SafePayランサムウェアグループは、2024年8月以降、世界中の組織を標的として非常に活発に活動しています。彼らは、侵害された認証情報、パスワード推測、脆弱性の悪用、フィッシングを通じて初期アクセスを得ます。侵入後、SafePayの攻撃者はアカウントを作成または侵害し、ネットワークの移動やセキュリティ対策の無効化に正規のシステムツールを使用します。その後、被害者のデータを暗号化し、復号のために仮想通貨を要求します。CVE-2020-3259、CVE-2023-20269などの脆弱性が初期アクセスに悪用されます。SafePayは、「living off the land」技術を採用し、既存のシステムツールを永続化、実行、ラテラルムーブメントに使用します。セキュリティソフトウェアを無効化し、UACバイパスなどの権限昇格手法を悪用します。データは、FileZilla、RClone、WinSCPなどのツールを使用して収集および流出されます。ボリュームシャドウコピーサービスとバックアップストレージが、復旧を妨害するために標的とされます。暗号化は、キーなしではデータを復旧不能にするハイブリッドスキームを通じて達成されます。TORリンクと被害者IDを含む身代金要求メモが残され、圧力をかけるために電話がかかってくることもあります。支払いがなされない場合、盗まれたデータはしばしばオンラインに投稿されます。推奨される緩和策には、定期的なパッチ適用、ゼロトラスト原則、権限の制限、多要素認証が含まれます。