CISA alerta sobre SafePay e Qilin em infraestrutura

SafePay entrou na mira de um alerta conjunto da CISA, do FBI, do Serviço Secreto dos Estados Unidos e de parceiros da Alemanha e do Reino Unido. As autoridades descreveram o grupo como uma das operações de ransomware mais ativas e atribuíram a ele cerca de 600 vítimas em setores de infraestrutura crítica nas Américas, Europa e Austrália. Em paralelo, a Hunt.io descreveu o Qilin, também rastreado como Agenda, como uma operação de ransomware-as-a-service que obtém acesso inicial com credenciais roubadas e dispositivos perimetrais, além de usar dupla extorsão e um cifrador multiplataforma para Windows, Linux e ESXi.

¿Qué dijo el aviso sobre SafePay?

O aviso conjunto informou que o SafePay impactou aproximadamente 600 organizações de infraestrutura crítica e que o material divulgado inclui indicadores de comprometimento, TTPs, ações de resposta e mitigações. Também recomendou corrigir com urgência vulnerabilidades conhecidas exploradas e fazer triagem forense para verificar se houve comprometimento.

A cobertura independente do aviso identificou, entre as vulnerabilidades associadas à atividade do SafePay, a CVE-2020-3259 e a CVE-2023-20269, embora esse detalhe deva ser lido como parte do resumo do aviso, e não como confirmação de exploração em cada incidente. A Security Affairs acrescentou que as autoridades recomendaram manter atualizados os dispositivos expostos à internet, especialmente VPNs e firewalls, priorizar vulnerabilidades do catálogo KEV da CISA e habilitar MFA para VPN, e-mail web e contas com acesso a sistemas críticos.

¿Qué TTPs se atribuyen a SafePay y Qilin?

O SafePay obtém acesso inicial por meio da exposição de credenciais, ataques de força bruta e exploração de dispositivos VPN na borda, e depois combina exfiltração antes da criptografia com dupla extorsão. A Aviatrix também documentou a exclusão de shadow copies e de backups em armazenamento conectado à rede, o que aponta para uma sequência voltada a dificultar a recuperação.

O Qilin, de acordo com a Hunt.io, opera como ransomware-as-a-service e seus afiliados acessam os ambientes por dispositivos perimetrais e credenciais roubadas. A operação usa dupla extorsão e um cifrador multiplataforma que mira Windows, Linux e ESXi, um detalhe que amplia o alcance dos ambientes que podem ser afetados.

¿Qué alcance regional marcan estas campañas?

O material disponível não atribui incidentes específicos a países da América Latina, mas mostra que as táticas documentadas giram em torno de vetores muito presentes na região, como VPNs, firewalls e outros dispositivos expostos à internet. Nesse contexto, o alerta sobre o SafePay e a descrição técnica do Qilin servem como referência para setores críticos que dependam desses acessos perimetrais e de credenciais reutilizadas ou roubadas.

A advertência oficial se concentra em infraestrutura crítica de várias regiões e na necessidade de revisar exposição, vulnerabilidades conhecidas e controles de autenticação. No caso do SafePay, a mensagem conjunta também ressalta que as organizações devem fazer revisão forense de seus ambientes se identificarem indícios de comprometimento, enquanto a ficha do Qilin confirma que seus afiliados operam com um modelo já industrializado.

¿Qué conviene tener presente sobre las víctimas listadas?

As listas públicas de vítimas do Qilin e do Dire Wolf devem ser lidas como alegações ou metadados públicos, e não como intrusões confirmadas de forma independente. Essa distinção é fundamental para não superestimar atribuições que ainda dependem da verificação de cada caso, especialmente quando o material apenas expõe a presença em sites ou listas da operação.