HD Doctor Logo

Alerta SafePay: o ransomware que mira o NAS onde estão seus backups

Por Equipe Técnica HD Doctor

Resposta direta

Segundo alerta publicado em 20/10/2026 pela CISA, pelo FBI e por outras agências dos EUA, da Alemanha e do Reino Unido, o SafePay interrompe as shadow copies do Windows e reseta para o padrão de fábrica o NAS que guarda os backups da vítima; em alguns casos, os operadores apagaram todos os backups em rede. Mantenha uma cópia offline ou imutável fora do alcance das credenciais do domínio e confira VPN, firewall e Veeam. Se o NAS já foi resetado, não reconfigure o volume nem grave nada nos discos.

O que o alerta AA26-293A descreve e por que ele atinge o backup

Em 20/10/2026, a CISA publicou o alerta #StopRansomware AA26-293A, assinado também pelo FBI, pelo Serviço Secreto dos EUA, pela polícia criminal do estado alemão da Renânia-Palatinado e pelas agências britânicas National Crime Agency e North West Regional Organised Crime Unit. Segundo o documento, o grupo SafePay atua desde agosto de 2024 e atingiu ao menos 600 vítimas em diversos setores de infraestrutura crítica na América do Norte, na América do Sul, na Europa e na Austrália. Os indicadores reunidos cobrem atividade observada entre novembro de 2024 e agosto de 2026: a data do alerta é a da publicação, não a dos ataques. Fonte: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a. O BleepingComputer noticiou o alerta em 21/10/2026: https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/. A entrada descrita combina credenciais expostas, força bruta contra senhas, acesso por VPN e exploração automatizada de sistemas expostos à internet. O alerta lista cinco CVEs sem nomear os produtos; pelos registros oficiais, são falhas divulgadas entre 2020 e 2024 no Veeam Backup & Replication (CVE-2023-27532 e CVE-2024-40711), no SonicOS dos firewalls SonicWall (CVE-2024-40766) e no Cisco ASA e Firepower Threat Defense (CVE-2020-3259 e CVE-2023-20269). Segundo o registro da CVE-2023-27532, a falha permite obter credenciais criptografadas guardadas na base de configuração do Veeam, o que pode levar ao acesso aos servidores da infraestrutura de backup. Registro: https://www.cve.org/CVERecord?id=CVE-2023-27532. Depois de entrar, os operadores criam ou assumem contas de administrador, movem-se pela rede com PsExec, WinRM e RDP e desativam softwares de segurança. Para impedir a recuperação, segundo o alerta, eles interrompem o Volume Shadow Copy Service e resetam para as configurações de fábrica o NAS que contém os backups da vítima; em alguns casos, apagaram todos os backups em rede da empresa. O alerta não detalha como esses NAS foram resetados. Antes da criptografia, os dados são compactados com 7-Zip ou WinRAR e enviados com ferramentas legítimas como RClone, WinSCP e b2.exe, cliente de linha de comando do armazenamento em nuvem Backblaze B2. Os arquivos cifrados recebem a extensão .SafePay, e quem não paga tem os dados expostos em um site de vazamentos. Para quem usa NAS como destino de backup, a consequência é direta: um equipamento acessível pela rede de produção e administrado com as mesmas credenciais dos servidores pode cair junto com eles. O alerta recomenda backups offline, criptografados e imutáveis, isto é, que não possam ser alterados nem apagados, com restauração testada regularmente e várias cópias em locais fisicamente separados e segmentados. Também pede MFA em todos os serviços possíveis, em especial webmail, VPN e contas com acesso a sistemas críticos, e prioridade na correção de vulnerabilidades já exploradas em equipamentos expostos à internet. Separar as contas do NAS e do console de backup do Active Directory é uma forma prática de aplicar essas medidas. Se o NAS já foi resetado, o que resta depende do que o reset fez em cada modelo. Em alguns equipamentos, a restauração de fábrica apaga a configuração e pode marcar o volume para reformatação na próxima inicialização; criar um volume novo grava metadados sobre as estruturas necessárias para remontar o RAID. Enquanto os discos não forem sobrescritos, parte dos dados pode continuar gravada neles, mas não há como saber quanto sem análise, e em SSDs o TRIM pode descartar áreas apagadas. A HD Doctor avalia NAS e RAID a partir dos discos preservados; o resultado depende do que foi sobrescrito e não há garantia de recuperação. Essa avaliação não substitui a resposta ao incidente, não investiga vazamento e não garante descriptografia.

