Il gruppo ransomware SafePay, già noto per aver colpito centinaia di organizzazioni, si avvale ora di una nuova vulnerabilità critica in sistemi Cisco Expressway, aumentando il rischio per le infrastrutture critiche.
Un avviso congiunto emesso da diverse agenzie di cybersecurity di spicco, tra cui l'FBI, la CISA (Cybersecurity and Infrastructure Security Agency) e partner internazionali, ha lanciato un serio allarme riguardo al gruppo di ransomware SafePay. Secondo le informazioni raccolte, questo gruppo criminale informatico avrebbe già colpito almeno 600 organizzazioni in diversi settori considerati infrastrutture critiche a partire da agosto 2024. L'avviso, pubblicato il 20 ottobre 2026, sottolinea come SafePay si sia posizionato tra i gruppi di ransomware più attivi nel 2026, con operazioni che hanno interessato vittime in Nord America, Sud America, Europa e Australia.
Le indagini, che hanno coinvolto anche il Servizio Segreto degli Stati Uniti, le autorità tedesche (Landeskriminalamt Rheinland-Pfalz) e quelle britanniche (National Crime Agency e North West Regional Organised Crime Unit), si basano su attività di ricerca condotte fino ad agosto 2026.
Le agenzie di sicurezza hanno dettagliato le principali modalità con cui gli attori di SafePay riescono a penetrare le reti aziendali. Tra le tattiche più comuni figurano il furto o l'indovinamento di credenziali, attacchi di tipo brute force, campagne di phishing e lo sfruttamento di vulnerabilità nell'accesso VPN. In particolare, il gruppo ha dimostrato di utilizzare indirizzi IP forniti dal provider VPN Mullvad e profili di account ottenuti tramite phishing per sfruttare due specifiche falle di sicurezza in dispositivi edge: CVE-2020-3259 e CVE-2023-20269.
Un aggiornamento significativo nelle tattiche di SafePay riguarda lo sfruttamento di una vulnerabilità critica recentemente scoperta in sistemi Cisco Expressway Series, tracciata come CVE-2026-76466. Questa falla, con un punteggio CVSS v3.1 di 9.8, consente ad attaccanti non autenticati di eseguire comandi arbitrari con privilegi di root sul sistema operativo sottostante. L'exploit è possibile su implementazioni Expressway configurate in cluster, sfruttando la gestione dei cookie persistenti e una validazione inadeguata dei certificati client all'interno del servizio database. Sebbene l'attacco sia descritto come non autenticato, richiede l'ottenimento di cookie specifici, la cui acquisizione non è stata dettagliata nelle analisi iniziali. Questa vulnerabilità impatta sia Cisco Expressway Core (Expressway-C) che Cisco Expressway Edge (Expressway-E), sia in configurazioni virtuali che fisiche.
Inoltre, SafePay impiega script automatizzati per sfruttare altre tre vulnerabilità note in sistemi esposti su Internet: CVE-2023-27532, CVE-2024-40711 e CVE-2024-40766.
Una volta ottenuto l'accesso iniziale, gli aggressori di SafePay si adoperano per stabilire una persistenza all'interno della rete compromessa. Questo viene generalmente realizzato ottenendo privilegi amministrativi su account esistenti o creandone di nuovi. Per eseguire comandi e muoversi lateralmente all'interno dell'infrastruttura, il gruppo fa ampio uso di strumenti nativi del sistema operativo, come PsExec, Windows Remote Management (WinRM) e il Remote Desktop Protocol (RDP). Per identificare file di valore, SafePay utilizza utility come ShareFinder.ps1 e SharpShares.exe per mappare le condivisioni di rete.
Prima di procedere con il movimento laterale, è prassi comune per questi attori disabilitare le soluzioni di sicurezza perimetrale e i software antivirus. In alcuni casi, sono state osservate modifiche alle password degli utenti legittimi per bloccarne l'accesso. L'avviso menziona anche l'uso di tecniche per bypassare il Controllo Account Utente (UAC), l'impersonificazione di token e l'impiego di strumenti come Mimikatz per il recupero di credenziali.
L'esfiltrazione dei dati rappresenta una fase cruciale del modus operandi di SafePay. Prima di procedere alla cifratura, i criminali comprimono i file rubati utilizzando software come 7-Zip, WinRAR, FileZilla e RClone. Successivamente, i dati vengono esfiltrati tramite strumenti come WinSCP, RClone, OneDrive e l'utility da riga di comando di Backblaze, b2.exe. Per trasferire il payload del ransomware sui sistemi delle vittime, vengono spesso installati strumenti di accesso remoto come AnyDesk e TeamViewer.
Per ostacolare i tentativi di ripristino, gli attaccanti interrompono il servizio Volume Shadow Copy Service (VSS) e reimpostano i dispositivi di Network Attached Storage (NAS), utilizzati per i backup, alle impostazioni di fabbrica. La cifratura dei file avviene tramite uno schema ibrido che combina il cifrario a flusso ChaCha20 con la crittografia a chiave pubblica RSA. I file cifrati vengono identificati dall'estensione .SafePay e, secondo l'avviso, non sono recuperabili senza la chiave di decrittazione fornita dai criminali.
Il gruppo di solito richiede il pagamento di un riscatto sotto forma di criptovaluta, spesso calcolato come una percentuale del fatturato aziendale. Una nota di riscatto, lasciata sul desktop o nella directory principale, indirizza le vittime verso un portale di chat su TOR, accessibile tramite un ID univoco. I rappresentanti di SafePay possono anche effettuare chiamate telefoniche per esercitare ulteriore pressione. In caso di mancato pagamento, i dati rubati vengono pubblicati sul leak site del gruppo. Il ransomware stesso può essere configurato per auto-eliminarsi dopo aver completato la cifratura.
Per mitigare il rischio di attacchi da parte di SafePay, le agenzie raccomandano alle organizzazioni di dare priorità all'applicazione di patch per le vulnerabilità note e attivamente sfruttate, con particolare attenzione a firewall e sistemi esposti su Internet. È fondamentale richiedere l'autenticazione a più fattori (MFA) per l'accesso a webmail, VPN e account che gestiscono sistemi critici. Altre misure di difesa suggerite includono l'adozione di password lunghe (da 15 a 64 caratteri), l'implementazione di blocchi degli account dopo tentativi di accesso falliti, la creazione di backup offline, crittografati e immutabili, la segmentazione della rete, l'applicazione del principio del minimo privilegio e l'accesso amministrativo basato sul tempo. L'avviso raccomanda inoltre di limitare le autorizzazioni per l'uso della riga di comando e degli script.
Cisco ha rilasciato aggiornamenti di sicurezza per correggere la vulnerabilità CVE-2026-76466, con la versione X15.5.20 indicata come la prima release fissa per le versioni X15.5.3 e precedenti. I clienti che utilizzano versioni X14 o precedenti sono invitati a migrare a una versione corretta. Cisco sottolinea che non esistono soluzioni alternative (workaround) per questa specifica falla e raccomanda vivamente l'aggiornamento dei sistemi interessati.
Le autorità sconsigliano vivamente il pagamento del riscatto, poiché non garantisce il recupero dei dati. Gli incidenti possono essere segnalati all'FBI's Internet Crime Complaint Center (IC3), agli uffici locali dell'FBI o del Servizio Segreto, o alla CISA. Nel Regno Unito, le segnalazioni possono essere effettuate tramite Report Fraud o alla polizia locale.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
