به‌گفته یک اطلاعیه امنیتی جدید از سوی نهادهای بین‌المللی اجرای قانون، باند باج‌افزار SafePay از اوت 2024 تاکنون در دست‌کم 600 سازمان در ایالات متحده و اروپا نفوذ کرده است.
اداره تحقیقات فدرال آمریکا FBI و آژانس‌های امنیت سایبری در آلمان و بریتانیا اعلام کردند SafePay اکنون «از فعال‌ترین گروه‌های باج‌افزاری در 2026» است و با حدس زدن گذرواژه‌ها، سوءاستفاده از آسیب‌پذیری‌ها و اجرای حملات فیشینگ، کسب‌وکارها و زیرساخت حیاتی را هدف قرار می‌دهد.
این اطلاعیه بر پایه تحقیقات متعدد اداره تحقیقات فدرال آمریکا FBI و نهادهای اجرای قانون آلمان درباره SafePay تدوین شده است. تازه‌ترین رویداد ذکرشده در آن در ماه اوت رخ داده است.
در این اطلاعیه چندین آسیب‌پذیری که این گروه در حملات خود از آن‌ها سوءاستفاده کرده، فهرست شده است؛ از جمله CVE-2020-3259، CVE-2023-20269، CVE-2023-27532، CVE-2024-40711، CVE-2024-40766 و موارد دیگر.
«پس از ورود به شبکه، اعضای SafePay با ایجاد حساب‌های جدید یا در اختیار گرفتن حساب‌های موجود، کنترل را به دست می‌گیرند»، این آژانس‌ها گفتند. «سپس با استفاده از ابزارهای مشروع سیستم در شبکه جابه‌جا می‌شوند، فایل‌های ارزشمند را شناسایی می‌کنند و برای گریز از شناسایی، حفاظت‌های امنیتی را غیرفعال می‌سازند.»
این گروه از اسکریپت‌های خودکار نیز برای هدف‌گیری آسیب‌پذیری‌ها در سیستم‌های در معرض اینترنت استفاده می‌کند.
در برخی موارد، مهاجمان گذرواژه‌های کاربران سیستم را تغییر می‌دهند تا ورود آنان دشوار شود و نتوانند فعالیت مهاجمان را متوقف کنند.
آنان پیش از استقرار باج‌افزار بر روی دستگاه‌های قربانی، با استفاده از ابزارهای مشروع، فایل‌ها را فشرده می‌کنند و آن‌ها را از شبکه خارج می‌کنند. همچنین برای انتقال باج‌افزار به سیستم‌های قربانی از ابزارهای مشروع دسکتاپ از راه دور، نظیر AnyDesk یا نرم‌افزار TeamViewer، استفاده می‌کنند.
در این اطلاعیه آمده است که SafePay معمولاً داده‌های رمزگذاری‌شده را گرو نگه می‌دارد و در ازای کلید رمزگشایی، «بخشی از درآمد شرکت به‌صورت رمزارز» مطالبه می‌کند.
«برای افزایش فشار بر قربانی، یک نماینده از طرف گروه باج‌افزار تماس‌های تلفنی برقرار می‌کند.»
وب‌سایت افشای داده‌های این گروه در حال حاضر نام ده‌ها شرکت آلمانی و نیز سازمان‌های دولتی در سراسر آمریکای لاتین و ایالات متحده را فهرست کرده است. کارشناسان پیش‌تر گفته‌اند بخش‌هایی از کد SafePay شباهت‌هایی دارد به LockBit؛ عملیاتی باج‌افزاری که تا حد زیادی از کار افتاده است و پیش‌تر مسئول صدها حمله بود.
گروه SafePay اخیراً مسئولیت حملات به یکی از بزرگ‌ترین ارائه‌دهندگان محصولات و خدمات IT در ایالات متحده، شرکت فناوری بریتانیایی Microlise و پیمانکار فناوری دولت Conduent را بر عهده گرفته است.
حمله SafePay به Conduent به دلیل نقش این شرکت در برنامه Medicaid، حمایت از فرزند، کمک‌هزینه غذا، عوارض جاده‌ای و موارد دیگر، خسارت قابل‌توجهی در سراسر ایالات متحده ایجاد کرد. شرکت Conduent روز جمعه گذشته در پاسخ به دادخواست گروهی که پس از حمله باج‌افزاری مطرح شده بود، اعلام کرد به توافق 80 میلیون دلاری رسیده است.
