Zeker zeshonderd organisaties in verschillende vitale sectoren in Europa, Noord-Amerika, Zuid-Amerika en Australië zijn het slachtoffer geworden van de SafePay-ransomware, aldus de Duitse politie, de FBI en het Britse National Crime Agency in een gemeenschappelijke cybersecurity advisory (pdf). Om welke organisaties het gaat is niet bekendgemaakt.

De SafePay-ransomwaregroep is sinds augustus 2024 actief. De aanvallers maken gebruik van bruteforce-aanvallen, phishing en kwetsbaarheden in vpn-servers, firewalls en andere edge devices om toegang tot netwerken van organisaties te krijgen. Het gaat onder andere om systemen van Cisco, SonicWall en Veeam. Verder melden de politiediensten dat de ransomwaregroep gebruikmaakt van vpn-provider Mullvad om op de systemen van slachtoffers in te loggen.

Zodra er toegang tot een systeem is verkregen proberen de aanvallers zich lateraal door het netwerk te bewegen. Er wordt dan eerst gezocht naar allerlei data om te stelen. Gevonden data wordt naar servers van cloudopslagdienst Backblaze gestuurd, aldus de politiediensten. Bij de aanval maken de aanvallers gebruik van allerlei legitieme tools, zoals CCleaner, WinRAR, 7-Zip, AnyDesk, FileZilla, PowerShell, PsExec, RClone, ScreenConnect,TeamViewer, AcronisDiskDirector en NetExec.

Zodra de diefstal van data heeft plaatsgevonden wordt de ransomware uitgerold. Wanneer slachtoffers niet het gevraagde losgeld betalen dreigen de aanvallers de gestolen data op hun eigen 'leak' website te publiceren. Volgens de politiediensten is het belangrijk dat organisaties systemen patchen, en dan met name firewalls en andere edge devices. Tevens moeten admin-rechten en tools tot alleen noodzakelijke gebruikers worden beperkt en wordt het gebruik van multifactorauthenticatie aangeraden.