Les cinc portes de SafePay: cap no és del 2026

Sis organismes de tres països van publicar ahir un avís conjunt sobre el grup de ransomware SafePay: com a mínim 600 víctimes des de l'agost del 2024. Dins del document hi ha una llista de cinc vulnerabilitats que aquests atacants exploten, i aquesta llista diu una cosa que no diu el titular: no hi ha cap dia zero, cap sistema operatiu i cap vulnerabilitat del 2026. Hi ha tres tallafocs i dos servidors de còpies. La porta més nova va fer dos anys fa unes setmanes.

Qui signa l'avís

El document és l'AA26-293A, publicat el 20 d'octubre del 2026 dins la sèrie #StopRansomware. El signen l'FBI, CISA i el Servei Secret dels Estats Units juntament amb la Landeskriminalamt de Renània-Palatinat a Alemanya, i la National Crime Agency i la North West Regional Organised Crime Unit al Regne Unit. Quan sis organismes de tres països es posen d'acord per signar el mateix, la paperassa triga; que hagi sortit ara vol dir que el material fa mesos que s'acumula.

Les xifres: el grup és actiu des de l'agost del 2024 i l'avís parla de com a mínim 600 víctimes diferents, repartides per Nord-amèrica, Sud-amèrica, Europa i Austràlia, en diversos sectors d'infraestructura crítica. Roben dades, xifren i amenacen de publicar. I hi ha un detall operatiu que convé retenir per al final: després del xifratge, algú truca per telèfon en nom del grup.

Convé llegir amb precisió com introdueix l'avís la llista de vulnerabilitats, perquè canvia l'ordre dels factors: diu que aquests atacants fan servir «perfils de compte obtinguts per phishing per accedir a les xarxes de les víctimes i explotar els següents CVE coneguts de productes de vora». És a dir, les cinc portes no són el primer pas: són el que converteix el robatori d'una credencial en un xifratge. Això no les fa menys importants, les posa al seu lloc —i, de passada, avança la conclusió d'aquest post, que va menys de pedaços del que sembla.

Les cinc portes, amb data

Aquesta és la llista de l'avís, ordenada per antiguitat. La columna que importa és l'última.

Tres aparells de perímetre i dues vegades el mateix servidor de còpies. Ni Windows, ni Linux, ni un navegador, ni una aplicació de negoci. Si el teu pla de defensa contra el ransomware consisteix en un antivirus a cada lloc i l'actualització mensual de Windows, cap d'aquestes cinc portes no és dins del teu pla.

Tres de les cinc són a l'aparell que deixa entrar

Les tres de perímetre no són la mateixa cosa, i llegides en ordre expliquen una seqüència sencera. CVE-2020-3259 deixa llegir memòria de l'aparell sense autenticar-se; el que en surt són credencials i trossos de sessió. CISA la va ficar al seu catàleg d'errors explotats el febrer del 2024, associada a un altre grup de ransomware. CVE-2023-20269 permet provar usuaris i contrasenyes contra el perfil de connexió per defecte de la VPN d'accés remot: no entra sola, però converteix en útil el que l'anterior va treure. CVE-2024-40766 és la més recent de les tres i afecta tant la interfície de gestió com el servei SSLVPN en tres generacions de tallafocs.

I aquí hi ha el que ens sembla la lliçó més cara de les tres, perquè no va de pedaços: el pedaç tanca el forat, no tanca la sessió. El mateix fabricant del tercer va publicar amb l'arranjament una instrucció que gairebé ningú no va executar —canviar les contrasenyes dels usuaris locals amb accés SSLVPN després d'actualitzar— i un any més tard va haver d'aclarir que l'onada d'atacs que se li atribuïa no venia d'una fallada nova, sinó de l'ús de credencials robades abans del pedaç, moltes arrossegades d'una generació d'aparell a la següent en una migració. Si una vulnerabilitat de divulgació d'informació ha estat oberta a casa teva, el que es van endur no caduca en actualitzar el microprogramari. Caduca quan rotes les credencials.

