SafePay 勒索软件：策略、技术与防御措施

总结

SafePay勒索软件攻击者通过凭证盗窃、网络钓鱼及已知漏洞的利用，针对企业和关键基础设施进行攻击。他们通过操控管理员账户保持持久性，并依赖环境内的工具进行横向移动。攻击通常以数据外泄结束，随后是混合的ChaCha20-RSA加密和加密货币勒索要求。

调查

调查由FBI、USSS、CISA、德国莱茵-普法尔茨州的刑事警察局，以及英国的NCA和NWROCU共同开展。调查结果基于截至2026年8月进行的调查。自2024年8月以来，SafePay攻击者已影响至少600个跨多个行业和关键领域的受害者。

缓解措施

组织应优先修补已知受利用的漏洞，尤其是那些影响边缘设备和防火墙的漏洞。应用零信任原则、多因素认证(MFA)和强大的身份和访问管理(ICAM)控制是至关重要的。维护不可变的离线备份和实施网络分段也能显著降低勒索软件攻击的潜在影响。

响应

检测到SafePay活动时，组织应隔离受感染的系统并进行威胁狩猎以确定入侵的全貌。事件应报告给相关执法机构，包括FBI或IC3。遏制后，运用驱逐策略移除威胁并加强受影响的环境以防止重新进入。

仿真执行

• 攻击叙述及命令： 对手已获得初始访问权限，并进行内部侦察以识别横向移动的高价值用户账户。根据SafePay勒索软件手册，攻击者执行一个名为 ShareFinder.ps1 的专业PowerShell脚本以映射网络共享，然后利用 net user 命令通过 cmd.exe 枚举本地用户账户。这些特定操作旨在触发检测规则，以验证SOC是否收到警报。

• 回归测试脚本：

  # SafePay检测验证的模拟脚本
  
  Write-Host "[+] Starting Simulation..." -ForegroundColor Cyan
  
  # 1. 模拟PowerShell 'ShareFinder.ps1'的执行
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host 'Scanning for shares...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] Executing ShareFinder.ps1..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. 通过cmd.exe模拟 'net user'
  Write-Host "[+] Executing 'net user' via cmd.exe..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] Simulation Commands Dispatched." -ForegroundColor Green

• 清理命令：

  # 清理模拟伪造
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] Cleanup: Removed $scriptPath" -ForegroundColor Green
  } else {
      Write-Host "[!] Cleanup: Script not found, nothing to remove." -ForegroundColor Gray
  }