Die SafePay-Ransomware hat laut einer neuen Warnung der US-Bundesbehörden seit August 2024 mindestens 600 Organisationen in mehreren Bereichen kritischer Infrastruktur betroffen. Die Warnung enthält Einzelheiten zu den Angriffen der Gruppe auf Unternehmensnetzwerke.
Das FBI, die Cybersecurity and Infrastructure Security Agency (CISA), der US Secret Service und internationale Partner veröffentlichten eine gemeinsame Cybersicherheitswarnung am 20. Okt., in der sie vor der Bedrohung warnen. Die Behörden beschreiben SafePay als eine der aktivsten Ransomware-Gruppen, deren Aktivitäten Unternehmen und kritische Infrastrukturen auf mehreren Kontinenten betreffen.
Die Warnung macht eine beunruhigende Realität für Sicherheitsteams deutlich: Angreifer können bekannte Sicherheitslücken ausnutzen, um Unternehmensnetzwerke zu kompromittieren, vertrauliche Informationen zu stehlen und die Systeme zu beeinträchtigen, auf die Organisationen für ihre Wiederherstellung angewiesen sind.
So greift die SafePay-Ransomware Organisationen an
Laut der Warnung hat SafePay Organisationen in Nordamerika, Südamerika, Europa und Australien betroffen. Die Warnung stützt sich auf Untersuchungen von US-Behörden und internationalen Partnern, darunter Behörden in Deutschland und dem Vereinigten Königreich.
Die Ermittler identifizierten mehrere Methoden für den Erstzugriff, darunter offengelegte Zugangsdaten, Brute-Force-Angriffe auf Passwörter, durch Phishing erlangte kompromittierte Konten sowie das Ausnutzen von Schwachstellen in VPNs und anderen aus dem Internet erreichbaren Systemen.
Die Ermittler stellten Aktivitäten von SafePay fest, die mit IP-Adressen in Verbindung standen, die Mullvad VPN zugeordnet sind. Außerdem dokumentierten sie die Verwendung kompromittierter, durch Phishing erlangter Konten für den Zugriff auf Netzwerke von Opfern. Die Erkenntnisse deuten nicht darauf hin, dass Mullvad selbst kompromittiert wurde.
In der Warnung werden fünf Schwachstellen genannt, die mit den Aktivitäten von SafePay beim Erstzugriff in Verbindung stehen. Zwei davon betreffen Cisco-ASA- und FTD-Produkte und werden im Zusammenhang mit der Nutzung kompromittierter Konten und VPN-Zugängen durch die Gruppe erörtert. Die Ermittler beobachteten außerdem, wie Angreifer automatisierte Skripte nutzten, um drei weitere Schwachstellen in Veeam Backup & Replication und SonicWall SonicOS auszunutzen. Weitere technische Details finden sich in der vollständigen SafePay-Warnung von CISA.
CVE | Betroffenes Produkt |
|---|---|
| CVE-2020-3259 | Cisco Adaptive Security Appliance (ASA) und Firepower Threat Defense (FTD) |
| CVE-2023-20269 | Cisco ASA und FTD |
| CVE-2023-27532 | Veeam Backup & Replication |
| CVE-2024-40711 | Veeam Backup & Replication |
| CVE-2024-40766 | SonicWall SonicOS |
Diese Schwachstellen gehören zu den in der Warnung hervorgehobenen Sicherheitslücken, stellen jedoch keine vollständige Liste potenzieller Angriffswege von SafePay dar. Sicherheitsteams sollten betroffene Bereitstellungen anhand der Hinweise der Hersteller überprüfen und die entsprechenden Sicherheitsupdates installieren.
Diese Angriffsmethoden verdeutlichen umfassendere Schwächen bei der Sicherheit des Fernzugriffs in Unternehmen. Wie eSecurityPlanet bereits berichtete, können offengelegte VPN-Dienste, schwache Zugangsdaten und unzureichende Zugriffskontrollen Ransomware-Betreibern Angriffsmöglichkeiten eröffnen.
Nach dem Eindringen in ein Netzwerk haben SafePay-Betreiber kompromittierte Konten und legitime Administrationswerkzeuge genutzt, um zusätzlichen Zugriff zu erlangen, sich lateral auszubreiten, vertrauliche Informationen zu stehlen und Systeme zur Wiederherstellung zu beeinträchtigen.
Die Gruppe verfolgt eine Strategie der doppelten Erpressung. Angreifer stehlen Daten, bevor sie Dateien verschlüsseln, und drohen anschließend mit der Veröffentlichung der Informationen, wenn die Opfer nicht zahlen. Den Behörden zufolge haben SafePay-Betreiber Windows-Schattenkopien gelöscht und an das Netzwerk angeschlossene Speichergeräte mit Backups zurückgesetzt, was die Wiederherstellung für betroffene Organisationen möglicherweise erschwert.
