CISA: عصابة SafePay اختراق أكثر من 600 منظمة بنية تحتية
أصدرت وكالة الأمن السيبراني الأمريكية تقريراً مشتركاً يحذر من تصاعد هجمات SafePay على البنية التحتية العالمية.
رضوان عبدالهاديمحرر وكاتب تقني
نطاق التهديد العالمي
أعلنت وكالة الأمن السيبراني والأمن البنيوي (CISA) أن عصابة SafePay للبرمجيات الخبيثة قد اخترقت أكثر من 600 منظمة بنية تحتية حرجة حول العالم منذ أغسطس 2024. جاء هذا التحذير في تقرير مشترك مع مكتب التحقيقات الفيدرالي (FBI) وخدمة الأمن السرية الأمريكية (USSS) ووكالة الجريمة الوطنية في المملكة المتحدة. أكد التقرير أن SafePay أصبحت واحدة من أكثر عصابات الفدية نشاطاً، مستهدفة قطاعات حيوية في أمريكا الشمالية والجنوبية وأوروبا وأستراليا.
طرق الاختراق الأولية
وفقاً للتقرير، تعتمد SafePay على مجموعة متنوعة من الأساليب لتحقيق الوصول الأولي إلى شبكات الضحايا. تشمل هذه الأساليب استغلال بيانات الاعتماد المكشوفة، والهجمات بالقوة الغاشمة على كلمات المرور، واستغلال نقاط ضعف في شبكات الوصول الخاصة الافتراضية (VPN). لاحظ المحققون تحديداً استهداف عناوين IP المزودة من خدمة Mullvad، مما يشير إلى نمط هجومي متطور يستغل ثغرات في البنية التحتية للشبكات.
تكتيكات الابتزاز المزدوج
تتميز SafePay بتطبيق تكتيكات الابتزاز المزدوج، حيث تقوم بسرقة المستندات الحساسة قبل تشفير أنظمة الضحايا. تهدد العصابة بنشر البيانات المسروقة على الإنترنت إذا لم يتم دفع الفدية. على عكس العديد من عمليات الفدية الأخرى، ظهرت SafePay في أغسطس 2024 كعصابة خاصة لا تعمل مع شركاء خارجيين، مما يجعل تتبع أنشطتها وتحليلها أكثر تعقيداً على المحققين الأمنيين.
التوصيات الأمنية
نصحت الوكالات المشاركة في التقرير فرق الأمن السيبراني بتقييد أدوات الإدارة والصلاحيات لمنع الحركة الجانبية بعد الاختراق. كما شددت على أهمية تطبيق المصادقة متعددة العوامل (MFA) وسياسات إدارة الهوية والوصول (ICAM) لتعزيز أمان الحسابات. حث التقرير أيضاً على الحفاظ على تحديث الأنظمة، مع التركيز على الثغرات المؤثرة في أجهزة VPN وجدران الحماية والأجهزة الطرفية الأخرى المدرجة في كتالوج CISA للثغرات المستغلة بنشاط.
مؤشرات الاختراق والإجراءات
شمل التقرير المشترك مؤشرات الاختراق (IOCs) والإجراءات والتقنيات (TTPs) المرتبطة بأنشطة SafePay السابقة، والتي رُصدت بين نوفمبر 2024 وأغسطس 2026 خلال تحقيقات FBI وUSSS. كما أشار التقرير إلى أن مهاجمي SafePay قد يعطلون عمليات الاسترداد عن طريق حذف النسخ الظلية وإعادة تعيين أجهزة التخزين المرتبطة بالشبكة التي تحتوي على النسخ الاحتياطية، مما يزيد من صعوبة استعادة البيانات بعد الهجوم.
السياق الأمني الأوسع
منذ بداية عام 2025، سدت SafePay الفراغ الذي تركته عصابات الفدية الأخرى مثل BlackCat (ALPHV) وLockBit، لتصبح واحدة من أكثر عمليات الفدية نشاطاً في المشهد الأمني العالمي. أضافت العصابة مئات الضحايا إلى موقع تسريبها على الويب المظلم، على الرغم من أن العدد الفعلي للضحايا الذين تم اختراقهم ومحاولات ابتزازهم أعلى، حيث تدرج فقط أولئك الذين لم يدفعوا الفدية على منصتها.
المصادر
- BleepingComputerCISA: SafePay ransomware hit over 600 critical infrastructure orgs
تابع التسلسل الزمني
أخبار مرتبطة
وكالة CISA تحذر من استغلال ثغرة في مفاتيح شبكات Zyxel
وجهت وكالة CISA أمراً فيدرالياً عاجلاً بتحديث أجهزة Zyxel GS1900 بعد رصد هجمات نشطة تستغل ثغرة خطيرة لسرقة بيانات حساسة حول العالم.
مجموعة صينية تستغل ثغرة في مفاتيح ZyXEL لسرقة بيانات حساسة
تعرضت نحو 1000 وحدة من مفاتيح ZyXEL GS1900 لهجمات سيبرانية نفذتها جهة صينية، مستغلة ثغرة برمجية لاستخراج بيانات حساسة، مع تحذيرات عاجلة من وكالة CISA.
CISA تحذر من استغلال ثغرة Node2Shell الحرجة في خوادم الويب
وكالة الأمن السيبراني الأمريكية تؤكد استغلال ثغرة Brotli الحرجة التي تتيح تنفيذ أكواد عن بُعد، مع أوامر عاجلة لترقيع الأنظمة الفيدرالية خلال أسبوعين.
CISA تحذر من استغلال ثغرة Node2Shell في أنظمة Node.js
أدرجت CISA ثغرة Node2Shell في كتالوج KEV بعد رصد محاولات استغلال عبر أنظمة العسل، مع إصدار تصحيحات عاجلة من Google وMicrosoft.
