Eine gemeinsame Warnung mit deutschen und britischen Behörden beschreibt, wie die Gruppe über gestohlene Zugänge eindringt und Backups gezielt zerstört.
Backups gezielt zerstört
Deutschland im Visier: SafePay traf über 600 Organisationen
Die Ransomware-Gruppe SafePay hat seit August 2024 mindestens 600 Organisationen in mehreren Sektoren der kritischen Infrastruktur angegriffen. Das geht aus einer gemeinsamen Warnung der US-Cybersicherheitsbehörde CISA, des FBI und des US Secret Service hervor, die unter der Kennung AA26-293A veröffentlicht wurde. Beteiligt waren auch Strafverfolgungsbehörden aus Deutschland und Großbritannien. Die Erkenntnisse beruhen auf Ermittlungen bis August 2026. Betroffen sind Unternehmen und Einrichtungen in Nordamerika, Südamerika, Europa und Australien. Die Behörden zählen SafePay zu den aktivsten Ransomware-Gruppen des Jahres 2026.
„SafePay-Akteure haben bereits weltweit mehr als 600 Opfer in mehreren Sektoren kritischer Infrastruktur ins Visier genommen.”
Brett Leatherman, Leiter der Cyberabteilung des FBI
Einstieg über Zugangsdaten und VPN
Laut der Warnung verschaffen sich die Angreifer Zugang über offengelegte Zugangsdaten, Phishing, Brute-Force-Angriffe und angreifbare Systeme, die aus dem Internet erreichbar sind, etwa VPN-Zugänge und andere Geräte am Netzwerkrand. Die Behörden nennen fünf Schwachstellen, die SafePay für den Ersteinstieg ausnutzt. Für alle gibt es bereits Sicherheitsupdates, Zero-Day-Lücken setzte die Gruppe nicht ein. Zwei der Lücken betreffen die Backup-Software Veeam Backup & Replication. Die Ermittler beobachteten zudem Verbindungen von IP-Adressen des VPN-Dienstes Mullvad.
Backups gezielt zerstört
Im Netzwerk bewegen sich die Angreifer mit legitimen Administrationswerkzeugen wie PsExec, Windows Remote Management und dem Remote Desktop Protocol. Mit den Werkzeugen ShareFinder.ps1 und SharpShares.exe suchen sie nach Netzwerkfreigaben mit wertvollen Daten, bevor sie diese stehlen und Systeme verschlüsseln. Um eine Wiederherstellung zu verhindern, beenden sie den Windows-Dienst für Schattenkopien und setzen Netzwerkspeicher auf Werkseinstellungen zurück. Zudem schalten sie Sicherheitsfunktionen ab.
Anders als viele andere Gruppen arbeitet SafePay nicht nach dem Modell Ransomware-as-a-Service mit Partnern, sondern führt Angriffe mit einem eigenen Team durch. Deutschland ist besonders betroffen: 2025 beanspruchte die Gruppe laut Cybernews Angriffe auf 76 deutsche Unternehmen, ein Viertel aller deutschen Opfer auf Leak-Seiten in jenem Jahr. Anfang Oktober führte sie die Telekom-Tochter T-Systems auf ihrer Leak-Seite, bestätigt ist ein Angriff dort nicht.
Die Behörden empfehlen, die genannten Schwachstellen umgehend zu schließen, Multi-Faktor-Authentifizierung insbesondere für Fernzugänge einzusetzen, Backups offline und unveränderbar vorzuhalten und den Einsatz von Fernwartungs- und Administrationswerkzeugen zu überwachen. Indikatoren zur Erkennung sind in der Warnung veröffentlicht.
(red)
