CISA, FBI และพันธมิตรออกคำเตือนร่วม AA26-293A — แรนซัมแวร์ SafePay มีเหยื่อแล้วกว่า 600 ราย เจาะผ่าน VPN, Cisco ASA, SonicWall และ Veeam ก่อนรีเซ็ต NAS แบ็กอัปเป็นค่าโรงงาน

สรุปสั้น

หน่วยงาน CISA ของสหรัฐฯ ร่วมกับ FBI หน่วย Secret Service ของสหรัฐฯ และหน่วยงานสืบสวนของเยอรมนีกับสหราชอาณาจักร ออกคำเตือนร่วมรหัส AA26-293A เมื่อวันที่ 20 ตุลาคม 2569 ระบุว่าแรนซัมแวร์ SafePay สร้างความเสียหายให้เหยื่อแยกกันอย่างน้อย 600 รายในหลายภาคโครงสร้างพื้นฐานสำคัญ กลุ่มนี้เคลื่อนไหวมาตั้งแต่สิงหาคม 2567 โจมตีธุรกิจและบริการจำเป็นในอเมริกาเหนือ อเมริกาใต้ ยุโรป และออสเตรเลีย และกลายเป็นหนึ่งในภัยแรนซัมแวร์ที่เคลื่อนไหวมากที่สุดของปี 2569 ข้อมูลในคำเตือนมาจากการสืบสวนจนถึงเดือนสิงหาคม 2569

SafePay ผสมข้อมูลรับรองที่ขโมยมา บริการเข้าถึงระยะไกลที่เปิดออกอินเทอร์เน็ต และช่องโหว่ที่รู้จักอยู่แล้ว ทั้งใน Cisco ASA, SonicWall และ Veeam Backup & Replication เมื่อเข้าเครือข่ายได้ กลุ่มจะยึดบัญชี ใช้เครื่องมือบริหารระบบปกติอย่าง PsExec, WinRM และ RDP เคลื่อนย้ายไปยังเครื่องอื่น ค้นไฟล์ที่มีค่า ขโมยข้อมูล และทำลายระบบกู้คืนก่อนเข้ารหัสด้วย ChaCha20 ร่วมกับ RSA จุดที่ทำให้กลุ่มนี้สร้างความเสียหายหนักคือการเล็งระบบแบ็กอัปโดยตรง ทั้งหยุดบริการ Volume Shadow Copy และรีเซ็ตอุปกรณ์ NAS ที่เก็บแบ็กอัปกลับเป็นค่าโรงงาน เหยื่อจึงถูกกดดันทั้งจากธุรกิจที่หยุดชะงักและการขู่เผยแพร่ข้อมูล

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ตามคำเตือนร่วมของ CISA และพันธมิตรว่าผู้ปฏิบัติการ SafePay เข้าถึงเครือข่ายผ่านข้อมูลรับรองที่รั่ว การเดารหัสผ่านซ้ำ ๆ ฟิชชิง และระบบที่มีช่องโหว่ซึ่งเปิดออกอินเทอร์เน็ต คำเตือนฉบับนี้เพิ่มรายละเอียดเรื่องการโจมตีช่องโหว่แบบอัตโนมัติ และการใช้โปรไฟล์บัญชีที่ได้จากฟิชชิงเข้าเครือข่ายเหยื่อ ช่องโหว่ที่ระบุคือ CVE-2020-3259 และ CVE-2023-20269 ในอุปกรณ์ขอบเครือข่าย Cisco ASA/FTD และ CVE-2023-27532, CVE-2024-40711 และ CVE-2024-40766 ในระบบที่เปิดออกอินเทอร์เน็ต ซึ่งเป็นช่องโหว่ของ Veeam Backup & Replication สองรายการและ SonicWall SonicOS หนึ่งรายการ

