CISA: El ransomware SafePay ha afectado a más de 600 organizaciones de infraestructuras críticas

La Agen­cia de Ci­ber­se­gu­ri­dad y Se­gu­ri­dad de In­fra­es­truc­tu­ra (CISA), en co­la­bo­ra­ción con el FBI, el Ser­vi­cio Se­cre­to de EE. UU., agen­cias de Ale­ma­nia y del Reino Unido, in­for­mó que el grupo de ran­som­wa­re Sa­fe­Pay ha afec­ta­do a más de 600 or­ga­ni­za­cio­nes de in­fra­es­truc­tu­ra crí­ti­ca a nivel glo­bal. Las agen­cias des­ta­ca­ron que des­em­bol­sar el pago del res­ca­te no ase­gu­ra la re­cu­pe­ra­ción de la in­for­ma­ción ci­fra­da y re­co­men­da­ron no­ti­fi­car cual­quier in­ci­den­te a las au­to­ri­da­des po­li­cia­les.

Para lo­grar el ac­ce­so ini­cial a las redes de las víc­ti­mas, los ata­can­tes de Sa­fe­Pay em­plean di­ver­sas téc­ni­cas, tales como cre­den­cia­les ex­pues­tas, ata­ques de fuer­za bruta a con­tra­se­ñas, la ex­plo­ta­ción de redes vir­tua­les pri­va­das (es­pe­cí­fi­ca­men­te di­rec­cio­nes IP del pro­vee­dor Mull­vad), cuen­tas de co­rreo si­mu­la­das me­dian­te phishing, y la eje­cu­ción de scripts au­to­má­ti­cos di­ri­gi­dos a vul­ne­ra­bi­li­da­des co­mu­nes en dis­po­si­ti­vos pe­ri­me­tra­les. Pos­te­rior­men­te, para obs­ta­cu­li­zar la re­cu­pe­ra­ción, eli­mi­nan co­pias ocul­tas y res­ta­ble­cen dis­po­si­ti­vos de al­ma­ce­na­mien­to co­nec­ta­dos a la red con co­pias de se­gu­ri­dad, apli­can­do ade­más tác­ti­cas de doble ex­tor­sión al robar datos con­fi­den­cia­les antes de ci­frar los sis­te­mas.

A di­fe­ren­cia de otras ope­ra­cio­nes si­mi­la­res, Sa­fe­Pay sur­gió como una agru­pa­ción pri­va­da que no opera con afi­lia­dos, pu­bli­can­do en su sitio de fil­tra­cio­nes en la web os­cu­ra úni­ca­men­te a aque­llos afec­ta­dos que se nie­gan a pagar. Con el tiem­po, este grupo ha in­cre­men­ta­do sus víc­ti­mas en re­gio­nes como Amé­ri­ca del Norte, Amé­ri­ca del Sur, Eu­ro­pa y Aus­tra­lia, po­si­cio­nán­do­se como una de las ope­ra­cio­nes de ran­som­wa­re más ac­ti­vas tras ocu­par el es­pa­cio de­ja­do por otras ban­das.