Les altres dues són al sistema que t'havia de salvar

Que el servidor de còpies aparegui dues vegades en una llista de cinc no és casualitat estadística, i la parella és molt eloqüent. CVE-2024-40711 és la que surt als titulars: deserialització insegura, execució de codi sense credencials, 9,8 de nota. Afecta la versió 12.1.2.172 i totes les anteriors de la branca 12, i es va corregir a la 12.2 (build 12.2.0.334). Però la que explica per què hi van és l'altra, la del 2023: CVE-2023-27532 no executa res, simplement treu les credencials (xifrades) desades a la base de configuració a qui arribi al servei des de la xarxa de la infraestructura de còpies. Es va arreglar el març del 2023, a les builds 12.0.0.1420 P20230223 i 11.0.1.1261 P20230227.

Dit d'una altra manera: el servidor de còpies és, per disseny, un clauer. Per fer la seva feina desa credencials de l'hipervisor, de l'emmagatzematge, del repositori, del domini i de la meitat de les màquines que protegeix. No és un objectiu més dins del parc: és l'únic lloc on totes aquestes claus estan juntes en un sol lloc i amb permisos administratius. Qui hi arriba no necessita moure's per la xarxa provant coses, perquè ja té l'inventari i les claus. Això ho vam explicar amb més detall al seu moment: el servidor de còpies dins del domini és una dependència circular.

No esborren la còpia: tornen el NAS a fàbrica

Aquest és el detall de l'avís que més ens ha fet pensar i que gairebé no hem vist citat a la cobertura. La versió que tots repetim és «el ransomware esborra les còpies». El que descriu l'avís és una altra cosa: paren el servei d'instantànies de volum i restableixen els dispositius NAS als seus valors de fàbrica.

La diferència no és de matís. Esborrar fitxers deixa rastre, triga i es pot interrompre: un esborrat massiu dispara alertes, i en molts repositoris la retenció o la immutabilitat ho impedeixen. Un restabliment de fàbrica és una operació legítima del tauler d'administració de l'aparell, triga segons i s'emporta per davant les còpies, la configuració de les tasques, les regles de retenció i els mateixos registres del NAS en el mateix gest. No estàs restaurant des d'un repositori danyat: estàs davant d'un aparell que ha tornat a l'estat en què va sortir de la capsa, i que ja no sap que alguna vegada va ser el teu repositori de còpies.

La conseqüència de disseny és incòmoda i és la tesi d'aquest post: una còpia que es pot destruir des d'un tauler d'administració al qual l'atacant arriba amb credencials vàlides no és una còpia a part. És la mateixa còpia, en una altra caixa. La regla 3-2-1 no parla de caixes, parla que una d'aquelles còpies sigui fora de l'abast de qui controla la teva xarxa: immutable de debò —amb la immutabilitat al repositori, no en una casella de la tasca— o desconnectada, o en un lloc el tauler del qual no comparteix identitats amb el teu domini.

El que fan servir a dins ja estava instal·lat

L'inventari d'eines de l'avís tampoc no té res d'exòtic: ShareFinder.ps1 i SharpShares.exe per trobar recursos compartits, WinRAR i 7-Zip per empaquetar, Rclone i FileZilla per treure les dades, PsExec i WinRM per executar en altres màquines, AnyDesk i TeamViewer per a l'accés remot, Mimikatz per a les credencials. Dues terceres parts d'aquesta llista estan instal·lades ara mateix, amb llicència i amb motiu, a la majoria d'empreses que coneixem.

Per això el fitxer no és el senyal. El senyal és el context: AnyDesk apareixent en un servidor on no hi va ser mai, Rclone parlant amb un emmagatzematge al núvol que no és el vostre, PsExec sortint d'un lloc que no és el de l'administrador, a les tres de la matinada d'un dissabte. Això no ho contesta un llistat d'aplicacions permeses; ho contesta alguna cosa que miri el comportament i algú que estigui despert per respondre, que és la part que venem com a EDR/MDR gestionat i la que, honestament, és més difícil de sostenir amb l'equip de dins.

