SafePay 勒索软件团伙自 2024 年 8 月以来活动频繁，针对全球范围内的组织。其初始访问途径包括凭据泄露、密码猜测、利用漏洞以及网络钓鱼。一旦进入内部，SafePay 攻击者会创建或接管账户，并利用合法的系统工具进行网络横向移动和禁用安全措施。随后，他们加密受害者的数据，并要求支付加密货币以获取解密密钥。CVE-2020-3259、CVE-2023-20269 等漏洞被用于初始访问。SafePay 采用“就地生存”（living off the land）技术，利用现有系统工具实现持久化、执行和横向移动。他们禁用安全软件，并利用特权提升方法（如 UAC 绕过）获取更高权限。数据收集与外传使用 FileZilla、RClone 和 WinSCP 等工具。攻击者针对卷影复制服务（Volume Shadow Copy Service）和备份存储，以阻碍恢复工作。加密采用混合方案，使得无密钥情况下数据无法恢复。勒索信息中包含 TOR 链接和受害者标识，攻击者还可能拨打电话施压。若未支付赎金，被盗数据通常会被公开在网上。建议的缓解措施包括定期打补丁、实施零信任原则、限制权限以及启用多因素认证。