CISA und FBI: Ransomware SafePay hat mehr als 600 Betreiber kritischer Infrastrukturen angegriffen

Die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI haben in dieser Woche gemeinsam mit dem US Secret Service sowie Cybercrime-Einheiten aus Deutschland und Großbritannien eine gemeinsame Warnung veröffentlicht, wonach die Ransomware-Gruppe SafePay seit August 2024 mehr als 600 Betreiber kritischer Infrastrukturen weltweit kompromittiert hat.

Die als AA26-293A auf der CISA-Website veröffentlichte Warnung erfasst SafePay-Aktivitäten zwischen November 2024 und August 2026 und listet Opfer in Nord- und Südamerika, Europa und Australien auf. Da auf der Leak-Site von SafePay nur Organisationen genannt werden, die sich geweigert haben zu zahlen, warnten die Behörden, dass die tatsächliche Zahl der kompromittierten und erpressten Opfer mit hoher Wahrscheinlichkeit über den öffentlich bekannten 600 liegt.

SafePay trat im August 2024 als nach Einschätzung von Sicherheitsforschern private, geschlossene Operation auf – anders als Ransomware-as-a-Service-Gruppen wie LockBit oder BlackCat (ALPHV) rekrutiert sie keine externen Partner für ihre Angriffe. Diese Struktur hat sie nicht ausgebremst: Seit Anfang 2025 zählt SafePay zu den aktivsten von Bundesbehörden beobachteten Ransomware-Operationen und hat einen Großteil der Lücke gefüllt, die nach Strafverfolgungsmaßnahmen gegen LockBit und BlackCat entstanden war.

Laut der Warnung stützen sich die Methoden für den Erstzugriff von SafePay stark auf offen zugängliche oder unzureichend geschützte Fernzugänge. Die Gruppe führt Brute-Force-Angriffe auf VPN-Zugangsdaten durch und wurde dabei beobachtet, wie sie IP-Adressen des VPN-Anbieters Mullvad nutzt, um ihre Infrastruktur während der Angriffe zu verschleiern. Zudem verwendet sie per Phishing erlangte Zugangsdaten und automatisierte Scan-Skripte, um bekannte Schwachstellen in mit dem Internet verbundenen Edge-Geräten wie Firewalls und VPN-Gateways auszunutzen – dieselbe Kategorie von Schwachstellen, die auch im CISA-Katalog bekannter ausgenutzter Schwachstellen erfasst ist.

Sobald SafePay Zugriff auf ein Netzwerk hat, folgt die Gruppe einem inzwischen bekannten Muster der doppelten Erpressung: Zunächst werden sensible Dateien exfiltriert, bevor die Verschlüsselung erfolgt, anschließend wird mit der Veröffentlichung der gestohlenen Daten gedroht, falls kein Lösegeld gezahlt wird. Laut der Warnung zielt die Gruppe gezielt auf Backup-Infrastruktur ab, um die Wiederherstellung zu erschweren – etwa durch das Löschen von Volume-Shadow-Copies auf kompromittierten Windows-Systemen und das Zurücksetzen von Network-Attached-Storage-Geräten (NAS), auf denen Backup-Daten liegen.

CISA und FBI bekräftigten, dass die Zahlung eines Lösegelds weder die Wiederherstellung der Dateien garantiert noch verhindert, dass gestohlene Daten dennoch veröffentlicht werden, und riefen Opfer dazu auf, Vorfälle den Strafverfolgungsbehörden zu melden, statt im Stillen zu verhandeln. Zu den Empfehlungen der Warnung für Betreiber kritischer Infrastrukturen zählen die Einführung von Multi-Faktor-Authentifizierung (MFA) und ein strengeres Identitäts- und Zugriffsmanagement, die Einschränkung administrativer Tools zur Begrenzung lateraler Bewegungen nach einem Erstangriff sowie die vorrangige Behebung von VPN-, Firewall- und anderen Edge-Geräte-Schwachstellen aus der CISA-Liste bekannter ausgenutzter Schwachstellen. Die vollständige Warnung enthält laut BleepingComputer Kompromittierungsindikatoren und nach dem MITRE-ATT&CK-Framework kategorisierte Techniken, die Verteidigungsteams in ihren eigenen Netzwerken prüfen können.