Quan NO pedaçar demà a primera hora

La reacció natural a un avís així és dir «pedaçem el tallafocs demà». Nosaltres, que en vivim, direm el contrari, i és la raó per la qual aquestes cinc portes fa anys que són obertes a tanta gent: actualitzar un tallafocs en horari d'oficina és, en si mateix, un incident. Talla totes les sessions VPN, deixa fora qui estigui teletreballant, i si l'actualització surt regular perds l'accés remot a l'aparell que dona l'accés remot. El mateix amb el servidor de còpies: pujar una branca major un divendres amb les tasques corrent és com es trenquen les cadenes de còpies.

El que no val és sortir d'aquesta conversa sense data. La diferència entre una empresa que no pedaça i una que pedaça a poc a poc és que la segona surt de la reunió amb quatre coses escrites: finestra concreta, qui és davant de l'aparell, com es torna enrere i qui confirma l'endemà que el servei fa el que feia. El que sí que es pot fer aquesta mateixa tarda i no necessita finestra és tota la resta —treure la gestió de la cara d'internet, exigir doble factor, rotar credencials locals, mirar qui arriba al servidor de còpies—, i és just el que la majoria deixa per quan arribi el pedaç.

Les vuit comprovacions

Això és el que recorrem nosaltres quan surt un avís d'aquest tipus. Les cinc primeres es contesten en una tarda; les tres últimes són les que decideixen com acaba el mal dia.

1. Quina versió corre el tallafocs, i des de quan. La versió exacta al costat de la versió corregida de l'avís del fabricant, i la data de l'última actualització. Si aquesta data té més d'un any, la resta de la llista importa el doble.
2. Contesta la interfície de gestió des d'internet? Comprova-ho des de fora, amb una connexió que no sigui la de l'oficina, no sobre el paper de la configuració. La gestió exposada és el que converteix una fallada de control d'accés en una entrada.
3. Es van rotar les credencials locals DESPRÉS de l'últim pedaç? I molt en particular: si vau canviar de generació d'aparell i vau migrar els usuaris locals, aquelles contrasenyes vénen d'abans de l'arranjament. Aquesta és la casella que explica bona part dels incidents recents.
4. Doble factor a la VPN i al correu web, amb la llista d'excepcions al davant. Sempre hi ha excepcions —el proveïdor, el comercial del mòbil vell, el compte de servei—. No passa res per tenir-ne; passa per no saber quantes són. Escriu-les i posa'ls data de caducitat.
5. La build exacta del servidor de còpies i qui hi arriba. No «la 12», la build. I després: des de quines xarxes s'arriba al seu servei, quins comptes hi poden iniciar sessió i si és membre del mateix domini que està protegint.
6. El tauler del NAS o del repositori. S'administra amb comptes del domini? Té segon factor? Pot algú, des d'aquest tauler, destruir la retenció en un clic? Si les respostes són sí, no i sí, la teva segona còpia és la primera còpia amb un altre nom.
7. Una còpia que no depengui de cap tauler abastable. Immutable al repositori o desconnectada. La pregunta de control no és «tenim còpies immutables?», és «qui, amb quines credencials, pot deixar de tenir-ne?».
8. Restaurar alguna cosa de debò, i cronometrar-ho. No comprovar que la tasca va sortir en verd: aixecar un servei i mirar el rellotge. El nostre últim simulacre de recuperació completa va ser de 14 minuts; és una dada nostra i una prova, no una promesa per al teu cas. El valor no és al número, és que sabem quin és.

I si sona el telèfon

Tornem al detall del principi, perquè és el que no és en cap pla tècnic: després de xifrar, truquen. No truquen a l'administrador de sistemes —aquell ja sap què passa—, truquen a qui contesti. I qui contesta sol ser algú d'administració o de recepció, un dimecres al matí, sense guió i sense saber que aquesta trucada és part de l'atac. Un pla de continuïtat que no inclou dues línies sobre qui parla, qui no parla i a qui s'avisa primer és incomplet pel costat barat.

I convé recordar l'ordre correcte: recuperar les dades no és haver fet fora l'atacant. Si van entrar per una credencial de VPN que continua sent vàlida, restaurar et torna el servei i els torna l'objectiu. Vam dedicar un post sencer a aquesta distinció: recuperar ràpid no és fer fora l'atacant.

