El grupo de ransomware que primero deja tu disco de copias como salió de fábrica

Casi todo el ransomware cifra tus archivos. SafePay sale primero a buscar las copias. El aviso conjunto publicado el 20 de octubre por CISA, el FBI, el Servicio Secreto estadounidense, el Landeskriminalamt de Renania-Palatinado y la National Crime Agency británica detalla el orden de las operaciones: detener el servicio de instantáneas de volumen, devolver a los ajustes de fábrica cualquier almacenamiento en red a su alcance y solo entonces empezar a cifrar. Los archivos vuelven con la extensión .SafePay y sin manera de abrirlos.

La escala: al menos 600 víctimas en América del Norte, América del Sur, Europa y Australia desde agosto de 2024, una cifra que las agencias describen como suelo y no como techo, porque el grupo solo nombra a quienes se niegan a pagar. SafePay opera como cuadrilla cerrada en lugar de alquilar su malware a afiliados, y entra por contraseñas filtradas, fuerza bruta, phishing y equipos VPN y cortafuegos sin parchear en el borde de la red. El aviso menciona atacantes que se conectaban por direcciones del VPN Mullvad, lo que describe de dónde venían los intrusos y no un problema de Mullvad ni de quienes lo usan.

No gestionas infraestructura crítica, pero tienes las dos cosas que SafePay destruye. Las instantáneas de volumen son aquello en lo que se apoyan discretamente el Historial de archivos y la restauración de versiones anteriores. Y muchos hogares guardan ya todas las fotos que han hecho en un NAS metido en un armario, encendido y conectado de forma permanente, es decir, exactamente el aparato que se borra. Una copia de seguridad siempre enchufada es una copia a la que un atacante puede llegar. La frase de CISA merece repetirse: pagar el rescate no garantiza recuperar los archivos.

La respuesta no tiene nada de brillante. La copia de seguridad de un clic de Tendvane lleva Documentos, Imágenes y Escritorio al disco que elijas, y si desconectas ese disco al terminar, nada de la red puede alcanzarlo.