FBI 及 CISA 發 SafePay 勒索軟件聯合警報　至少 600 機構受害

美國網絡安全及基礎設施安全局（CISA）聯同聯邦調查局（FBI）、美國特勤局、德國萊茵蘭-普法爾茨州刑事警察局（Landeskriminalamt Rheinland-Pfalz）及兩間英國執法機構，於本週共同發出針對 SafePay 勒索軟件集團的聯合網絡安全警報（AA26-293A），形容對方為目前最活躍的勒索活動之一。警報指出，集團自 2024 年 8 月以來已入侵至少 600 個橫跨多個關鍵基礎設施範疇的機構，遍及北美、南美、歐洲及澳洲。

集團背景：獨立運作不設附屬聯盟

根據警報，SafePay 於 2024 年中出現，屬獨立運作、不設附屬聯盟（affiliates）的勒索集團，與許多如特許經營般運作、讓其他犯罪者使用其工具及服務的大型勒索集團不同；在 BlackCat 及 LockBit 等集團衰落的同時壯大，活動持續至今。警報包含 FBI、美國特勤局及德國方面截至 2026 年 8 月的調查發現，並引述官方表述，SafePay 是 2026 年最活躍的勒索集團之一，來自多個關鍵基礎設施範疇的至少 600 名受害者受到影響。

入侵途徑與攻擊工具

官方觀察到 SafePay 透過多種途徑取得初始存取權（TA0001），包括憑證外洩、暴力密碼攻擊（T1110）及利用虛擬私人網絡（VPN）存取；集團會利用 VPN 供應商 Mullvad 的 IP 位址，以釣魚取得的帳戶資料進入受害網絡，再攻擊邊緣設備產品的已知漏洞，包括 2020 年及 2023 年的 Cisco VPN 漏洞、一個 Veeam 漏洞以及一個 SonicWall 存取控制問題。

進入網絡後，攻擊者倚賴常見工具而非專門惡意軟件：以 PsExec、WinRM、RDP 及 PowerShell 在系統之間移動；利用名為 ShareFinder.ps1 的 PowerShell 腳本尋找共享資料夾及識別有價值數據；以 Mimikatz 竊取憑證；以 AnyDesk 及 TeamViewer 提供遙距存取；竊取數據時使用 FileZilla、RClone、WinSCP 甚至 OneDrive。加密方面採用 ChaCha20 流密碼結合 RSA 金鑰交換，並按檔案類型及大小調整加密方式，檔案會被加上 .SafePay 副檔名。

雙重勒索手法與當局建議

SafePay 採取雙重勒索模式：先竊取數據、後加密檔案，並威脅受害人不付贖金就公開被竊數據。警報指出，被 SafePay 變種加密的數據（附有 .SafePay 副檔名）在沒有解密金鑰的情況下無法復原，集團通常要求以加密貨幣支付公司收入的一部分作為解密軟件的交換條件，並在受害者系統（通常為桌面或根目錄）留下勒索訊息，經 Tor .onion 網站連結的聊天入口以受害人 ID 登入；加密完成後，SafePay 會將受害人轉介至 Tor 聊天入口談判，代表亦會致電施壓，若無付款，所有數據會被放上洩漏網站。集團亦會刪除磁碟區陰影複製（Volume Shadow Copies），並將網絡附加備份設備重設回原廠設定。

警報建議多項基本安全措施：保持面向互聯網的設備（尤其 VPN 及防火牆）更新；優先處理 CISA 已知已被利用漏洞目錄（Known Exploited Vulnerabilities catalog）所列漏洞；為 VPN、網頁郵件及存取關鍵系統的帳戶啟用多因素驗證（MFA）；限制可使用管理工具的帳戶數目；並將備份保存於離線、加密且不可變更的環境，令攻擊者無法存取、更改或刪除。當局鼓勵機構實施警報緩解章節的建議，以降低 SafePay 事件的可能性及影響。

資料來源：SecurityAffairs｜CISA Cybersecurity Advisory AA26-293A

(開版為AI生成配圖，只供參考會意)