоров получить для них обновления сложнее, поэтому устаревшие версии могут оставаться на периметре без исправлений. Интернет-доступный шлюз становится входной точкой даже тогда, когда рабочие станции сотрудников защищены.

Движение по сети под видом работы администратора

Получив доступ, операторы захватывают существующие учётные записи или создают новые, в том числе с расширенными полномочиями. Затем они ищут ценные документы, пытаются отключить защитные средства и перемещаются между компьютерами штатными административными инструментами. Для перемещения и вывода данных SafePay задействует:

• программы удалённого доступа, среди которых AnyDesk и TeamViewer;
• сжатие файлов перед шифрованием;
• средства передачи файлов;
• облачные сервисы для выгрузки данных.

Эти действия могут напоминать обычную работу системного администратора, поэтому специалистам мало знать о наличии программы. Нужно оценивать, кто её запустил, с какого устройства и куда ушли данные.

Двойное вымогательство и атака на резервные копии

Сначала операторы похищают конфиденциальные данные, затем шифруют компьютеры и серверы. Отказавшимся платить грозят публикацией документов на сайте утечек, а иногда звонят представителям компании. Размер выкупа может рассчитываться как доля доходов организации.

По данным CISA и партнёров, SafePay может удалять теневые копии файлов Windows и сбрасывать сетевые хранилища с резервными данными. Для российских компаний, где Veeam нередко отвечает за резервное копирование, взлом сервера бэкапов грозит потерей и рабочих данных, и возможности их вернуть. Копии нужно защищать от учётных записей повседневных администраторов, хранить изолированно и проверять тестовыми восстановлениями.

CISA предупредила, что выплата выкупа не гарантирует получения рабочего инструмента расшифровки и не отменяет риск публикации похищенных документов.

Закрытая группа без партнёров

SafePay появилась в августе 2024 года и, по оценке властей, работает без сети аффилированных партнёров. Внимание исследователей к ней выросло после ослабления BlackCat (ALPHV) и LockBit. В материалах расследований отмечали сходство отдельных фрагментов кода с LockBit, но оно не доказывает, что за двумя операциями стоят одни и те же люди. Предупреждение опирается на расследования ФБР, Секретной службы США и полиции земли Рейнланд-Пфальц, а описанные тактики относятся к периоду с ноября 2024 года по август 2026 года.

Ведомства рекомендовали обновить VPN-шлюзы, межсетевые экраны и другие устройства на периметре, сверив версии с каталогом известных эксплуатируемых уязвимостей CISA. Многофакторную аутентификацию следует включить для VPN, удалённого доступа и привилегированных пользователей. Признаками компрометации могут служить:

• массовые неудачные входы;
• необычные подключения с внешних адресов;
• создание новых привилегированных учётных записей;
• запуск инструментов удалённого администрирования;
• попытки удалить резервные копии.

При подозрении на взлом узлы нужно изолировать, сохранить журналы событий и оценить объём похищенных сведений. Восстановление стоит начинать после устранения первоначального доступа, иначе повторное заражение сведёт усилия на нет.

Эксперты CISOCLUB отметили, что главная угроза SafePay заключается в сочетании кражи данных, легитимных административных инструментов и удара по резервным копиям. Периметровые устройства остаются самым уязвимым звеном, потому что их обновляют реже рабочих станций, а один скомпрометированный шлюз открывает дорогу во всю сеть. Копии нужно хранить изолированно и регулярно проверять восстановление, иначе в момент атаки выяснится, что вернуть нечего.

Выплата выкупа ничего не гарантирует, а потому решение о ней нельзя принимать раньше, чем оценён масштаб утечки. Компаниям, которым сложно оперативно получать патчи от зарубежных вендоров, стоит закрыть доступ к управлению устройствами из интернета.

Ранее сообщалось, что русскоязычная хакерская группировка APT28 провела атаки на три организации в двух странах НАТО. Среди пострадавших оказались производитель военных кораблей, предприятие по выпуску двигателей для боевой авиации и правоохранительное ведомство. Специалисты Symantec Threat Hunter Team установили, что злоумышленники применяли бэкдор HOOKEDGE для проникновения в системы, похищали учётные данные и запускали ранее не описанный загрузчик ld.exe, способный выполнять вредоносный код непосредственно в оперативной памяти.