Группа вымогателей SafePay активно действует с августа 2024 года, нацеливаясь на организации по всему миру. Первоначальный доступ они получают через скомпрометированные учетные данные, подбор паролей, использование уязвимостей и фишинг. Оказавшись внутри, злоумышленники SafePay создают или компрометируют учетные записи и используют легитимные системные инструменты для перемещения по сети и отключения мер безопасности. Затем они шифруют данные жертв, требуя криптовалюту за расшифровку. Для первоначального доступа используются такие уязвимости, как CVE-2020-3259, CVE-2023-20269 и другие. SafePay применяет методы "жизни на земле", используя существующие системные инструменты для обеспечения постоянства, выполнения команд и бокового перемещения. Они отключают программное обеспечение безопасности и используют методы повышения привилегий, такие как обход UAC. Данные собираются и эксфильтруются с помощью таких инструментов, как FileZilla, RClone и WinSCP. Служба теневого копирования томов и хранилища резервных копий подвергаются атакам, чтобы затруднить восстановление. Шифрование достигается с помощью гибридной схемы, делающей данные невосстановимыми без ключа. Оставляется записка с требованием выкупа, содержащая ссылку на TOR и идентификатор жертвы, а также могут совершаться телефонные звонки для оказания давления на жертв. Если оплата не произведена, украденные данные часто публикуются в Интернете. Рекомендуемые меры по смягчению последствий включают регулярное обновление программного обеспечения, принципы нулевого доверия, ограничение привилегий и многофакторную аутентификацию.