SafePay Ransomware zerstört zuerst die Backups

Die SafePay Ransomware hat seit August 2024 mindestens 600 Organisationen kompromittiert, und laut einer gemeinsamen Warnung vom 20. Oktober stoppen ihre Betreiber Schattenkopien und setzen Backup-Speicher zurück, bevor sie irgendetwas verschlüsseln. FBI, CISA und US Secret Service haben sie gemeinsam mit dem Landeskriminalamt Rheinland-Pfalz und britischen Behörden (National Crime Agency und North West Regional Organised Crime Unit) verfasst. Die Gruppe dringt über alte, bekannte Lücken in Firewalls und Backup-Software ein.

Was ist passiert

Die Warnung (AA26-293A) beschreibt SafePay-Aktivitäten in kritischer Infrastruktur in Nord- und Südamerika, Europa und Australien, gestützt auf Ermittlungen bis August 2026. Der erste Zugriff erfolgt über offengelegte Zugangsdaten, Phishing, Brute Force und verwundbare, aus dem Internet erreichbare Systeme. Die Ermittler beobachteten, dass SafePay Mullvad-VPN-Adressen zusammen mit gephishten Kontoprofilen nutzt, um die beiden Cisco-Lücken unten auszunutzen; die anderen drei wurden mit automatisierten Skripten gegen aus dem Internet erreichbare Systeme ausgenutzt.

Im Netzwerk legen die Täter Administratorkonten an oder übernehmen vorhandene, bewegen sich mit PsExec, Windows Remote Management und Remote Desktop, listen Netzwerkfreigaben mit ShareFinder.ps1 und SharpShares.exe auf und schalten Sicherheitssoftware ab. Daten kopieren sie mit WinSCP und RClone ab, in einigen Fällen zu Backblaze B2, und für den Fernzugriff nutzen sie AnyDesk und TeamViewer. Danach folgt der Schritt, der für die Wiederherstellung am meisten zählt: Sie stoppen den Volume Shadow Copy Service und setzen NAS-Systeme mit Backups auf Werkseinstellungen zurück. In einigen Fällen löschten sie alle netzwerkgebundenen Backups des Unternehmens. Die Dateien werden mit ChaCha20 und RSA verschlüsselt und erhalten die Endung .SafePay. Die Lösegeldforderungen orientieren sich an einem Anteil des Umsatzes, und die Täter rufen Opfer an, um den Druck zu erhöhen.

Fünf Schwachstellen sind als Einstiegspunkte genannt: CVE-2020-3259 und CVE-2023-20269 (Cisco), CVE-2023-27532 und CVE-2024-40711 (Veeam) sowie CVE-2024-40766 (SonicWall SonicOS).

Warum das wichtig ist

Jede der fünf Lücken ist mindestens zwei Jahre alt und hat einen Herstellerfix. Die Gruppe braucht keine Zero-Days. Ungepatchte Edge-Geräte und Backup-Server reichen, dazu Backups, die dasselbe Administratorkonto erreichen kann. Hat ein Angreifer dieses Konto, ist das Backup nur eine weitere Freigabe, die sich löschen lässt.

Annahme: Für mittelständische Unternehmen in DACH ist das Muster aus Firewall, Veeam und NAS oft dasselbe und wird von kleinen IT-Teams betrieben. Zu dieser Warnung haben wir Stand 21. Oktober keine BSI-Meldung gefunden (Suchergebnis, kein Beweis). Die Wiederherstellung ist eine Governance-Frage: Wenn sich der einzige Restore-Weg mit einem Domänen-Admin-Passwort löschen lässt, hat die Geschäftsführung keine Wiederherstellungsgarantie, sondern nur eine Kopie, die so aussieht.

Was Sie jetzt tun sollten

1. Die fünf Einstiegspunkte schließen. Prüfen Sie jedes aus dem Internet erreichbare Cisco-, SonicWall- und Veeam-System anhand der fünf CVE-IDs, patchen oder ersetzen Sie betroffene Systeme und erzwingen Sie Multifaktor-Authentifizierung für VPN, Firewall und Backup-Administration.
2. Eine Backup-Kopie unerreichbar machen. Halten Sie eine Offline- oder unveränderliche Kopie außerhalb der Domäne mit eigenen Zugangsdaten vor und beschränken Sie die NAS- und Backup-Administration auf dedizierte Konten. Führen Sie in diesem Quartal einen vollständigen Restore-Test durch und messen Sie die Dauer.
3. Nach den Vorbereitungsschritten suchen. Alarmieren Sie bei gestoppten Volume-Shadow-Copy-Diensten, neuen Administratorkonten, Fernzugriffstools, die niemand installiert hat, RClone- oder WinSCP-Aktivität und großen ausgehenden Transfers zu Cloud-Speichern. Prüfen Sie legitime Tools im Kontext, bevor Sie sie blockieren, wie die Warnung selbst empfiehlt.
4. Wenn Sie einen Einbruch finden: Betroffene Hosts isolieren, Beweise sichern, alle kompromittierten Konten eingrenzen und die Bereinigung planen, bevor Sie wiederherstellen.

DIESEC Perspektive

Über die Wiederherstellung nach Ransomware wird vor dem Angriff entschieden: dadurch, wo die Backups liegen und wer sie löschen kann. Behandeln Sie die Backup-Infrastruktur in jeder Risikoanalyse als Primärziel, denn die Angreifer tun es längst.

Unsicher, ob Ihre Backups eine Kompromittierung des Domänen-Admins überstehen? Kontaktieren Sie DIESEC für einen Ransomware-Readiness-Check mit Backup-Zerstörungsszenario.

Quellen: CISA AA26-293A | GBHackers
Veröffentlicht: 22.10.2026 | Kategorie: Ransomware & Erpressung | ca. 4 Min. Lesezeit