FBIと国際的なパートナー機関は、SafePayランサムウェアの攻撃者が、盗んだパスワードや脆弱なシステム、正規の管理ツールを悪用して少なくとも600の組織に侵入し、データを窃取してファイルを暗号化していた手口を明らかにしました。
2026年10月20日に公表された共同アドバイザリーは、北米、南米、欧州、オーストラリアの企業や重要インフラを狙った攻撃について説明しています。
各機関によると、SafePayは2024年8月から活動しており、2026年に最も活発だったランサムウェアグループの一つです。
この警告は、FBI、CISA、米国シークレットサービス、ドイツと英国の法執行機関による調査結果をまとめたものです。調査対象は2026年8月までに確認された活動です。
SafePayの攻撃者は、流出した認証情報、フィッシング、パスワードのブルートフォース攻撃、侵害された仮想プライベートネットワーク（VPN）のアクセス権を利用して侵入します。調査では、侵入中にMullvad VPNのアドレスからの接続も確認されました。
アドバイザリーは、悪用された5件の脆弱性として、CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766を挙げています。
攻撃者は、インターネットに公開されたシステムに対して自動化スクリプトを使用し、情報漏えい、認証、デシリアライゼーション、アクセス制御に関する弱点を突いていました。
ネットワークに侵入すると、攻撃者は既存のアカウントを乗っ取るか、管理者権限を持つ新しいアカウントを作成します。侵害した環境内で活動する際には、「living off the land」と呼ばれる手法で正規のソフトウェアを多用します。
PsExec、Windows Remote Management、リモートデスクトッププロトコル（RDP）は、コマンドの実行やシステム間の移動に使われます。
ShareFinder.ps1とSharpShares.exeは、価値の高いファイルを含むネットワーク共有を特定するために使われ、Mimikatzは認証情報の窃取を支援します。
調査では、権限を昇格させるために、ユーザーアカウント制御（UAC）のバイパスやトークンの偽装も確認されました。
攻撃者は、さらに拡散する前にセキュリティソフトを無効化するのが一般的です。一部のインシデントでは、ユーザーのパスワードを変更し、正規のユーザーがサインインできないようにしていました。
SafePayは、暗号化を実行する前にファイルを窃取します。攻撃者は7-ZipやWinRARなどのツールでデータをまとめ、WinSCPやRCloneなどのユーティリティで転送します。一部のインシデントでは、OneDriveやBackblaze B2のストレージが使われました。
AnyDesk とTeamViewerも、ランサムウェアなどのソフトウェアを被害システムに持ち込むために使われました。ただし、これらのアプリケーションは正規の製品であり、存在するだけで悪意ある活動があったとは断定できません。
復旧を妨げるため、攻撃者はボリュームシャドウコピーサービスを停止し、バックアップを保存しているネットワークストレージを工場出荷時の状態にリセットします。
このランサムウェアは、ChaCha20暗号とRSA公開鍵暗号を組み合わせ、暗号化したファイルに「.SafePay」拡張子を付加します。ファイルのサイズや種類に応じて、全体または部分的な暗号化を行います。
脅迫状は、被害者識別子を使ってTorのチャットポータルにアクセスするよう被害者に指示しています。身代金の要求額は通常、企業の収益の一部に相当し、暗号資産での支払いを求めます。
被害者が支払いを拒否すると、攻撃者は圧力をかける電話をかけ、窃取した情報をリークサイトで公開するとも、CISAは述べています。
各機関は、公開システムへのパッチ適用、多要素認証の必須化、管理者アクセスの制限、ネットワークの分離を推奨しています。組織は、オフラインで暗号化された変更不可のバックアップを維持し、定期的にリストアをテストすべきです。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/safepay-breaches-600-organizations/
