SafePay-Ransomware: CISA, FBI und Partner warnen vor einer Gruppe, die seit August 2024 mindestens 600 Organisationen getroffen hat

Mindestens 600 Organisationen in vier Regionen der Welt sind seit August 2024 Opfer der Gruppe SafePay geworden, und Cybersicherheitsbehörden in den Vereinigten Staaten und verbündeten Ländern rufen Unternehmen und Betreiber kritischer Infrastruktur nun dazu auf, Schutzmaßnahmen umzusetzen. CISA, das FBI und ihre Partner veröffentlichten am Dienstag, dem 20. Oktober 2026, die gemeinsame #StopRansomware-Cybersicherheitswarnung mit der Kennung AA26-293A, die die Methoden der Gruppe und Schutzmaßnahmen beschreibt.

SafePay ist eine Ransomware-Gruppe, das heißt, ihre Schadsoftware verschlüsselt die Dateien einer Organisation und verlangt Geld für deren Entschlüsselung. Die Unterzeichner beschreiben sie als eine der aktivsten Gruppen ihrer Art. Die Opfer befinden sich in Nord- und Südamerika, Europa und Australien und stammen aus vielen Sektoren kritischer Infrastruktur. Die Warnung ist vom FBI, von CISA und vom US-Geheimdienst Secret Service (USSS) unterzeichnet, zusammen mit dem Landeskriminalamt Rheinland-Pfalz in Deutschland sowie der britischen National Crime Agency und der North West Regional Organised Crime Unit. Die Informationen stammen aus Ermittlungen, die bis August 2026 liefen.

Wie die Gruppe vorgeht

Die Täter setzen auf doppelte Erpressung: Sie stehlen Daten, verschlüsseln Systeme und drohen, das Erbeutete zu veröffentlichen. Zahlt das Opfer nicht, landen die Daten auf der Leak-Seite der Gruppe. Lösegeld wird in Kryptowährung verlangt und entspricht typischerweise einem Anteil am Umsatz des Unternehmens. Die Erpressernachricht wird meist auf dem Desktop hinterlassen und führt zu einem Chat-Portal im Tor-Netzwerk, und in einigen Fällen ruft ein Vertreter der Gruppe die Opfer an, um Druck auszuüben.

Um in das Netzwerk zu gelangen, nutzen die Täter geleakte Passwörter, führen massenhafte Passwort-Ratetattacken (Brute-Force) durch und verbinden sich per VPN mit IP-Adressen des Anbieters Mullvad. Sie verwenden außerdem Konten, die per Phishing erbeutet wurden. Ein weiterer Zugang sind Schwachstellen, also bekannte Sicherheitslücken, in Geräten am Netzwerkrand wie Firewalls und in anderen mit dem Internet verbundenen Systemen, die mit automatisierten Skripten ausgenutzt werden. Die Warnung listet fünf CVEs auf: CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 und CVE-2024-40766.

Sind die Täter einmal drin, legen sie Konten an oder übernehmen sie, bewegen sich mit legitimen Werkzeugen wie PsExec, WinRM und RDP seitlich durch das Netzwerk und deaktivieren Sicherheitssoftware. Sie komprimieren Daten mit Werkzeugen wie 7-Zip und WinRAR und senden sie mit WinSCP und RClone an Konten unter ihrer Kontrolle. Um die Wiederherstellung zu erschweren, stoppen sie den Volume-Shadow-Copy-Dienst und setzen netzwerkangebundene Speichergeräte (NAS), auf denen Backups liegen, auf Werkseinstellungen zurück. Verschlüsselte Dateien erhalten die Endung .SafePay.

Was die Behörden empfehlen

Die Behörden bitten Organisationen, Systeme und Software regelmäßig zu aktualisieren, insbesondere Firewalls und andere Geräte am Netzwerkrand, und dabei bekannte, bereits ausgenutzte Schwachstellen zu priorisieren. Sie fordern außerdem, Zero Trust anzuwenden, administrative Werkzeuge und Rechte auf diejenigen zu beschränken, die sie brauchen, und Konten mit Richtlinien für Identitäts-, Zugangsdaten- und Zugriffsmanagement (ICAM) sowie mit Multi-Faktor-Authentifizierung (MFA) abzusichern. Zu den Maßnahmen gehören Passwörter mit 15 bis 64 Zeichen, Offline-Backups, die verschlüsselt und unveränderlich sind, sowie Netzwerksegmentierung.

Die Behörden raten nicht dazu, Lösegeld zu zahlen, weil die Zahlung nicht garantiert, dass die Dateien wiederhergestellt werden. Sie bitten Opfer, Vorfälle umgehend dem IC3 des FBI, einer örtlichen Dienststelle des FBI oder des USSS oder CISA zu melden und kompromittierte Computer zu isolieren.