Międzynarodowe agencje ścigania, w tym FBI, wydały ostrzeżenie dotyczące grupy ransomware SafePay. Od sierpnia 2024 roku napastnicy zaatakowali co najmniej 600 organizacji w USA i Europie, celując w sektor biznesowy oraz infrastrukturę krytyczną.
Grupa stosuje zróżnicowane metody wejścia do sieci, takie jak phishing, ataki typu brute-force na hasła oraz automatyczne skanowanie systemów pod kątem znanych podatności. Wśród wykorzystywanych luk wymieniono m.in. CVE-2020-3259, CVE-2023-20269 oraz CVE-2024-40711.
Po uzyskaniu dostępu do sieci, sprawcy przejmują kontrolę nad kontami lub tworzą nowe, a następnie wykorzystują legalne narzędzia systemowe do poruszania się wewnątrz infrastruktury. Aby uniknąć wykrycia, wyłączają zabezpieczenia i używają autentycznych programów do zdalnego pulpitu, takich jak AnyDesk czy TeamViewer, do dystrybucji złośliwego oprogramowania.
Przed zaszyfrowaniem danych, napastnicy kradną pliki, używając do tego legalnych narzędzi do kompresji. Aby zwiększyć presję na ofiary, grupa stosuje szantaż telefoniczny, żądając okupu w kryptowalutach w zamian za klucz deszyfrujący.
