Selon une nouvelle alerte fédérale détaillant les attaques du groupe contre les réseaux d’entreprise, le rançongiciel SafePay a touché au moins 600 organisations dans plusieurs secteurs d’infrastructures critiques depuis août 2024.
Le FBI, la Cybersecurity and Infrastructure Security Agency (CISA), les services secrets américains et leurs partenaires internationaux ont publié le bulletin conjoint de cybersécurité le 20 octobre pour détailler la menace. Les autorités décrivent SafePay comme l’un des groupes de rançongiciels les plus actifs, dont les opérations touchent des entreprises et des infrastructures critiques sur plusieurs continents.
L’alerte met en évidence une réalité préoccupante pour les équipes de sécurité : les attaquants peuvent exploiter des failles de sécurité bien connues pour compromettre les réseaux d’entreprise, dérober des informations sensibles et mettre à mal les systèmes dont les organisations dépendent pour assurer leur reprise d’activité.
Comment le rançongiciel SafePay attaque les organisations
Selon le bulletin, SafePay a touché des organisations en Amérique du Nord, en Amérique du Sud, en Europe et en Australie. L’alerte s’appuie sur des enquêtes menées par les autorités américaines et leurs partenaires internationaux, notamment des agences allemandes et britanniques.
Les enquêteurs ont identifié plusieurs méthodes d’accès initial, notamment des identifiants exposés, des attaques par force brute contre les mots de passe, des comptes compromis obtenus par hameçonnage et l’exploitation de vulnérabilités dans des VPN et d’autres systèmes exposés à Internet.
Les enquêteurs ont identifié une activité de SafePay associée à des adresses IP liées à Mullvad VPN. Ils ont également documenté l’utilisation de comptes compromis obtenus par hameçonnage pour accéder aux réseaux des victimes. Ces conclusions n’indiquent pas que Mullvad lui-même ait été compromis.
Le bulletin recense cinq vulnérabilités liées aux activités d’accès initial de SafePay. Deux concernent les produits Cisco ASA et FTD et sont évoquées parallèlement à l’utilisation, par le groupe, de comptes compromis et d’accès VPN. Les enquêteurs ont également observé des attaquants recourir à des scripts automatisés pour exploiter trois autres vulnérabilités touchant Veeam Backup & Replication et SonicWall SonicOS. Des détails techniques supplémentaires figurent dans le bulletin complet consacré à SafePay.
CVE | Produit concerné |
|---|---|
| CVE-2020-3259 | Cisco Adaptive Security Appliance (ASA) et Firepower Threat Defense (FTD) |
| CVE-2023-20269 | Cisco ASA et FTD |
| CVE-2023-27532 | Veeam Backup & Replication |
| CVE-2024-40711 | Veeam Backup & Replication |
| CVE-2024-40766 | SonicWall SonicOS |
Ces vulnérabilités font partie des failles mises en évidence dans le bulletin, qui ne constitue pas une liste exhaustive des vecteurs d’attaque potentiels de SafePay. Les équipes de sécurité doivent vérifier les déploiements concernés au regard des avis des fournisseurs et appliquer les mises à jour de sécurité appropriées.
Ces méthodes d’attaque reflètent des faiblesses plus générales de la sécurité des accès à distance en entreprise. Comme l’a précédemment signalé eSecurityPlanet, les services VPN exposés, les identifiants faibles et des contrôles d’accès insuffisants peuvent offrir des opportunités aux opérateurs de rançongiciels.
Une fois présents sur un réseau, les opérateurs de SafePay ont utilisé des comptes compromis et des outils d’administration légitimes pour obtenir des accès supplémentaires, se déplacer latéralement, dérober des informations sensibles et perturber les systèmes de reprise d’activité.
Le groupe applique une stratégie de double extorsion. Les attaquants dérobent les données avant de chiffrer les fichiers, puis menacent de publier les informations si les victimes refusent de payer. Selon les agences, les opérateurs de SafePay ont supprimé les clichés instantanés Windows et réinitialisé des périphériques de stockage en réseau contenant des sauvegardes, ce qui pourrait compliquer la récupération des organisations touchées.
