CISA и FBI: SafePay удари над 600 организации

На 20 октомври 2026 г. ФБР, CISA и Тайните служби на САЩ публикуваха съвместен бюлетин AA26-293A за ransomware групата SafePay. Според документа групата е компрометирала най-малко 600 организации от различни сектори на критичната инфраструктура, откакто стана активна през август 2024 г. Към бюлетина са се подписали и Landeskriminalamt Rheinland-Pfalz от Германия, британската National Crime Agency и North West Regional Organised Crime Unit.

Какво казва бюлетинът

Данните идват от текущи разследвания на ФБР, Тайните служби и германската криминална полиция, като най-новите наблюдения са от август 2026 г. Жертвите са в Северна и Южна Америка, Европа и Австралия — тоест става дума за операция, която не подбира по география, а по достъпност.

За разлика от повечето големи ransomware марки SafePay не работи с партньорски модел. Няма affiliate програма, в която външни оператори да наемат криптиращия софтуер — групата е затворена и всичко минава през собствените ѝ хора. Това до голяма степен обяснява защо броят на жертвите в публичния ѝ изнудвачески сайт изглежда скромен: там се появяват само онези, които са отказали да платят.

Схемата е класическото двойно изнудване — данните първо се изнасят навън, после се криптират. Откупът, както го описват агенциите, се иска в криптовалута и се изчислява като дял от приходите на компанията. Когато преговорите се проточат, следват телефонни обаждания до самата жертва.

The Record напомня, че сред публично известните пострадали са дистрибуторът Ingram Micro, британската софтуерна компания Microlise и Conduent — доставчик на технологии за държавни администрации, за когото изданието посочва споразумение за 80 млн. долара. Самият бюлетин не назовава жертви по име.

Как влизат: пет CVE и платен VPN

Началният достъп идва по три основни пътя: изтекли или слаби пароли, фишинг и експлоатация на уязвимости в периферните устройства. Атакуващите пускат автоматизирани скриптове срещу всичко, което е изнесено към интернет, и търсят точно тези пет пропуска:

CVE-2020-3259   Cisco ASA / FTD — четене на паметта на устройството
CVE-2023-20269  Cisco ASA / FTD — неоторизиран достъп през VPN
CVE-2023-27532  Veeam Backup & Replication — изтичане на креденшъли
CVE-2024-40711  Veeam Backup & Replication — RCE, CVSS 9.8
CVE-2024-40766  SonicWall SonicOS — неправилен контрол на достъпа

Две от петте са във Veeam, тоест в самата система за резервни копия. Това не е съвпадение — за SafePay архивите са цел, не странична щета.

Любопитен детайл: при влизането групата често използва IP адреси на Mullvad — платен VPN доставчик. Трафик от търговски VPN към вашия административен интерфейс е сигнал, който си заслужава правило в SIEM-а.

Инструментите са легитимни

След като влязат, операторите си създават нови акаунти или превземат съществуващи, после сменят паролите на реалните потребители — проста мярка, която блокира опитите за реакция отвътре.

Движението в мрежата минава през PsExec, Windows Remote Management и RDP. За картографиране на споделените ресурси се ползват ShareFinder.ps1 и SharpShares.exe. Данните се пакетират със 7-Zip и WinRAR и се изнасят през WinSCP, RClone, OneDrive или b2.exe към Backblaze B2. Самият ransomware се разнася и чрез AnyDesk и TeamViewer — софтуер, който в много организации вече е инсталиран и одобрен.

Криптирането е с ChaCha20 и RSA, пълно или частично според характеристиките на файла. Файловете получават разширение .SafePay, а бележката води жертвата към чат портал в Tor с индивидуален идентификатор.

Защо възстановяването се проваля

Преди криптирането SafePay спира услугата Volume Shadow Copy и изтрива сенчестите копия, а NAS устройствата връща към фабрични настройки. Резултатът е, че организацията открива провала на плана си за възстановяване точно в момента, в който ѝ трябва. Темата не е нова — виждали сме как отровени ъпдейти на софтуер за резервни копия превръщат защитния слой в входна точка.

Какво препоръчват агенциите

Съветите са кратки и изпълними: многофакторна автентикация и политики за управление на идентичности и достъп (ICAM); ограничаване на административните инструменти и права, за да се спре странично движение; приоритетно закърпване на VPN устройства и firewall-и. Бюлетинът съдържа и индикатори за компрометиране плюс съответствия с MITRE ATT&CK — техническата част, която екипите по сигурност могат да вкарат директно в инструментите си.

Заключение

600 жертви за две години правят SafePay една от най-активните групи през 2026 г., а списъкът с CVE-та е от 2020, 2023 и 2024 г. — нито един нулев ден. Входната врата остава същата: непокрита периферия и пароли без втори фактор. Ако сте отлагали ъпдейта на граничните си устройства, 16-годишният бъг в милиони рутери е добро напомняне колко дълго живеят подобни пропуски. Пълните технически подробности са в бюлетина на CISA и в материала на BleepingComputer.