Die Warnung baut auf früheren Untersuchungen zu den Aktivitäten der Gruppe auf. Im Januar berichtete eSecurityPlanet über Flare's Analyse der von SafePay veröffentlichten Leaks, die den Fokus der Gruppe auf kleine und mittelgroße Unternehmen hervorhob.
Die neue Warnung der US-Bundesbehörden zeichnet ein umfassenderes Bild der Aktivitäten von SafePay, einschließlich Untersuchungsergebnissen, bekannten Angriffstechniken, Indikatoren für eine Kompromittierung und empfohlenen Schutzmaßnahmen.
Was Sicherheitsteams tun sollten, um SafePay-Angriffe zu verhindern
FBI und CISA empfehlen Organisationen, der Behebung von Schwachstellen, der Stärkung von Identitäts- und Zugriffsverwaltung sowie der Einschränkung administrativer Berechtigungen Priorität einzuräumen.
Sicherheitsteams sollten sich auf drei in der Mitteilung der US-Bundesbehörden hervorgehobene Maßnahmen konzentrieren:
- Verwundbare Systeme patchen: VPNs, Firewalls und andere aus dem Internet erreichbare Geräte regelmäßig aktualisieren und dabei solche mit bekannten aktiven Exploits priorisieren.
- Kontosicherheit stärken: Multi-Faktor-Authentifizierung sowie Richtlinien für Identitäts-, Anmeldedaten- und Zugriffsverwaltung implementieren. Berechtigungen von privilegierten Konten überprüfen und verdächtige Authentifizierungsversuche untersuchen.
- Administrative Berechtigungen einschränken: Administrationswerkzeuge und -berechtigungen auf die Personen beschränken, die sie benötigen, um Angreifern weniger Möglichkeiten zur lateralen Ausbreitung oder zur Deaktivierung von Sicherheitskontrollen zu geben.
Über diese Empfehlungen hinaus machen die dokumentierten Angriffe von SafePay auf die Infrastruktur zur Wiederherstellung den Schutz von Backups zu einer weiteren wichtigen Vorsichtsmaßnahme.
Organisationen sollten isolierte oder unveränderliche Kopien kritischer Daten vorhalten, den Zugriff auf Systeme zur Backup-Verwaltung beschränken und die Wiederherstellungsverfahren regelmäßig testen. Diese Maßnahmen können den Schaden begrenzen, wenn Angreifer Windows-Schattenkopien löschen oder an das Netzwerk angeschlossene Speichergeräte mit Backups zurücksetzen.
Weitere Hinweise finden Sie im Leitfaden zum Schutz von Backups vor Ransomware.
Sicherheitsteams sollten außerdem auf nicht autorisierte Konten, verdächtige Aktivitäten bei der Fernverwaltung und unerwartete Datenübertragungen achten.
Diese Vorsichtsmaßnahmen sind besonders wichtig, da SafePay-Angreifer nach dem Zugriff legitime Administrationswerkzeuge verwendet haben, wodurch sich bösartige Aktivitäten möglicherweise schwerer von routinemäßigen IT-Abläufen unterscheiden lassen.
Die Warnung der US-Bundesbehörden enthält Indikatoren für eine Kompromittierung und Angriffstechniken, die Verteidiger zur Verbesserung von Erkennungsregeln und zur Untersuchung potenziell betroffener Systeme nutzen können.
Organisationen sollten sich außerdem auf Angriffe vorbereiten, die Datendiebstahl mit Verschlüsselung verbinden. Die Wiederherstellung von Dateien aus Backups kann dabei helfen, den Betrieb wieder aufzunehmen, beseitigt jedoch nicht das Risiko, dass gestohlene Informationen offengelegt werden.
Für Organisationen, die kritische Infrastrukturen oder vertrauliche Kundendaten verwalten, besteht die unmittelbare Priorität darin, exponierte Eintrittspunkte zu identifizieren, bekannte Schwachstellen zu beheben, unnötige administrative Zugriffe einzuschränken und sicherzustellen, dass Systeme zur Wiederherstellung nicht einfach deaktiviert werden können.
Da seit August 2024 mindestens 600 Organisationen betroffen sind, zeigt die SafePay-Warnung, wie bekannte Sicherheitslücken zu einer weitreichenden Ransomware-Kampagne beitragen können. Das Schließen verwundbarer Zugangswege, die Beschränkung privilegierter Zugriffe und der Schutz von Backups bleiben entscheidende Schritte, um zu verhindern, dass ein einziges kompromittiertes Konto zu einer organisationsweiten Krise wird.
Auch lesenswert: Für weitere Informationen zum Schutz vor ähnlichen Bedrohungen lesen Sie den Leitfaden zur Ransomware-Prävention von eSecurityPlanet mit praktischen Schritten zum Schutz von Netzwerken, zur Absicherung von Backups und zur Begrenzung des Schadens durch einen Angriff.