SafePay Ransomware: Taktiken, Techniken und Abwehrmaßnahmen

Zusammenfassung

SafePay-Ransomware-Akteure zielen durch Diebstahl von Anmeldedaten, Phishing und Ausnutzung bekannter Schwachstellen auf Unternehmen und kritische Infrastrukturen ab. Sie halten die Persistenz aufrecht, indem sie Administratorkonten manipulieren und auf ‚Living-off-the-Land‘-Techniken für laterale Bewegungen setzen. Der Angriff endet typischerweise mit Datenexfiltration, gefolgt von hybrider ChaCha20-RSA-Verschlüsselung und Kryptowährungs-Lösegeldforderungen.

Untersuchung

Die Untersuchung wurde gemeinsam vom FBI, USSS, CISA, dem Landeskriminalamt Rheinland-Pfalz in Deutschland und der britischen NCA und NWROCU durchgeführt. Die Ergebnisse basieren auf Ermittlungen bis August 2026. Seit August 2024 haben die SafePay-Akteure mindestens 600 Opfer in verschiedenen Branchen und kritischen Sektoren betroffen.

Abschwächung

Organisationen sollten bekannten ausgenutzten Schwachstellen, insbesondere solchen, die Endgeräte und Firewalls betreffen, Priorität beim Patchen einräumen. Die Anwendung von Zero-Trust-Prinzipien, Mehrfaktor-Authentifizierung (MFA) und starken Identitäts- und Zugriffsverwaltungskontrollen (ICAM) ist essenziell. Die Aufrechterhaltung unveränderlicher Offline-Backups und die Durchsetzung der Netzwerksegmentierung können das potenzielle Impact von Ransomware-Angriffen erheblich reduzieren.

Reaktion

Wenn SafePay-Aktivitäten erkannt werden, sollten Organisationen kompromittierte Systeme isolieren und Bedrohungsjagd betreiben, um den vollen Umfang des Eindringens zu bestimmen. Vorfälle sollten den relevanten Strafverfolgungsbehörden, einschließlich dem FBI oder IC3, gemeldet werden. Nach der Eindämmung sollten Löschstrategien angewandt werden, um die Bedrohung zu beseitigen und betroffene Umgebungen zu stärken, um ein erneutes Eindringen zu verhindern.

Simulation Ausführung

• Angriffsgeschichte & Befehle: Der Angreifer hat sich initialen Zugang verschafft und führt interne Erkundungen durch, um hochrangige Benutzerkonten für laterale Bewegungen zu identifizieren. Gemäß des SafePay-Ransomware-Playbooks führt der Angreifer ein spezielles PowerShell-Skript namens ShareFinder.ps1 aus, um Netzwerklaufwerke zu kartieren, und nutzt dann den Befehl net user über cmd.exe um lokale Benutzerkonten aufzulisten. Diese spezifischen Aktionen sollen die Erkennungsregel auslösen, um zu validieren, ob das SOC eine Warnung erhält.

• Regressionstest-Skript:

  # Simulationsskript für SafePay Erkennung Validierung
  
  Write-Host "[+] Simulation startet..." -ForegroundColor Cyan
  
  # 1. Simuliere die Ausführung von PowerShell 'ShareFinder.ps1'
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Suche nach Freigaben...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Ausführung von ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. Simuliere 'net user' über cmd.exe
  Write-Host "[+] Ausführung von 'net user' über cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Simulationsbefehle abgeschickt." -ForegroundColor Green

• Bereinigungsbefehle:

  # Bereinigen der Simulations-Artefakte
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Bereinigung: $scriptPath entfernt" -ForegroundColor Green
  } else {
      Write-Host "[!] Bereinigung: Skript nicht gefunden, nichts zu entfernen." -ForegroundColor Gray
  }