Grupa ransomware, która najpierw przywraca twój dysk kopii zapasowej do ustawień fabrycznych

Większość ransomware szyfruje pliki. SafePay najpierw poluje na kopie. Wspólny komunikat opublikowany 20 października przez CISA, FBI, amerykański Secret Service, Landeskriminalamt Nadrenii-Palatynatu i brytyjską National Crime Agency opisuje kolejność działań: zatrzymać usługę kopiowania woluminów w tle, przywrócić do ustawień fabrycznych każdy osiągalny dysk sieciowy i dopiero potem zacząć szyfrowanie. Pliki wracają z rozszerzeniem .SafePay i bez sposobu na otwarcie.

Skala: co najmniej 600 ofiar w Ameryce Północnej, Ameryce Południowej, Europie i Australii od sierpnia 2024 roku, przy czym agencje opisują tę liczbę jako dolną, a nie górną granicę, bo grupa wymienia tylko ofiary odmawiające zapłaty. SafePay działa jako zamknięta ekipa, zamiast wynajmować swoje oprogramowanie partnerom, i wchodzi przez wyciekłe hasła, ataki siłowe, phishing oraz niezałatany sprzęt VPN i zapory na brzegu sieci. Komunikat wspomina o napastnikach łączących się przez adresy VPN Mullvad, co opisuje, skąd przychodzili intruzi, a nie problem po stronie Mullvada ani osób, które z niego korzystają.

Nie prowadzisz infrastruktury krytycznej, ale masz obie rzeczy, które SafePay niszczy. Na kopiach woluminów w tle po cichu opierają się Historia plików i przywracanie poprzednich wersji. A wiele domów trzyma dziś każde zrobione zdjęcie na NAS-ie w szafie, stale zasilanym i stale podłączonym, czyli dokładnie na urządzeniu, które zostaje wyczyszczone. Kopia zapasowa zawsze podłączona to kopia, do której napastnik sięgnie. Zdanie CISA warto powtórzyć: zapłacenie okupu nie gwarantuje odzyskania plików.

Odpowiedź jest nieefektowna. Kopia zapasowa jednym kliknięciem w Tendvane przenosi Dokumenty, Obrazy i Pulpit na wybrany dysk, a gdy odłączysz ten dysk po zakończeniu, nic w sieci do niego nie dotrze.