Safepay
Safepay 19 noy 2024 tarixindən bəri sızıntı saytında 644 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 644
- İlk elan
- 19 noy 2024
- Son elan
- 7 noy 2026
- MITRE ATT&CK texnikası
- 60
SafePay 2024-cü ilin sentyabrında sürətlə böyüyən bir fidyə proqramı əməliyyatı kimi ortaya çıxdı, RaaS modelini açıq şəkildə rədd edir və bütün əməliyyatları daxildən idarə edir, 2025-ci ilin ortalarına qədər dünya üzrə 300-dən çox qurbanı olduğunu iddia edir və yüksək profilli erkən hücumunda Böyük Britaniyanın telematika şirkəti Microlise-dən 1,2 TB məlumat oğurlayıb.
Son 12 ayda 290 elan verib; ən sıx ay dekabr 2025 olub (68 elan).
Ən çox hədəf alınan ölkə Amerika Birləşmiş Ştatları: 223 elan, ümuminin %35-i.
Ən çox hədəf alınan sektor İstehsalat: 106 elan, ümuminin %16-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
644 nəticədən 10 göstərilir
Qrupun hücumlarında 5 mərhələyə yayılan 60 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078Valid AccountsT1091Replication Through Removable MediaT1189Drive-by CompromiseT1190Exploit Public-Facing ApplicationT1566.001Phishing: Spearphishing AttachmentT1566.002Phishing: Spearphishing LinkT1566.003Phishing: Spearphishing Voice - 2
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1047Windows Management InstrumentationT1053.005Scheduled Task/Job: Scheduled TaskT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1059.005Command and Scripting Interpreter: Visual BasicT1106Native APIT1129Shared ModulesT1203Exploitation for Client ExecutionT1204.001User Execution: Malicious LinkT1204.002User Execution: Malicious File - 3
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1078Valid AccountsT1098Account ManipulationT1505.004Server Software Component: IIS ComponentsT1542.003Pre-OS Boot: BootkitT1543.003Create or Modify System Process: Windows ServiceT1547Boot or Logon Autostart ExecutionT1547.001Boot or Logon Autostart Execution: Registry Run Keys / Startup FolderT1547.009Boot or Logon Autostart Execution: Shortcut ModificationT1574.001Hijack Execution Flow: DLL Search Order Hijacking - 4
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1078Valid AccountsT1134.002Access Token Manipulation: Create Process with TokenT1134.004Access Token Manipulation: Parent PID Spoofing - 5
Müdafiədən yayınma
Təhlükəsizlik proqramları və qeydlər yan keçilir.
T1014RootkitT1027Obfuscated Files or InformationT1027.002Obfuscated Files or Information: Software PackingT1027.005Obfuscated Files or Information: Indicator Removal from ToolsT1027.007Obfuscated Files or Information: Dynamic API ResolutionT1027.009Obfuscated Files or Information: Embedded PayloadsT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1027.016Obfuscated Files or Information: Junk Code InsertionT1036MasqueradingT1036.003Masquerading: Rename Legitimate UtilitiesT1036.004Masquerading: Masquerade Task or ServiceT1036.005Masquerading: Match Legitimate Name or LocationT1036.007Masquerading: Double File ExtensionT1036.008Masquerading: Masquerade File TypeT1055Process InjectionT1055.001Process Injection: DLL InjectionT1070Indicator RemovalT1070.003Indicator Removal: Clear Command HistoryT1070.004Indicator Removal: File DeletionT1070.006Indicator Removal: TimestompT1112Modify RegistryT1140Deobfuscate/Decode Files or InformationT1218System Binary Proxy ExecutionT1218.004System Binary Proxy Execution: InstallUtilT1218.005System Binary Proxy Execution: MshtaT1218.007System Binary Proxy Execution: MsiexecT1218.010System Binary Proxy Execution: Regsvr32T1218.011System Binary Proxy Execution: Rundll32T1218.014System Binary Proxy Execution: MMC
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
Safepay qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078 · Valid Accounts
- T1091 · Replication Through Removable Media
- T1189 · Drive-by Compromise
- T1190 · Exploit Public-Facing Application
- T1566.001 · Phishing: Spearphishing Attachment
- T1566.002 · Phishing: Spearphishing Link
- T1566.003 · Phishing: Spearphishing Voice
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Təhlükəsizlik proqramının söndürülməsini və qeydlərin silinməsini xəbərdarlıq kimi təyin edin.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.