ABD, Almanya ve İngiltere'den ortak uyarı, SafePay fidye yazılımı grubu en az 600 kurumu etkiledi ve yedekleri de hedef alıyor
FBI ve CISA'nın Alman ve İngiliz kurumlarla hazırladığı ortak bildiriye göre SafePay, Ağustos 2024'ten bu yana kritik altyapı sektörlerinden en az 600 kuruma saldırdı. Grup VPN ve güvenlik duvarı gibi uç cihazlardaki bilinen açıkları ve çalınan şifreleri kullanıyor, saldırıdan sonra kurtarmayı engellemek için yedeklerin tutulduğu NAS cihazlarını fabrika ayarlarına döndürüyor.
- 3 dk okuma
- 2 kaynak
Kısaca
- Bildiride SafePay'in ilk erişim için kullandığı beş açık listeleniyor: Cisco ASA ve FTD'deki iki açık, Veeam Backup & Replication'daki iki açık ve SonicWall'daki bir açık. Hepsinin güncellemesi uzun süredir mevcut.
- Kurumlara uç cihazları güncel tutmaları, başta VPN ve web e-posta olmak üzere mümkün olan her hizmette çok faktörlü doğrulama kullanmaları, yönetici araçlarını kısıtlamaları ve ağdan ayrı, değiştirilemeyen yedekler tutmaları öneriliyor.
ABD Federal Soruşturma Bürosu FBI, ABD siber güvenlik ajansı CISA ve ABD Gizli Servisi, Almanya’nın Rheinland-Pfalz eyalet kriminal polisi ve İngiltere’nin Ulusal Suç Ajansı NCA ile birlikte, 20 Ekim’de SafePay fidye yazılımı grubu hakkında ortak bir uyarı yayımladı. Bildiriye göre grup Ağustos 2024’ten bu yana Kuzey ve Güney Amerika, Avrupa ve Avustralya’da, birçok kritik altyapı sektöründen en az 600 kurumu etkiledi ve 2026’nın en aktif fidye yazılımı grupları arasında yer aldı. Bildirideki bilgiler, Ağustos 2026’ya kadar uzanan FBI, Gizli Servis ve Alman polisi soruşturmalarına dayanıyor.
BleepingComputer’ın aktardığına göre SafePay, birçok fidye yazılımı grubunun aksine dışarıdan iş ortağı (affiliate) kullanmayan kapalı bir grup. Grup, fidye ödemeyen kurumların verilerini kendi sızıntı sitesinde yayımlıyor. Bu yüzden gerçek kurban sayısının sızıntı sitesinde görünenden fazla olduğu tahmin ediliyor.
İlk erişim yöntemleri
Bildiriye göre SafePay ağlara açığa çıkmış şifrelerle, parola deneme saldırılarıyla ve VPN erişimlerini kötüye kullanarak giriyor. Saldırganlar bu sırada Mullvad adlı VPN hizmetinin IP adreslerini kullanıyor. Grubun kullandığı bilinen açıklar şunlar:
- CVE-2020-3259 ve CVE-2023-20269: Cisco’nun güvenlik duvarı ve VPN ürünlerindeki (ASA ve FTD) açıklar. Saldırganlar oltalamayla ele geçirilmiş hesaplarla bu açıkları kullanıyor.
- CVE-2023-27532 ve CVE-2024-40711: Veeam Backup & Replication yedekleme yazılımındaki açıklar.
- CVE-2024-40766: SonicWall güvenlik duvarlarındaki bir erişim denetimi açığı.
Son üç açık, internete açık sistemlere karşı otomatik betiklerle taranıp kullanılıyor.
Ağ içindeki hareketler
Saldırganlar ağa girdikten sonra mevcut hesaplara yönetici yetkisi veriyor ya da yeni hesaplar açıyor. Sistemlerde zaten bulunan PsExec, WinRM ve uzak masaüstü (RDP) gibi araçlarla ağ içinde ilerliyorlar. ShareFinder ve SharpShares gibi araçlarla değerli dosyaların bulunduğu paylaşım klasörlerini arıyor, güvenlik yazılımlarını devre dışı bırakıyor, bazı durumlarda kullanıcıların şifrelerini değiştirip girişlerini engelliyorlar. Şifreleri ele geçirmek için Mimikatz, kalıcı erişim için ScreenConnect, AnyDesk ve TeamViewer gibi uzaktan erişim araçları kullanılıyor.
Veriler WinRAR, 7-Zip gibi araçlarla paketlenip WinSCP, RClone, FileZilla, OneDrive ya da Backblaze üzerinden dışarı çıkarılıyor. Ardından dosyalar şifreleniyor ve .SafePay uzantısı alıyor. Fidye notu genellikle masaüstüne bırakılıyor ve kurbanı Tor ağındaki bir sohbet sayfasına yönlendiriyor. Bildiriye göre grup baskıyı artırmak için kurbanları telefonla da arıyor ve fidyeyi genellikle şirket gelirinin bir oranı olarak kripto para cinsinden istiyor.
Yedekler de hedefte
Bildirideki en dikkat çekici ayrıntılardan biri, SafePay’in kurbanın kendi başına kurtulmasını engellemeye çalışması. Saldırganlar Windows’un gölge kopya hizmetini durduruyor ve yedeklerin tutulduğu ağa bağlı depolama (NAS) cihazlarını fabrika ayarlarına döndürüyor. Bazı vakalarda ağa bağlı bütün yedekleri sildiler. Yani yedekler aynı ağda ve aynı yönetici hesaplarıyla erişilebilir durumdaysa, şifrelemeyle birlikte yedekler de kaybedilebiliyor.
Önerilen önlemler
Kurumlar ilk olarak bildirideki beş açığın kendi sistemlerinde kapalı olduğunu doğrulamalı. Cisco ASA ve FTD, Veeam Backup & Replication ve SonicWall cihazları kullanılıyorsa güncellemelerin yapıldığından ve bu cihazlardaki yerel hesapların şifrelerinin değiştirildiğinden emin olunmalı. Bildiriyi hazırlayan kurumların önerileri şöyle:
- Güvenlik duvarları, VPN’ler ve diğer uç cihazlar başta olmak üzere sistemleri düzenli güncellemek
- Mümkün olan her hizmette, özellikle VPN, web e-posta ve kritik sistemlere erişen hesaplarda çok faktörlü doğrulama zorunlu tutmak
- Yönetici araçlarını ve yetkilerini yalnızca ihtiyacı olan kullanıcılarla sınırlamak
- Sıfır güven (Zero Trust) ilkelerini uygulamak
- Ağdan ayrı (çevrim dışı), şifreli ve değiştirilemeyen (immutable) yedekler tutmak, geri yükleme sürecini düzenli olarak denemek
Bildiride yer alan IP adresleri, dosya adları ve diğer saldırı izleri CISA’nın sayfasında indirilebilir biçimde yayımlandı. Bildiri, fidye ödemenin dosyaların geri alınmasını garanti etmediğini de hatırlatıyor ve saldırıya uğrayan kurumları olayı yetkililere bildirmeye çağırıyor.