Il gruppo di ransomware SafePay continua a seminare il panico, con nuove informazioni che svelano tecniche di sabotaggio dei backup e un'attività crescente nel 2026. Le agenzie di sicurezza internazionali lanciano un nuovo allarme.
Un'allerta di sicurezza congiunta emessa da diverse agenzie internazionali, tra cui la CISA (Cybersecurity and Infrastructure Security Agency) americana, l'FBI, il Servizio Segreto degli Stati Uniti, e le forze dell'ordine di Germania e Regno Unito, ha messo in luce l'operatività del gruppo di ransomware denominato SafePay. Questa minaccia, emersa nell'agosto 2024, ha già colpito un numero significativo di organizzazioni, superando le 600, con un impatto particolarmente grave sui settori delle infrastrutture critiche. Le nuove informazioni confermano che SafePay si distingue per una strategia aggressiva che va oltre il semplice furto di dati e la crittografia dei sistemi. Gli attaccanti mirano attivamente a distruggere o rendere inutilizzabili i backup delle vittime, complicando enormemente il recupero delle operazioni. Le operazioni di SafePay sono state tracciate a partire dall'agosto 2024 e hanno una portata globale, interessando organizzazioni in Nord America, Sud America, Europa e Australia.
Attività Crescente e Possibili Riconversioni
Le nuove fonti evidenziano una preoccupante escalation dell'attività di SafePay. Secondo un rapporto di BlacKite pubblicato nel giugno 2026, il gruppo si è posizionato come il terzo attore di ransomware più attivo nei primi quattro mesi dello stesso anno, con un focus particolare sulla Germania. Ulteriori dati da NCC Group indicano che, nel maggio 2026, SafePay è stato il gruppo di ransomware più prolifico, rivendicando 70 attacchi in un solo mese. Questa intensificazione delle operazioni ha portato alcuni analisti a ipotizzare che SafePay possa rappresentare una riconversione di gruppi ransomware ben noti come LockBit, ALPHV/BlackCat e INC Ransomware. Il gruppo è anche sospettato di essere dietro l'attacco ransomware del novembre 2024 contro la società di servizi aziendali statunitense Conduent, che ha comportato l'esfiltrazione di una notevole quantità di dati personali e sanitari. A seguito di questo incidente, Conduent ha accettato di pagare 80 milioni di dollari per risolvere una class action legata alla violazione dei dati.
Gli aggressori impiegano una varietà di metodi per infiltrarsi nelle reti aziendali. Tra le tecniche più comuni vi sono l'abuso di credenziali esposte, campagne di phishing mirate, attacchi di forza bruta e lo sfruttamento di sistemi vulnerabili accessibili da Internet. Le indagini forensi hanno identificato diverse vulnerabilità chiave che vengono attivamente sfruttate per ottenere l'accesso iniziale. Tra queste, spiccano CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 (una falla critica con punteggio CVSS 9.8 che permette l'esecuzione remota di codice) e CVE-2024-40766, che riguarda SonicWall SonicOS. Le nuove fonti evidenziano ulteriormente che SafePay sfrutta anche le vulnerabilità dei Virtual Private Network (VPN), in particolare quelle relative agli indirizzi IP del provider VPN 'Mullvad'. Inoltre, gli attaccanti utilizzano profili di account ottenuti tramite phishing e sfruttano Common Vulnerabilities and Exposures (CVE) su dispositivi perimetrali e altri sistemi esposti su Internet attraverso script automatizzati.
Una volta stabilito l'accesso, gli operatori di SafePay assicurano la persistenza creando nuovi account utente o compromettendo account esistenti per ottenere privilegi amministrativi. La loro capacità di operare in modo furtivo è notevole, facendo ampio uso di utility amministrative legittime come PsExec, Windows Remote Management (WinRM) e Remote Desktop Protocol (RDP) per eseguire comandi e muoversi lateralmente all'interno della rete. Strumenti come ShareFinder.ps1 e SharpShares.exe vengono utilizzati per mappare le condivisioni di rete e identificare i dati sensibili prima dell'esfiltrazione e della crittografia. Le nuove fonti aggiungono che SafePay utilizza anche software di gestione e monitoraggio remoto (RMM) per espandere la propria presenza all'interno della rete compromessa.
