Il gruppo ransomware che prima riporta alle impostazioni di fabbrica il vostro disco di backup

Quasi tutti i ransomware cifrano i vostri file. SafePay va prima a caccia delle copie. L'avviso congiunto pubblicato il 20 ottobre da CISA, FBI, Secret Service statunitense, Landeskriminalamt della Renania-Palatinato e National Crime Agency britannica mette in fila le operazioni: fermare il servizio Copia shadow del volume, riportare alle impostazioni di fabbrica ogni dispositivo di archiviazione di rete raggiungibile e solo allora iniziare a cifrare. I file tornano con estensione .SafePay e nessun modo di aprirli.

La scala: almeno 600 vittime fra Nord America, Sud America, Europa e Australia da agosto 2024, cifra che le agenzie descrivono come un minimo e non un massimo, dato che il gruppo nomina soltanto chi rifiuta di pagare. SafePay opera come squadra chiusa invece di affittare il proprio malware ad affiliati, ed entra tramite password trapelate, forza bruta, phishing e apparati VPN e firewall non aggiornati ai margini della rete. L'avviso segnala attaccanti collegati tramite indirizzi del VPN Mullvad, il che descrive da dove arrivavano gli intrusi e non un problema di Mullvad o di chi lo usa.

Non gestite infrastrutture critiche, ma possedete entrambe le cose che SafePay distrugge. Le copie shadow del volume sono ciò su cui poggiano in silenzio la Cronologia file e il ripristino delle versioni precedenti. E molte famiglie tengono ormai ogni foto mai scattata su un NAS in un armadio, sempre acceso e sempre collegato, cioè esattamente il dispositivo che viene azzerato. Un backup sempre attaccato è un backup che un attaccante può raggiungere. La frase della CISA merita di essere ripetuta: pagare il riscatto non garantisce di recuperare i file.

La risposta non ha nulla di spettacolare. Il backup con un clic di Tendvane copia Documenti, Immagini e Desktop su un disco che scegliete voi, e se scollegate quel disco a operazione finita, niente sulla rete può arrivarci.