Le rançongiciel SafePay efface les sauvegardes avant de chiffrer, avertit le FBI

Une remise aux paramètres d'usine. C'est le sort que les opérateurs du rançongiciel SafePay réservent aux serveurs de stockage en réseau (NAS) qui contiennent les sauvegardes de leurs victimes, juste avant de chiffrer le reste. Le détail figure dans un avis conjoint publié le 20 octobre par le FBI, l'agence américaine de cybersécurité CISA et les services secrets américains, cosigné par la police criminelle du Land allemand de Rhénanie-Palatinat par l'agence britannique de lutte contre le crime organisé (NCA) et par l'unité régionale de lutte contre le crime organisé du nord-ouest de l'Angleterre (North West Regional Organised Crime Unit).

Le bilan des agences : au moins 600 victimes depuis l'apparition du groupe en août 2024, entreprises comme opérateurs d'infrastructures critiques, en Amérique du Nord et du Sud, en Europe et en Australie. Les autorités classent SafePay parmi les groupes de rançongiciel les plus actifs de 2026. L'avis ne nomme aucune victime.

Par où les pirates entrent-ils ?

Aucune technique exotique. Selon l'avis, SafePay obtient son premier accès avec des identifiants volés ou devinés, des attaques par force brute contre les mots de passe et des accès VPN, depuis des adresses IP du fournisseur de VPN commercial Mullvad. Les agences citent aussi cinq vulnérabilités connues, et corrigées depuis longtemps, sur des équipements exposés à Internet :

• CVE-2020-3259 et CVE-2023-20269, exploitées à l'aide de comptes obtenus par hameçonnage (pare-feu et VPN Cisco ASA et Firepower) ;
• CVE-2023-27532 et CVE-2024-40711, dans le logiciel de sauvegarde Veeam Backup & Replication ;
• CVE-2024-40766, dans les pare-feu SonicWall.

Pour ces trois dernières, les attaquants balaient Internet avec des scripts automatisés, précise l'avis.

Une fois dans le réseau, des outils d'administrateur

La suite ressemble au travail d'un informaticien. Les attaquants se déplacent avec PsExec, PowerShell, WinRM ou le bureau à distance, volent des mots de passe avec Mimikatz et s'installent durablement grâce à l'outil de prise en main à distance ScreenConnect, tandis qu'AnyDesk et TeamViewer servent à transférer le logiciel malveillant. Les données sont compressées puis exfiltrées avec RClone, WinSCP, FileZilla, Backblaze ou OneDrive. Les agences préviennent que ces logiciels légitimes ne doivent pas être jugés malveillants sans éléments prouvant qu'un attaquant les utilise ou les contrôle.

Vient ensuite la double extorsion. Le service des clichés instantanés de Windows est arrêté, les NAS de sauvegarde sont réinitialisés « pour entraver les tentatives de restauration du système », puis les fichiers sont chiffrés et prennent l'extension .SafePay. La rançon, payable en cryptomonnaie, correspond généralement à une part du chiffre d'affaires de la victime, selon l'avis. Les représentants du groupe vont jusqu'à appeler leurs cibles au téléphone. Faute de paiement, les données volées sont publiées. Les agences disent ne pas encourager le paiement, qui ne garantit pas la récupération des fichiers.

Que faire ?

Puisque tout commence par des mots de passe faibles et des équipements non corrigés, les recommandations visent d'abord la porte d'entrée :

• corriger en priorité les failles déjà exploitées sur les équipements exposés (VPN, pare-feu, serveurs de sauvegarde), en commençant par les cinq citées ;
• imposer l'authentification multifacteur sur le VPN, la messagerie web et les comptes critiques ;
• exiger des mots de passe longs (15 caractères au moins), bloquer les comptes après plusieurs échecs et filtrer les connexions aux services d'accès distant venant d'origines non fiables ;
• conserver des sauvegardes chiffrées, immuables et hors ligne, et tester régulièrement leur restauration ;
• vérifier les contrôleurs de domaine, les serveurs, les postes et l'Active Directory pour repérer les comptes nouveaux, inactifs ou inconnus.

Les indicateurs de compromission sont téléchargeables avec l'avis. La signature d'une police allemande rappelle que l'Europe fait partie du terrain de chasse, comme pour Qilin, dont un membre présumé a été arrêté au Japon puis remis à l'Allemagne. Aucune arrestation n'est évoquée cette fois : SafePay, qui travaille sans affiliés selon BleepingComputer, reste actif.