CISA、SafePayランサムウェアが600以上の組織に被害を与え、バックアップシステムも破壊していると警告

CISA(米サイバーセキュリティ・インフラストラクチャセキュリティ庁)は、SafePayランサムウェアの攻撃グループが、複数の重要インフラ分野にわたり少なくとも600の組織を侵害したと警告しました。攻撃者はデータの窃取と暗号化に加え、復旧を妨げるためにバックアップシステムを意図的に攻撃しています。

2026年10月20日に公表された共同アドバイザリーによると、SafePayは2024年8月以降、北米、南米、欧州、オーストラリアで活動してきました。

このアドバイザリーはFBI、米国シークレットサービス、ドイツおよび英国の法執行機関と共同で発表されたもので、2026年8月までに集めた調査結果が盛り込まれています。

調査では、Mullvad VPNのアドレスからの接続のほか、侵害されたアカウントプロファイルの悪用や、自動化されたエクスプロイトスクリプトの使用も確認されました。

アドバイザリーは、悪用された5件の脆弱性としてCVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766を挙げています。

Vulnerabilityassessment service

これらの脆弱性は、情報漏えい、認証の不備、安全でないデシリアライズ、不適切なアクセス制御など多岐にわたります。

CVE-2024-40711は、信頼できないデータのデシリアライズを通じて、認証なしでのリモートコード実行を可能にします。CVSSスコアは9.8で、深刻度は「緊急」です。

CVE-2024-40766はSonicWall SonicOSの管理アクセスに影響します。不正なリソースへのアクセスを許す可能性があり、特定の条件下ではファイアウォールがクラッシュすることもあります。

侵入した攻撃者は、アカウントを新規作成するか、既存のアカウントを通じて管理者権限を取得し、永続性を確保します。

正規の管理ツールを使うため、不正な活動が通常の業務運用に紛れ込みやすくなっています。

コマンドの実行や横展開(ラテラルムーブメント)には、PsExec、Windows Remote Management、Remote Desktop Protocolが使われます。

ShareFinder.ps1とSharpShares.exeはネットワーク共有を列挙するツールです。攻撃者はこれらを使い、情報の持ち出しや暗号化の前に価値の高い情報を見つけ出します。

CISAによると、SafePayの攻撃者は、流出した認証情報、フィッシング、ブルートフォース攻撃、インターネットに公開された脆弱なシステムを通じて侵入します。

SafePayランサムウェア攻撃

調査では、権限昇格のためにユーザーアカウント制御(UAC)のバイパスやトークンの偽装が使われたことも確認されています。

SafePayの攻撃者はセキュリティソフトを無効化し、ユーザーのパスワードを変更して正規のアクセスを妨げる場合もあります。

ソフトウェアのパッキングや仮想マシン保護によって、不正なコードはさらに隠蔽されます。AnyDeskやTeamViewerなどのリモートアクセスアプリケーションは、ランサムウェアや補助ツールの展開に利用されます。

データの窃取には、WinSCPとRCloneが使われます。一部の侵入では、OneDriveの利用も確認されました。

7-ZipやWinRARなどのツールで作成したアーカイブにデータをまとめて準備し、b2.exeを使ってBackblaze B2へ持ち出していたことも、アドバイザリーに記載されています。

特に影響が大きいのが、復旧の妨害です。攻撃者はボリュームシャドウコピーサービス(VSS)を停止し、バックアップを保管しているネットワーク接続ストレージ(NAS)を工場出荷時の状態にリセットします。

ネットワーク接続のバックアップがすべて削除された事例も報告されています。身代金の交渉に入る前に、復元の手段が断たれていたことになります。

データを持ち出した後、SafePayはChaCha20とRSAを用いてファイルを暗号化します。ファイルの特性に応じて、全体を暗号化する場合と一部だけを暗号化する場合があります。

暗号化されたファイルには.SafePay拡張子が付きます。脅迫文は、被害者ごとの識別子を使ってTorのチャットポータルにアクセスするよう指示しています。

要求額は通常、企業の収益の一定割合に基づいており、暗号資産での支払いが求められます。

グループの担当者が被害者に電話をかけて圧力を強めることもあります。支払いに応じなければ、盗まれた情報はグループのリークサイトで公開される可能性があります。

CISAは、公開されているシステムで悪用されている脆弱性への対応を優先し、多要素認証を徹底し、管理者権限を制限し、ネットワークを分離するよう組織に強く求めています。

運用への影響を抑えるには、オフラインで暗号化された変更不可(イミュータブル)なバックアップを用意し、復元手順を定期的にテストすることが重要です。

防御側は、不審なアカウント、リモート管理の活動、セキュリティサービスの変更、通常とは異なる外向きの転送を調査する必要があります。

アドバイザリーでは、ダウンロード可能なSTIX形式のインテリジェンスが提供されています。また、正規ツールや過去のIPアドレスについては、ブロックする前に状況を踏まえた確認が必要だと注意を促しています。

侵入を検知した組織は、影響を受けたホストを隔離し、調査用の証拠を保全し、侵害されたアカウントの範囲を特定したうえで、攻撃者の排除を連携して進めてください。

注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(デファング)しています(例: [.])。元の形式に戻すのは、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。

サイバー脅威を被害が出る前に阻止し、MTTRを21分短縮。ANY.RUNのサンドボックスをSOCに導入しましょう。

Cybersecuritynews subscription