SafePay har rammet virksomheter og organisasjoner i kritisk infrastruktur i Nord-Amerika, Sør-Amerika, Europa og Australia. Det opplyser USAs Cybersecurity and Infrastructure Security Agency (CISA) i en felles rapport med FBI, Secret Service, tyske Landeskriminalamt Rheinland-Pfalz, Storbritannias National Crime Agency og North West Regional Organised Crime Unit.

Etatene ber ofre rapportere ransomwarehendelser til politiet. De understreker samtidig at det ikke er noen garanti for at filer blir gjenopprettet selv om løsepenger betales.

Flere veier inn i nettverkene

«SafePay is one of the most active ransomware groups and have affected businesses and critical infrastructure in North America, South America, Europe, and Australia—including at least 600 organizations from multiple critical infrastructure sectors since August 2024,» skriver CISA i rapporten.

Ifølge etaten får angriperne tilgang på flere måter. Det omfatter eksponerte kontoopplysninger, brute force-angrep mot passord og utnyttelse av tilgang til virtuelle private nettverk (VPN), særlig IP-adresser knyttet til VPN-leverandøren Mullvad.

Angriperne bruker også ifølge CISA falske eller stjålne kontoopplysninger fra phishing for å infiltrere nettverk. I tillegg utnytter de kjente sårbarheter, såkalte CVE-er, i nettverksutstyr og andre systemer som er eksponert mot internett. Dette skal blant annet skje gjennom automatiserte skript.

Ber virksomheter styrke beskyttelsen

De samarbeidende etatene anbefaler nettverksforsvarere å begrense administrative verktøy og privilegier. Målet er å hindre angriperne i å bevege seg videre i nettverket etter et innbrudd.

De anbefaler også å ta i bruk multifaktorautentisering (MFA) og retningslinjer for identitets-, konto- og tilgangsstyring, kjent som ICAM. Systemene bør holdes oppdatert, med særlig oppmerksomhet på sårbarheter i VPN-er, brannmurer og annet utstyr i nettverkskanten.

Slike sårbarheter er ofte blant de første angrepspunktene i SafePay-operasjoner, ifølge rapporten. CISA opplyser også at gruppen kan forsøke å hindre gjenoppretting ved å slette skyggekopier og tilbakestille nettverkstilkoblede lagringsenheter som inneholder sikkerhetskopier.

Har ingen tilknyttede samarbeidspartnere

SafePay dukket opp i august 2024 som en privat ransomwaregruppe som ikke samarbeider med såkalte affiliates, altså eksterne aktører som gjennomfører angrep på vegne av en ransomwareoperasjon.

Gruppen har siden publisert hundrevis av ofre fra Nord-Amerika, Sør-Amerika, Europa og Australia på et lekkasjenettsted på det mørke nettet. Det reelle antallet virksomheter gruppen har brutt seg inn hos og forsøkt å presse for penger, er imidlertid høyere, fordi nettstedet bare viser ofre som ikke har betalt.

SafePay bruker det som kalles dobbel utpressing. Gruppen stjeler sensitive dokumenter før den krypterer systemene, og truer deretter med å publisere de stjålne dataene dersom løsepengene ikke blir betalt.

Etatene har tatt med indikatorer på kompromittering og beskrivelser av gruppens taktikker, teknikker og prosedyrer. Materialet bygger på SafePay-aktivitet som ble observert i etterforskninger gjennomført av FBI, Secret Service og Landeskriminalamt Rheinland-Pfalz mellom november 2024 og august 2026.

Siden starten av 2025 skal SafePay gradvis ha fylt tomrommet etter ransomwaregruppene BlackCat, også kjent som ALPHV, og LockBit. CISA omtaler gruppen som en av de mest aktive ransomwareoperasjonene.