تحذير CISA بشأن برنامج الفدية SafePay: ما الذي ينبغي أن تراجعه المؤسسات المنظمة

أصدرت CISA تحذيراً ضمن حملة #StopRansomware يصف نشاطاً حديثاً لمجموعة برنامج الفدية SafePay. وبحسب التحذير، تنشط المجموعة بدرجة عالية منذ أغسطس 2024، واستهدفت شركات وبنى تحتية حيوية في أمريكا الشمالية والجنوبية وأوروبا وأستراليا. ولا يشير المصدر إلى استهداف داخل المملكة، غير أن الأساليب الموصوفة شائعة في بيئات كثيرة.

كيف تتم الهجمات

يدخل المهاجمون عادةً إلى الشبكة عبر سرقة كلمات المرور أو تخمينها، أو استغلال ثغرات في أنظمة الحماية، أو التصيّد. وبعد الدخول يثبّتون سيطرتهم بإنشاء حسابات جديدة أو الاستيلاء على حسابات قائمة، ثم يستخدمون أدوات النظام المشروعة للتنقل داخل الشبكة وتحديد الملفات ذات القيمة وتعطيل وسائل الحماية لتفادي الكشف.

وفي المرحلة الأخيرة تُشفَّر ملفات الضحية، وتُترك رسالة تطلب فدية بالعملات المشفرة.

الثغرات المشار إليها

يُدرج قسم المنتجات المتأثرة في التحذير الثغرة CVE-2020-3259 (كشف معلومات حساسة لجهة غير مصرح لها) والثغرة CVE-2023-20269، وغيرهما. والقائمة الكاملة في منشور CISA، وينبغي مطابقتها مع سجل أصولكم.

أهمية الأمر

لا تعتمد طرق الدخول على أساليب غريبة، بل على بيانات الدخول والمنتجات الأمنية غير المحدّثة والتصيّد. ويمكن للمؤسسات تقليل التعرض بمراجعة هذه الأساسيات، والتأكد من مراقبة إنشاء الحسابات وتغيير إعدادات أدوات الحماية. وتحث CISA المؤسسات على تطبيق إجراءات التخفيف الواردة في التحذير.