חמש חולשות מופיעות בהתראה המשותפת על קבוצת הכופרה SafePay, וכולן קיבלו תיקון בין 2020 ל-2024. ההתראה AA26-293A, שפרסמו ב-20 באוקטובר 2026 ה-FBI, CISA ורשויות אכיפה בגרמניה ובבריטניה, מייחסת לקבוצה לפחות 600 קורבנות מאז אוגוסט 2024. הנמוכה בציון מבין החמש, 7.5, היא דווקא זו שמובילה אל תשתית הגיבוי.

סקירה כללית

ההתראה מונה מזהי CVE בלבד, בלי שמות מוצרים, ומחלקת אותם לפי דרך ההגעה. את CVE-2020-3259 ו-CVE-2023-20269 הקבוצה מנצלת ידנית, עם פרופילי חשבון שנאספו בפישינג ומכתובות IP של שירות ה-VPN בשם Mullvad. שלוש האחרות מותקפות בסקריפטים אוטומטיים. לפי NVD ו-KEV, השתיים הראשונות יושבות ב-Cisco ASA ו-Firepower Threat Defense, ומבין השלוש CVE-2024-40766 היא ב-SonicWall SonicOS ושתיים ב-Veeam Backup & Replication, CVE-2024-40711 ו-CVE-2023-27532.

אפשר לחלק אותן גם לפי מה שהן נותנות. שלוש הן הדלת, חומת האש או ה-VPN שדרכם הארגון מחובר לאינטרנט. שתיים הן הכספת, שרת הגיבוי עצמו. וקבוצה שלפי ההתראה עוצרת את שירות עותקי הצל (Volume Shadow Copy Service) ומאפסת התקני NAS עם גיבויים, צריכה את שרת הגיבוי יותר מכל מכונה אחרת ברשת.

נתמקד בוותיקה מבין השתיים. שירות הגיבוי של Veeam מקשיב על פורט TCP 9401, ועד לתיקון של מרץ 2023 הוא ענה לכל מי שפנה אליו בלי לבדוק מי שואל. לסוג החולשה הזה קוראים Missing Authentication, חוסר אימות בפונקציה קריטית.

מזהה: CVE-2023-27532
סוג: חוסר אימות בפונקציה קריטית (CWE-306)
מוצר: Veeam Backup & Replication, השירות Veeam.Backup.Service.exe על פורט TCP 9401
גרסאות מושפעות: לפי NVD כל גרסה מתחת ל-11.0.1.1261, וגם 11.0.1.1261 ו-12.0.0.1420 עצמן. Veeam כותבת "כל הגרסאות הקודמות"
גרסה מתוקנת: 12.0.0.1420 P20230223, או 11.0.1.1261 P20230227
ניצול בפועל: כן, בקטלוג ה-KEV של CISA מ-22 באוגוסט 2023

ציר זמן

7 במרץ 2023: Veeam מפרסמת את עדכון האבטחה KB4424.
10 במרץ 2023: NVD מפרסמת את CVE-2023-27532.
23 במרץ 2023: Horizon3.ai מפרסמת ניתוח טכני מלא, ובו גם PoC.
22 באוגוסט 2023: החולשה נכנסת לקטלוג ה-KEV.
אוגוסט 2024: לפי ההתראה, כאן מתחילה הפעילות של SafePay.
20 באוקטובר 2026: ההתראה AA26-293A מתפרסמת.

איך הניצול עובד

התוקף מגיע לפורט 9401, פונה לממשק הפנימי שנועד לרכיבי הגיבוי המרוחקים, ומבקש את רשומות פרטי האימות ששמורות במסד הנתונים של ההגדרות. בלי להזדהות, כי זו בדיוק חולשת ה-Missing Authentication. Veeam כתבה שמדובר בפרטי אימות מוצפנים, ו-Horizon3.ai הראתה שאפשר להמשיך צעד אחד ולקבל אותם בטקסט גלוי. ומה שמור שם? פרטי האימות שבהם שרת הגיבוי מתחבר לכל מכונה שהוא מגבה.

ניתוח ציון ה-CVSS

ציון CVSS: 7.5

הציון סופר את מה שהתוקף משיג ישירות, קריאת מידע בלי להזדהות. מה שנפתח מיד אחרי זה, גישה לכל שרת שהגיבוי נוגע בו, לא נכנס לחשבון.

איפה למצוא Proof of Concept (PoC)

הניתוח של Horizon3.ai הוא ההפניה הטכנית לחולשה הזאת: מפרק את השירות, מראה לאיזה ממשק פנימי התוקף פונה, ומקשר ל-PoC שהחברה פרסמה ב-GitHub.

מי שמריץ Veeam 11 או 12 בלי התיקון של מרץ 2023 מחזיק שרת שמוסר פרטי אימות לכל מי שמגיע לפורט 9401, וההתראה מספרת מי מחפש אותו.