El que de debò va fallar aquí

No va ser la sofisticació de l'atacant. Les cinc portes tenien pedaç —totes, des de fa entre dos i més de sis anys— i els tres fabricants van publicar l'avís a temps. El que va fallar és un buit de procés que veiem a gairebé totes les empreses per on passem: hi ha cadència per a Windows perquè existeix el dimarts de pedaços i existeix una eina que ho fa; hi ha cadència per a Microsoft 365 perquè no la decideixes tu. Per al tallafocs i el servidor de còpies no hi ha cadència: hi ha «quan hi hagi finestra». I són exactament els dos aparells que anomena l'avís, justament perquè són els dos que no es poden reiniciar en horari d'oficina.

No som resellers de cap marca de tallafocs ni de còpies, així que ho podem dir sense conflicte: això no s'arregla comprant res. S'arregla amb un manteniment que tingui escrit quins aparells hi ha, quina versió corren, qui és el responsable de cadascun i quan li toca finestra —inclosos els dos que ningú no vol tocar— i amb la part de continuïtat que decideix, abans del mal dia, quina còpia no pot destruir ningú des de cap tauler. El que sí que venem és fer-ho nosaltres quan l'equip de dins està en una altra cosa.

La pregunta amb què tanquem no és si estàs pedaçat, perquè aquesta es contesta amb un «em penso que sí». És aquesta: si algú entra avui amb les credencials del teu administrador de còpies, quina còpia et queda demà? Si per respondre has de preguntar-ho a algú, ja tens mitja resposta.

Fonts i mètode: la data de l'avís, els organismes signants, la xifra de «com a mínim 600 víctimes», el període des de l'agost del 2024, la llista dels cinc CVE explotats, l'inventari d'eines (ShareFinder.ps1, SharpShares.exe, WinRAR, 7-Zip, Rclone, FileZilla, PsExec, WinRM, AnyDesk, TeamViewer, Mimikatz), l'aturada del servei d'instantànies de volum, el restabliment dels NAS a valors de fàbrica, la trucada telefònica a la víctima i les mitigacions recomanades surten de l'avís conjunt AA26-293A, #StopRansomware: SafePay Ransomware, publicat per CISA el 20 d'octubre del 2026 i consultat aquell mateix dia. Les versions corregides de Veeam Backup & Replication procedeixen dels butlletins del fabricant KB4424 (CVE-2023-27532: builds 12.0.0.1420 P20230223 i 11.0.1.1261 P20230227) i KB4649 (CVE-2024-40711: afecta la 12.1.2.172 i anteriors de la branca 12, corregit a la build 12.2.0.334). Els detalls de CVE-2024-40766 —abast a Gen 5, 6 i 7, gestió i SSLVPN, avís SNWLID-2024-0015— i la recomanació de canviar les contrasenyes dels usuaris locals després d'actualitzar, de l'avís de SonicWall sobre l'activitat recent contra SSLVPN, que és també on el fabricant aclareix que l'onada posterior es recolzava en credencials compromeses abans del pedaç; la lectura que el pedaç no rota les credencials està desenvolupada al diari del SANS Internet Storm Center sobre aquest mateix CVE, citat com a font secundària. CVE-2020-3259 i CVE-2023-20269 estan descrits segons els avisos de seguretat de Cisco per a ASA i FTD; les versions corregides van per branca i cal mirar-les a l'avís corresponent, per això no les reproduïm aquí. No tenim telemetria pròpia sobre SafePay ni hem atès cap incident d'aquest grup: tot el que s'atribueix a l'atacant procedeix de l'avís. La dada dels 14 minuts és nostra, d'un simulacre intern de recuperació completa, i es dona com a prova feta, no com a compromís de servei. El que és nostre aquí és la lectura —que les cinc portes són totes anteriors al 2025, que tres són al perímetre i dues al clauer de les còpies, que un restabliment de fàbrica no és un esborrat, i que el buit és a la cadència de pedaçat dels dos aparells que no es poden reiniciar en horari d'oficina— i les vuit comprovacions, que són de collita pròpia. Les traduccions dels termes citats són nostres.