Três atitudes que podem custar seus backups

  1. 1.
    Reconfigurar o NAS resetado ou criar um volume novo. O assistente de configuração pode inicializar os discos e gravar estruturas novas sobre as antigas. Até decidir o próximo passo com quem fará a recuperação, mantenha o equipamento desligado e os discos na ordem original.
  2. 2.
    Restaurar backups no mesmo NAS ou numa rede ainda comprometida. Gravar no NAS atacado sobrescreve áreas que podem conter dados recuperáveis. Restaurar usando servidores e credenciais não revisados expõe a única cópia restante ao mesmo acesso que derrubou a primeira.
  3. 3.
    Deixar NAS e Veeam presos ao domínio e sem MFA. Se as contas do NAS e do console de backup dependem do Active Directory, uma conta de administrador comprometida alcança também os backups. Use contas próprias, senhas exclusivas e MFA, como o alerta recomenda para sistemas críticos.

Cinco medidas para proteger e preservar os backups

Roteiro editorial para coordenar TI, segurança e responsáveis pelos dados. Os quatro primeiros passos são preventivos; o último vale para quem já encontrou o NAS resetado ou os backups apagados.

  1. 1

    Crie hoje uma cópia fora do alcance do domínio

    Se o único backup está em um NAS gravável pela rede, gere uma cópia adicional offline ou em armazenamento imutável, administrada por credenciais que não estejam no Active Directory. Restaure uma amostra dessa cópia e confira se os arquivos abrem: backup que nunca foi testado é só uma hipótese.

  2. 2

    Confira VPN, firewalls e Veeam expostos à internet

    Peça à TI as versões em uso do Veeam Backup & Replication, do SonicOS e do Cisco ASA ou FTD, e confirme com cada fabricante se as correções dos CVEs citados no alerta foram aplicadas. Exija MFA na VPN e evite deixar o console de backup acessível diretamente pela internet.

  3. 3

    Separe as credenciais do NAS e do backup

    Use contas administrativas exclusivas para o NAS e para o Veeam, com senhas longas, sem reaproveitamento e MFA quando o equipamento oferecer. Revise contas de administrador desconhecidas ou criadas recentemente no Active Directory, no NAS e no console de backup.

  4. 4

    Procure sinais do roteiro descrito no alerta

    Peça à equipe de segurança para verificar paradas do serviço de shadow copies, uso fora do padrão de RClone, WinSCP ou b2.exe, sessões inesperadas de PsExec, WinRM e RDP e arquivos com extensão .SafePay. A lista completa de indicadores está no alerta da CISA; ferramenta legítima instalada não é, sozinha, prova de ataque.

  5. 5

    Se o NAS foi resetado, preserve os discos antes de agir

    Combine com a equipe de resposta o desligamento do NAS, não rode o assistente de configuração e não restaure backup sobre ele. Identifique a posição de cada disco antes de retirá-lo e registre data, horário e tudo o que já foi feito. A avaliação de recuperação parte desses discos preservados.

Perguntas sobre o SafePay e backups em NAS

O SafePay só ataca grandes empresas e infraestrutura crítica?

Não necessariamente. O alerta contabiliza ao menos 600 vítimas em setores de infraestrutura crítica, mas também descreve operações contra uma ampla gama de empresas, em quatro continentes, incluindo a América do Sul. As portas de entrada citadas, como credenciais vazadas, VPN sem MFA e equipamentos de borda desatualizados, existem em empresas de qualquer porte.

Meu NAS foi resetado para o padrão de fábrica. Os dados foram apagados?

Não necessariamente todos, mas não há como afirmar o que resta sem análise. O efeito varia conforme o modelo e o que aconteceu depois do reset: reconfigurar, criar volume novo ou gravar arquivos sobrescreve áreas que poderiam ser recuperadas. Desligue o equipamento e preserve os discos; cada nova gravação reduz as chances.

Backup imutável resolve o problema?

Ajuda, desde que esteja fora do alcance das credenciais comprometidas e tenha a restauração testada. O alerta recomenda backups offline, criptografados e imutáveis, com cópias em locais separados. Imutabilidade, porém, não impede o vazamento: o SafePay copia os dados antes de cifrar e ameaça publicá-los.

Quando faz sentido pedir recuperação profissional de dados?

Quando o NAS ou o servidor de backup foi resetado, formatado ou teve os backups apagados e não existe outra cópia validada, ou quando volumes, VMs e bancos ficaram inacessíveis. Preserve os discos e registre o que foi tentado. A recuperação não substitui a resposta ao incidente nem a investigação de vazamento, e não garante descriptografia.

O NAS foi resetado ou os backups sumiram?

Preserve os discos na ordem original e informe datas, sintomas e tentativas já feitas.

Próximas leituras