หน่วยงานยังพบว่าผู้โจมตีเชื่อมต่อผ่าน IP ของ Mullvad VPN ซึ่งหมายถึงการใช้บริการนี้ระหว่างการบุกรุก ไม่ได้แปลว่า Mullvad ถูกเจาะหรือผู้ใช้ทั่วไปเกี่ยวข้องกับ SafePay ส่วน CVE-2024-40711 ใน Veeam ให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดระยะไกลได้ เคยมีกรณีที่ผู้โจมตีใช้ VPN ที่ถูกยึดร่วมกับช่องโหว่นี้สร้างบัญชีผู้ดูแลมาแล้ว แต่กรณีเหล่านั้นเป็นแรนซัมแวร์ตระกูลอื่น จึงสะท้อนจุดอ่อนร่วมกัน ไม่ใช่หลักฐานว่ากลุ่มต่าง ๆ เชื่อมโยงกัน ทั้งนี้ CVE-2023-27532 ใน Veeam ก็เป็นช่องโหว่เดียวกับที่ affiliate ของ Qilin และ INC ใช้ในเคสที่ Unit 42 รายงาน (ดูโพสต์ 203)

ในขั้นสุดท้าย เหยื่อจะได้รับโน้ตเรียกค่าไถ่ที่ให้ติดต่อผ่านพอร์ทัลแชตบน Tor และถูกเพิ่มแรงกดดันด้วยการโทรศัพท์และการขู่เผยแพร่ข้อมูลที่ขโมยไป มัลแวร์อาจลบตัวเองหลังทำงานเสร็จ หน่วยงานไม่แนะนำให้จ่ายค่าไถ่ เพราะไม่รับประกันว่าจะได้ไฟล์คืนและยังสนับสนุนอาชญากรรมต่อ

วิธีการโจมตี

หลังเข้าเครือข่าย ผู้โจมตีสร้างบัญชีใหม่หรือยกระดับสิทธิ์ของบัญชีเดิม แล้วใช้ PsExec, Windows Remote Management และ Remote Desktop Protocol รันคำสั่งและเข้าถึงเครื่องอื่น เครื่องมือเหล่านี้เป็นเครื่องมือที่ทีมไอทีใช้ตามปกติ ผู้ป้องกันจึงต้องดูว่าใครเป็นผู้เรียกใช้ รันที่เครื่องใด และสอดคล้องกับงานที่อนุมัติหรือไม่ กลุ่มยังค้นโฟลเดอร์แชร์หาไฟล์ที่มีค่าด้วยเครื่องมืออย่าง SharpShares และ sharefinder.ps1 สำรวจเครือข่ายด้วย netscan และ NetExec ดึงข้อมูลรับรองจาก Active Directory ด้วยเครื่องมือแบบ DCSync ปิดซอฟต์แวร์ความปลอดภัย และบางครั้งเปลี่ยนรหัสผ่านผู้ใช้จนพนักงานตัวจริงเข้าระบบไม่ได้ ผู้สืบสวนยังพบเทคนิคข้าม User Account Control การนำ security token มาใช้ซ้ำเพื่อยกระดับสิทธิ์ การ pack โค้ดเพื่อซ่อนโปรแกรมอันตราย และการใช้โปรแกรมช่วยเหลือระยะไกลอย่าง AnyDesk ส่งไฟล์เข้าเครื่องที่ถูกยึด

การขโมยข้อมูลใช้เครื่องมือที่คุ้นเคยอย่าง 7-Zip, WinRAR, RClone, WinSCP และ FileZilla บางเหตุการณ์ส่งข้อมูลไปเก็บใน OneDrive หรือ Backblaze ผ่านเครื่องมือบรรทัดคำสั่ง B2 เครื่องมือเหล่านี้ไม่ได้อันตรายโดยตัวเอง สัญญาณเตือนคือการติดตั้งโดยไม่คาดคิด การโอนข้อมูลผิดปกติ และการเชื่อมต่อไปยังบัญชีที่องค์กรไม่ได้ควบคุม โดยเฉพาะเมื่อเกิดพร้อมสัญญาณบุกรุกอื่น

ก่อนเข้ารหัส ผู้โจมตีหยุดบริการ Volume Shadow Copy และรีเซ็ต NAS ที่เก็บแบ็กอัปเป็นค่าโรงงาน ตัวเข้ารหัสใช้ ChaCha20 ร่วมกับ RSA และเลือกเข้ารหัสทั้งไฟล์หรือเฉพาะบางส่วนตามชนิดและขนาดไฟล์ ไฟล์ที่ถูกเข้ารหัสจะมีนามสกุล .SafePay

