- CISA及合作机构确认，SafePay的活动最近持续至2026年8月。
- SafePay至少影响了来自多个关键基础设施领域的600名不同受害者。
- 攻击者通常通过窃取或猜测密码、利用漏洞以及网络钓鱼来获取访问权限。
CISA及合作机构于2026年10月20日发布警报，描述了确认持续至2026年8月的SafePay勒索软件活动。发布机构表示，其调查发现该活动最近持续至8月。
自2024年8月以来，SafePay攻击者一直非常活跃，目标是北美、南美、欧洲和澳大利亚的企业及关键基础设施。CISA表示，该行动影响了来自多个关键基础设施领域的至少600名不同受害者。
攻击者通常通过窃取或猜测密码、利用安全系统漏洞或使用网络钓鱼手段来获取网络访问权限。随后，他们可以创建或接管账户，使用合法工具在网络中横向移动，识别有价值的文件，禁用防护措施，加密文件，并要求支付加密货币。
SafePay利用网络钓鱼账户和自动化脚本进入网络
CISA表示，SafePay攻击者使用Mullvad VPN提供商的IP地址和网络钓鱼获取的账户资料访问受害者网络，以利用边缘设备产品的已知CVE。
在暴露于互联网的系统中，攻击者使用自动化脚本利用CVE-2023-27532、CVE-2024-40711和CVE-2024-40766来获取初始访问权限。
在若干情况下，攻击者使用ShareFinder.ps1和SharpShares.exe识别网络文件共享和有价值资产。
SafePay利用合法工具收集数据并阻止恢复
CISA表示，SafePay使用FileZilla、7-Zip、RClone和WinRAR压缩并收集数据。WinSCP和RClone帮助将数据传输至攻击者控制的账户，而OneDrive在部分情况下被用于外泄数据。
攻击者在部分受害者系统上安装AnyDesk或TeamViewer，以传输勒索软件和其他软件。他们还停止卷影复制服务，并将包含备份数据的网络附加存储重置为出厂设置，以阻碍恢复。
SafePay将ChaCha20加密与RSA公钥密码系统结合使用，加密文件会获得.SafePay扩展名。CISA表示，没有解密密钥就无法恢复这些文件，而攻击者通常要求以加密货币支付公司部分收入，以换取解密软件。
CISA表示，组织应定期修补和更新系统，尤其是防火墙和其他边缘设备。CISA还呼吁实施零信任，限制管理工具和权限，并通过身份、凭据和访问管理政策以及多因素身份验证加强账户安全。
发布机构表示，其调查确认了最近持续至2026年8月的已知SafePay勒索软件战术、技术、程序和失陷指标。CISA表示，SafePay是2026年最活跃的勒索软件组织之一。
防守方现在要做什么
- 定期修补和更新系统，尤其是防火墙和其他边缘设备。
- 实施零信任原则。
- 仅向必要用户授予管理工具和权限。
- 通过实施身份、凭据和访问管理政策以及多因素身份验证，加强账户安全。
常见问题
SafePay勒索软件行动发生了什么？
CISA及合作机构发布了一份警报，描述了确认持续至2026年8月的SafePay活动。SafePay会加密受害者的文件，并留下要求支付加密货币的勒索信。
谁受到了SafePay勒索软件的影响？
SafePay以北美、南美、欧洲和澳大利亚的企业及关键基础设施为目标。CISA表示，至少有600名不同受害者受到影响。
SafePay利用了哪些漏洞？
该警报列出了CVE-2020-3259、CVE-2023-20269、CVE-2023-27532、CVE-2024-40711和CVE-2024-40766。
组织如何防范SafePay？
CISA表示，组织应修补和更新系统，尤其是防火墙和其他边缘设备，实施零信任，限制管理工具和权限，并使用包含多因素身份验证的身份、凭据和访问管理政策。
被SafePay加密的文件会怎样？
SafePay会在加密文件后附加.SafePay，并使用ChaCha20与RSA。CISA表示，没有解密密钥就无法恢复这些文件。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA表示，SafePay攻击者自2024年8月以来一直非常活跃，并以四个地区的企业和关键基础设施为目标。 | CISA | 已证实 |
| CISA表示，SafePay攻击者通常通过窃取或猜测密码、利用安全系统漏洞以及使用网络钓鱼手段获取网络访问权限。 | CISA | 已证实 |
| CISA表示，SafePay攻击者会创建或接管账户，使用合法工具在网络中移动，识别有价值的文件，并禁用防护措施。 | CISA | 已证实 |
| CISA表示，SafePay会加密受害者的文件，并留下要求支付加密货币的勒索信。 | CISA | 已证实 |
| 发布机构表示，其调查确认了最近持续至2026年8月的SafePay活动。 | CISA | 已证实 |
| CISA表示，SafePay是2026年最活跃的勒索软件组织之一，并影响了至少600名不同受害者。 | CISA | 已证实 |
| CISA表示，SafePay使用自动化脚本，在暴露于互联网的系统中利用CVE-2023-27532、CVE-2024-40711和CVE-2024-40766。 | CISA | 已证实 |
| CISA表示，SafePay使用FileZilla、7-Zip、RClone、WinRAR、WinSCP和OneDrive收集并外泄数据。 | CISA | 已证实 |
| CISA表示，SafePay使用AnyDesk和TeamViewer向受害者系统传输勒索软件和其他软件。 | CISA | 已证实 |
| CISA表示，SafePay停止卷影复制服务，并重置网络附加存储以阻碍恢复。 | CISA | 已证实 |
| CISA表示，SafePay使用ChaCha20和RSA加密，并在加密文件后附加.SafePay。 | CISA | 已证实 |
| CISA表示，SafePay通常要求以加密货币支付公司部分收入，以换取解密软件。 | CISA | 已证实 |
| The Record报道称，自2024年8月以来，SafePay已攻破美国和欧洲至少600家组织。 | The Record | 引述 |
| The Record报道称，FBI以及德国和英国机构称SafePay是2026年最活跃的勒索软件组织之一。 | U.K., via The Record | 引述 |
| Infosecurity Magazine报道称，根据Ransomware.live和RansomFeed，SafePay声称有248名受害者。 | Infosecurity Magazine | 引述 |
| Infosecurity Magazine报道称，SafePay声称的受害者包括美国96名、德国46名和英国12名。 | Infosecurity Magazine | 引述 |
| Halcyon表示，SafePay于2024年9月至10月以独立勒索软件行动的形式出现，并使用双重勒索手段。 | Halcyon | 已证实 |
| CISA于2026年10月20日发布了报告。 | CISA | 已证实 |
未能核实
- SafePay的600名受害者是否全部成功遭到加密尚未确定
- 所列CVE是否在每个受影响组织中都被利用尚未确定
