O grupo de ransomware que começa por repor o seu disco de cópias de origem

Quase todo o ransomware cifra os seus ficheiros. O SafePay começa por caçar as cópias. O aviso conjunto publicado a 20 de outubro pela CISA, pelo FBI, pelos Serviços Secretos norte-americanos, pelo Landeskriminalamt da Renânia-Palatinado e pela National Crime Agency britânica descreve a ordem das operações: parar o serviço de cópias sombra de volume, repor nas definições de fábrica qualquer armazenamento em rede ao alcance e só então começar a cifrar. Os ficheiros voltam com a extensão .SafePay e sem forma de os abrir.

A escala: pelo menos 600 vítimas na América do Norte, na América do Sul, na Europa e na Austrália desde agosto de 2024, número que as agências descrevem como piso e não como teto, já que o grupo só nomeia as vítimas que recusam pagar. O SafePay funciona como equipa fechada em vez de alugar o seu software a afiliados, e entra por palavras-passe divulgadas, força bruta, phishing e equipamento VPN e de firewall sem correções na periferia da rede. O aviso refere atacantes a ligarem-se por endereços da VPN Mullvad, o que descreve de onde vinham os intrusos e não um problema da Mullvad nem de quem a usa.

Não gere infraestrutura crítica, mas tem as duas coisas que o SafePay destrói. As cópias sombra de volume são aquilo em que o Histórico de Ficheiros e a reposição de versões anteriores se apoiam discretamente. E muitas casas guardam hoje todas as fotografias que alguma vez tiraram numa caixa NAS dentro de um armário, sempre ligada à corrente e sempre ligada à rede, ou seja, exatamente o aparelho que é apagado. Uma cópia de segurança sempre ligada é uma cópia a que um atacante consegue chegar. A frase da CISA merece repetição: pagar o resgate não garante a recuperação dos ficheiros.

A resposta não tem nada de brilhante. A cópia de segurança de um clique do Tendvane leva Documentos, Imagens e Ambiente de Trabalho para um disco à sua escolha e, se desligar esse disco quando terminar, nada na rede lhe consegue tocar.