Grundlage der Warnmeldung sind zahlreiche Ermittlungen des FBI und deutscher Strafverfolgungsbehörden zu SafePay; der jüngste darin erfasste Vorfall ereignete sich im August.

Für den Erstzugang setzt die Gruppe demnach auf das Erraten von Passwörtern, Phishing sowie das Ausnutzen bekannter Schwachstellen. Die Warnmeldung nennt unter anderem:

Zusätzlich kommen automatisierte Skripte zum Einsatz, die über das Internet erreichbare Systeme auf solche Lücken absuchen. „Sobald sie im Netzwerk sind, verschaffen sich die SafePay-Akteure Kontrolle, indem sie neue Konten anlegen oder bestehende übernehmen“, erklärten die Behörden. „Anschließend nutzen sie legitime Systemwerkzeuge, um sich im Netzwerk zu bewegen, wertvolle Dateien zu identifizieren und Schutzmechanismen zu deaktivieren, um einer Entdeckung zu entgehen.“

In einigen Fällen ändern die Angreifer die Passwörter von Systembenutzern, um deren Anmeldung und damit eine Unterbrechung der Aktivitäten zu erschweren. Vor der Verschlüsselung werden Daten mit legitimen Werkzeugen komprimiert und abgezogen. Für die Übertragung der Ransomware auf die Zielsysteme nutzt die Gruppe gängige Fernwartungssoftware wie AnyDesk oder TeamViewer.

Typischerweise hält SafePay verschlüsselte Daten als Druckmittel zurück und fordert für den Entschlüsselungsschlüssel „einen Teil des Unternehmensumsatzes in Kryptowährung“. Um den Druck zu erhöhen, ruft den Angaben zufolge ein Vertreter im Namen der Gruppe bei den Opfern an.

Auf der Leak-Seite der Gruppe stehen derzeit Dutzende deutsche Unternehmen sowie Regierungsorganisationen in Lateinamerika und den USA. Fachleute hatten bereits zuvor darauf hingewiesen, dass Teile des SafePay-Codes LockBit ähneln — einer inzwischen weitgehend zerschlagenen Ransomware-Operation, die für Hunderte Angriffe verantwortlich war.

Zuletzt reklamierte SafePay Angriffe auf einen der größten US-Anbieter von IT-Produkten und -Dienstleistungen, auf das britische Technologieunternehmen Microlise sowie auf den Regierungsdienstleister Conduent für sich. Der Angriff auf Conduent richtete in den USA erheblichen Schaden an, da das Unternehmen unter anderem Aufgaben im Bereich Medicaid, Unterhaltszahlungen, Lebensmittelhilfen und Straßenmaut übernimmt. In Reaktion auf eine nach dem Angriff eingereichte Sammelklage kündigte Conduent vergangenen Freitag einen Vergleich über 80 Millionen US-Dollar an.