Per il furto dei dati, SafePay impiega strumenti come WinSCP, FileZilla e RClone, con evidenze dell'uso di OneDrive in alcune intrusioni. I dati vengono compressi utilizzando utility come 7-Zip e WinRAR, e successivamente esfiltrati verso servizi cloud come Backblaze B2 tramite l'eseguibile b2.exe. Per nascondere il codice malevolo, vengono impiegate tecniche di software packing e protezione per macchine virtuali. Gli attaccanti disattivano attivamente il software di sicurezza, modificano le password degli utenti legittimi e utilizzano applicazioni di accesso remoto come AnyDesk e TeamViewer per distribuire il payload del ransomware e gli strumenti di supporto.
Il sabotaggio dei backup rappresenta una fase critica dell'attacco. Gli operatori di SafePay interrompono il servizio Volume Shadow Copy (VSS) e resettano i Network Attached Storage (NAS) contenenti le copie di sicurezza alle impostazioni di fabbrica. In diversi casi documentati, tutti i backup aziendali accessibili dalla rete sono stati cancellati, rendendo il ripristino estremamente difficile prima ancora di avviare le negoziazioni per il riscatto. Le nuove fonti confermano che SafePay è noto per le sue tattiche di doppia estorsione, rubando documenti sensibili prima di crittografare i sistemi e minacciando di pubblicare i dati rubati se il riscatto non viene pagato. Le richieste economiche sono generalmente commisurate a una percentuale del fatturato aziendale e devono essere pagate in criptovalute. Gli attaccanti possono aumentare la pressione contattando telefonicamente le vittime e minacciando la pubblicazione dei dati rubati sul loro leak site. Una rappresentante del gruppo contatta direttamente le vittime per esercitare ulteriore pressione.
Una volta completata l'esfiltrazione, i file vengono crittografati utilizzando un sofisticato schema di crittografia ibrida che combina l'algoritmo ChaCha20 con il sistema a chiave pubblica RSA, con i file crittografati che acquisiscono l'estensione .SafePay. Le note di riscatto indirizzano le vittime verso un portale di chat su Tor, utilizzando un identificatore univoco.
La CISA e le agenzie partner raccomandano alle organizzazioni di dare priorità alla correzione delle vulnerabilità sfruttate sui sistemi esposti, implementare l'autenticazione a più fattori (MFA), limitare i privilegi amministrativi e segmentare le reti. Fondamentali per mitigare l'impatto sono i backup offline, crittografati e immutabili, unitamente a procedure di ripristino regolarmente testate. Le difese dovrebbero monitorare la creazione di account utente inaspettati, attività di amministrazione remota sospette, modifiche ai servizi di sicurezza e trasferimenti dati in uscita anomali. È importante notare che, una volta che gli attaccanti ottengono credenziali valide, la capacità di prevenzione delle difese diminuisce drasticamente, rendendo cruciali le strategie di gestione delle identità e degli accessi (ICAM). Le agenzie sottolineano inoltre che il pagamento dei riscatti non garantisce il recupero dei file crittografati e incoraggiano le vittime a segnalare gli incidenti alle forze dell'ordine. L'intelligence fornita include indicatori di compromissione (IOC) e tattiche, tecniche e procedure (TTP) che richiedono una verifica contestuale prima di procedere al blocco, data la potenziale presenza di strumenti legittimi o indirizzi IP storici. In caso di rilevamento di un'intrusione, è essenziale isolare gli host compromessi, preservare le prove investigative, definire l'ambito degli account violati e coordinare le azioni di eradicazione. Le raccomandazioni includono anche il mantenimento di copie multiple di dati sensibili e server in luoghi fisicamente separati e sicuri, oltre all'implementazione di un piano di ripristino efficace.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
