Šta se desilo?

CISA, FBI, američka Tajna služba i partneri iz Nemačke i Velike Britanije objavili su upozorenje AA26-293A o SafePay ransomware grupi. Navode najmanje 600 zasebnih žrtava iz više sektora kritične infrastrukture. Izveštaj obuhvata aktivnost od avgusta 2024. i nalaze istraga zaključno sa avgustom 2026.

Koga pogađa?

Pogođene su organizacije u Severnoj i Južnoj Americi, Evropi i Australiji. Rizik povećavaju kompromitovani nalozi, nezaštićen udaljeni pristup i nezakrpljeni sistemi dostupni sa interneta. Izveštaj ne potvrđuje konkretnu žrtvu u Srbiji.

Kako se zaštititi?

  • Primenite zakrpe za poznate eksploatisane ranjivosti, uz prioritet za sisteme dostupne sa interneta.
  • Uključite MFA za VPN, elektronsku poštu i privilegovane korisničke naloge.
  • Ograničite administratorske alate i privilegije na neophodne korisnike i zadatke.
  • Čuvajte odvojene offline ili neizmenjive rezervne kopije i redovno testirajte vraćanje podataka.
  • Zaštitite backup administraciju i pratite pokušaje brisanja kopija ili resetovanja NAS uređaja.
  • Pratite nove naloge, neuobičajene udaljene veze i isključivanje bezbednosnih alata.
  • Kod incidenta izolujte pogođene sisteme, sačuvajte evidenciju i uključite tim za odgovor na incidente.

Tehnički detalji

Agencije navode eksploataciju CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 i CVE-2024-40766. Pominju i ukradene kredencijale, pogađanje lozinki i phishing. Mullvad se pojavljuje kao VPN infrastruktura koju napadači koriste za pristup; to nije tvrdnja o ranjivosti Mullvad proizvoda. Posle prodora napadači zloupotrebljavaju legitimne alate, kradu podatke, ometaju oporavak i šifruju datoteke.

Zašto je važno?

Krađa podataka i pretnja njihovim objavljivanjem predstavljaju dodatni pritisak pored šifrovanja. Backup može pomoći oporavku, ali ne poništava već izvršenu eksfiltraciju. Brisanje kopija je postupak napadača, a ne zaštitna mera.

Preporuka Sajber Radara

Proverite pristupne naloge, izloženost sistema i stvarnu mogućnost oporavka. Poklapanje IP adrese ili prisustvo legitimnog alata nije samo po sebi dokaz infekcije; nalaz potvrdite analizom aktivnosti. Plaćanje otkupnine ne garantuje oporavak.