L’alerte s’appuie sur des recherches antérieures consacrées aux opérations du groupe. En janvier, eSecurityPlanet a rendu compte de l’analyse par Flare des données de fuite de SafePay, qui mettait en évidence le ciblage des petites et moyennes entreprises par le groupe.
Le nouveau bulletin fédéral offre une vision plus large des opérations de SafePay, avec notamment les conclusions des enquêtes, les techniques d’attaque connues, les indicateurs de compromission et les mesures défensives recommandées.
Ce que les équipes de sécurité doivent faire pour prévenir les attaques de SafePay
Le FBI et la CISA recommandent aux organisations de donner la priorité à l’application des correctifs sur les systèmes vulnérables, au renforcement de la gestion des identités et des accès et à la limitation des privilèges d’administration.
Les équipes de sécurité doivent se concentrer sur trois mesures mises en avant dans l’annonce fédérale :
- Corriger les systèmes vulnérables : mettre régulièrement à jour les VPN, les pare-feu et les autres appareils exposés à Internet, en donnant la priorité à ceux qui font l’objet d’exploits connus et actifs.
- Renforcer la sécurité des comptes : mettre en place l’authentification multifacteur ainsi que des politiques de gestion des identités, des identifiants et des accès. Examiner les comptes privilégiés et enquêter sur les tentatives d’authentification suspectes.
- Limiter les privilèges d’administration : limiter les outils et les autorisations d’administration au personnel qui en a besoin, afin de réduire les possibilités pour les attaquants de se déplacer latéralement ou de désactiver les contrôles de sécurité.
Au-delà de ces recommandations, les attaques documentées de SafePay contre les infrastructures de reprise d’activité font de la protection des sauvegardes une autre précaution importante.
Les organisations doivent conserver des copies isolées ou immuables des données critiques, restreindre l’accès aux systèmes de gestion des sauvegardes et tester régulièrement les procédures de restauration. Ces pratiques peuvent limiter les dégâts si les attaquants suppriment les clichés instantanés Windows ou réinitialisent des périphériques de stockage en réseau contenant des sauvegardes.
Des recommandations supplémentaires sont disponibles dans le guide de protection des sauvegardes contre les rançongiciels.
Les équipes de sécurité doivent également surveiller les comptes non autorisés, les activités suspectes de gestion à distance et les transferts de données inattendus.
Ces précautions sont particulièrement importantes, car les attaquants de SafePay ont utilisé des utilitaires d’administration légitimes après avoir obtenu un accès, ce qui peut rendre les activités malveillantes plus difficiles à distinguer des opérations informatiques habituelles.
Le bulletin fédéral inclut des indicateurs de compromission et des techniques d’attaque que les défenseurs peuvent utiliser pour améliorer les règles de détection et enquêter sur les systèmes potentiellement touchés.
Les organisations doivent également se préparer à des attaques combinant le vol de données et le chiffrement. Restaurer les fichiers à partir de sauvegardes peut contribuer à rétablir les opérations, mais cela n’élimine pas le risque que les informations dérobées soient exposées.
Pour les organisations qui gèrent des infrastructures critiques ou des données clients sensibles, la priorité immédiate consiste à identifier les points d’entrée exposés, à corriger les vulnérabilités connues, à restreindre les accès d’administration superflus et à vérifier que les systèmes de reprise d’activité ne peuvent pas être facilement désactivés.
Avec au moins 600 organisations touchées depuis août 2024, le bulletin consacré à SafePay montre comment des faiblesses de sécurité bien connues peuvent contribuer à une campagne de rançongiciel de grande ampleur. Fermer les voies d’accès vulnérables, limiter les accès privilégiés et protéger les sauvegardes restent des mesures essentielles pour empêcher qu’un simple compte compromis ne se transforme en crise touchant toute l’organisation.
À lire également : pour en savoir plus sur la défense contre les menaces similaires, consultez le guide de prévention des rançongiciels pour découvrir des mesures concrètes permettant de protéger les réseaux, de sécuriser les sauvegardes et de limiter les dégâts d’une attaque.