ผลกระทบ

ตัวเลข 600 รายจากหลายทวีปและหลายภาคโครงสร้างพื้นฐานสำคัญ ทำให้ SafePay เป็นภัยระดับต้นของปีนี้ แต่สิ่งที่น่ากังวลกว่าคือช่องทางเข้าแทบทั้งหมดเป็นช่องโหว่เก่าที่มีแพตช์มานานแล้ว ตั้งแต่ปี 2563 ถึง 2567 ประกอบกับข้อมูลรับรองที่รั่วและบริการเข้าถึงระยะไกลที่ไม่มี MFA องค์กรที่ยังไม่ได้แพตช์อุปกรณ์ขอบเครือข่ายหรือเซิร์ฟเวอร์ Veeam จึงเสี่ยงโดยตรง การเล็งระบบแบ็กอัปและ NAS ทำให้เหยื่อที่ไม่มีสำเนาแบบออฟไลน์หรือแบบแก้ไขไม่ได้แทบไม่มีทางกู้คืนเองโดยไม่จ่ายค่าไถ่ ส่วนการใช้เครื่องมือบริหารระบบปกติทำให้การตรวจจับที่อาศัยลายเซ็นมัลแวร์อย่างเดียวพลาดได้ง่าย

คำแนะนำ

• แพตช์ Cisco ASA/FTD (CVE-2020-3259, CVE-2023-20269), SonicWall SonicOS (CVE-2024-40766) และ Veeam Backup & Replication (CVE-2023-27532, CVE-2024-40711) และไม่เปิดคอนโซลบริหารของระบบแบ็กอัปออกอินเทอร์เน็ต
• บังคับ MFA กับ VPN, RDP และบัญชีผู้ดูแลทุกบัญชี และเฝ้าระวังการเดารหัสผ่านซ้ำ ๆ รวมถึงการล็อกอินจาก IP ของผู้ให้บริการ VPN เชิงพาณิชย์
• เก็บแบ็กอัปแบบออฟไลน์หรือแบบ immutable แยกข้อมูลรับรองของระบบแบ็กอัปและ NAS ออกจากโดเมน และทดสอบการกู้คืนอย่างสม่ำเสมอ
• แบ่งเครือข่ายเพื่อจำกัดเส้นทางจากบัญชีเข้าถึงระยะไกลไปยังเซิร์ฟเวอร์ที่เก็บข้อมูลสำคัญและข้อมูลกู้คืน และจำกัดสิทธิ์ผู้ดูแลให้น้อยที่สุด
• เฝ้าระวังการใช้ PsExec, WinRM, NetExec, RClone, WinSCP และ AnyDesk ที่ไม่ได้อยู่ในงานที่อนุมัติ การหยุดบริการ VSS และการโอนข้อมูลขาออกปริมาณมาก โดยพิจารณาสัญญาณเหล่านี้ร่วมกัน ไม่แยกทีละเหตุการณ์
• หากสงสัยว่าถูกบุกรุก ให้แยกเครื่องออกจากเครือข่าย เก็บล็อกไว้เป็นหลักฐาน และสืบสวนขอบเขตก่อนกู้คืน

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนใช้ต้องแปลงกลับ · IP บางรายการ (เช่น 104.26.2[.]223, 140.82.114[.]4, 185.199.108[.]133, 173.194.194[.]94) อยู่ในช่วงของบริการคลาวด์และโฮสติ้งโค้ดสาธารณะ ห้ามบล็อกทั้งช่วงโดยไม่ตรวจบริบท

IP (CISA Table 2)

SHA-256 (CISA Table 5)

SHA-1 (CISA Table 4)

ชื่อเครื่องและเครื่องหมายการเข้ารหัส

ชื่อไฟล์ที่พบบ่อยตาม CISA Table 3 (ต้องมีหลักฐานประกอบก่อนจัดว่าเป็นอันตราย): locker.dll, dcsync.exe, sharefinder.ps1, SharpShares.exe, netscan.exe, nxc.exe, Socks.exe, Socks_werfault.exe, b2.exe, DYRasWtb.exe, 1 - Copy.bat

แหล่งอ้างอิง

• AA26-293A — #StopRansomware: SafePay — CISA
• SafePay Ransomware Has Affected 600+ Organizations by Exploiting VPNs and Backup Servers — Cyber Security News