SafePay 랜섬웨어 그룹은 2024년 8월부터 전 세계 조직을 대상으로 매우 활발하게 활동하고 있습니다. 이들은 손상된 자격 증명, 비밀번호 추측, 취약점 악용, 피싱을 통해 초기 접근 권한을 얻습니다. 내부 침투 후 SafePay 공격자들은 계정을 생성하거나 손상시키고, 합법적인 시스템 도구를 사용하여 네트워크 이동 및 보안 조치를 비활성화합니다. 그런 다음 피해자 데이터를 암호화하고 복호화를 위해 암호화폐를 요구합니다. CVE-2020-3259, CVE-2023-20269 등과 같은 취약점이 초기 접근에 악용됩니다. SafePay는 "living off the land" 기법을 사용하여 기존 시스템 도구를 지속성, 실행 및 측면 이동에 활용합니다. 보안 소프트웨어를 비활성화하고 UAC 바이패스와 같은 권한 상승 방법을 악용합니다. FileZilla, RClone, WinSCP와 같은 도구를 사용하여 데이터를 수집하고 유출합니다. 복구를 방해하기 위해 볼륨 섀도 복사 서비스 및 백업 저장소를 대상으로 합니다. 암호화는 키 없이는 데이터를 복구할 수 없도록 하는 하이브리드 방식을 통해 달성됩니다. TOR 링크와 피해자 ID가 포함된 랜섬 노트가 남겨지며, 피해자를 압박하기 위해 전화 통화가 이루어질 수도 있습니다. 지불이 이루어지지 않으면 도난당한 데이터가 온라인에 게시되는 경우가 많습니다. 권장되는 완화 조치에는 정기적인 패치, 제로 트러스트 원칙, 제한된 권한 및 다단계 인증이 포함됩니다.