SafePay ransomware, CISA e FBI: 600 vittime e backup distrutti

🛡️ Executive Summary

• CISA, FBI e autorità europee documentano almeno 600 organizzazioni colpite da SafePay dall’agosto 2024, comprese aziende appartenenti a diversi settori delle infrastrutture critiche.
• Il gruppo sfrutta credenziali VPN compromesse e vulnerabilità note in Cisco ASA, Veeam Backup & Replication e SonicWall, per poi utilizzare strumenti amministrativi legittimi.
• SafePay sottrae i dati, cancella le copie shadow e può riportare i NAS alle impostazioni di fabbrica prima della cifratura, aggravando le possibilità di recupero.

SafePay è diventato uno dei gruppi ransomware più attivi del 2026, con almeno 600 organizzazioni colpite dall’agosto 2024 e una strategia che combina credenziali rubate, vulnerabilità note e distruzione dei backup. Un advisory congiunto pubblicato il 20 ottobre da CISA, FBI, Secret Service e autorità investigative tedesche e britanniche ricostruisce le tecniche utilizzate dalla banda per compromettere reti aziendali, sottrarre informazioni e impedire il ripristino dei sistemi. Gli attacchi interessano aziende e organizzazioni appartenenti a settori critici in Nord America, Sud America, Europa e Australia. Il dato più significativo non riguarda soltanto l’estensione delle campagne, ma la capacità degli operatori di sfruttare accessi amministrativi legittimi e infrastrutture di backup per amplificare le conseguenze dell’estorsione.

CISA e FBI ricostruiscono l’espansione di SafePay dal 2024

Il rapporto congiunto AA26-293A dedicato a SafePay raccoglie le evidenze investigative acquisite dall’FBI, dal Secret Service e dalla polizia criminale della Renania-Palatinato, comprendendo incidenti analizzati fino all’agosto 2026. La collaborazione coinvolge anche la National Crime Agency britannica e la North West Regional Organised Crime Unit, confermando una dimensione transnazionale delle attività del gruppo. Gli investigatori identificano almeno 600 vittime distinte, distribuite tra imprese e organizzazioni di più settori delle infrastrutture critiche. Non si tratta quindi necessariamente di 600 infrastrutture critiche in senso stretto, ma di un numero minimo di organizzazioni interessate dalle operazioni criminali. SafePay aveva già acquisito visibilità attraverso la compromissione del distributore tecnologico Ingram Micro, contro il quale il gruppo rivendicò nel luglio 2025 la sottrazione di 3,5 TB di informazioni e minacciò la pubblicazione dei documenti. L’episodio, ricostruito nella precedente analisi sull’attacco SafePay a Ingram Micro, aveva già mostrato la capacità della banda di interrompere servizi essenziali per una rete internazionale di clienti e partner. Il nuovo rapporto consolida queste evidenze e descrive un modello operativo nel quale l’accesso iniziale è soltanto il primo passaggio di un’estorsione progettata per compromettere anche le possibilità di recupero.

Leggi anche: Tudou Guarantee chiude, SafePay coinvolto nel data breach Ingram Micro

Credenziali VPN rubate e cinque vulnerabilità note aprono le reti aziendali

Gli operatori SafePay ottengono l’accesso iniziale attraverso password esposte o sottratte mediante phishing, attacchi brute force e compromissione delle connessioni VPN. Le autorità segnalano l’impiego di indirizzi appartenenti al servizio VPN commerciale Mullvad, utilizzati per raggiungere le reti delle vittime e mascherare l’origine delle connessioni; questo elemento non implica un coinvolgimento del provider nelle attività criminali. Il gruppo utilizza anche script automatizzati per identificare sistemi accessibili da Internet e sfruttare vulnerabilità già documentate. L’advisory richiama CVE-2020-3259 e CVE-2023-20269 nei dispositivi Cisco ASA e Firepower Threat Defense, oltre a CVE-2023-27532 e CVE-2024-40711 in Veeam Backup & Replication e CVE-2024-40766 nei firewall SonicWall SonicOS. Le cinque vulnerabilità riguardano prodotti e condizioni tecniche differenti, ma condividono un aspetto operativo: possono offrire opportunità di accesso o compromissione quando i sistemi rimangono esposti e non aggiornati. In particolare, il coinvolgimento delle infrastrutture di backup attraverso Veeam assume un’importanza strategica per gruppi interessati a neutralizzare le procedure di ripristino. Le precedenti vulnerabilità critiche di SonicWall, Veeam e Cisco erano già state documentate nel 2024, confermando che gli attacchi ransomware continuano a sfruttare difetti conosciuti da anni anziché dipendere necessariamente da nuove zero-day.

PsExec, WinRM e RDP trasformano gli strumenti legittimi in vettori offensivi

Dopo la compromissione iniziale, SafePay cerca di consolidare il controllo attraverso account amministrativi esistenti o nuove identità privilegiate, utilizzando strumenti normalmente presenti negli ambienti Windows. Le attività investigative documentano l’impiego di PsExec, Windows Remote Management e Remote Desktop Protocol per eseguire comandi e spostarsi tra sistemi, mentre ShareFinder.ps1 e SharpShares.exe vengono utilizzati per individuare risorse condivise e informazioni accessibili nella rete. La banda può inoltre ricorrere a tecniche di sottrazione delle credenziali e disattivazione dei prodotti di sicurezza, rendendo più difficile distinguere le operazioni dell’attaccante dalle normali attività di amministrazione. Prima della cifratura, i file vengono raccolti e compressi attraverso utility diffuse come 7-Zip e WinRAR, quindi trasferiti all’esterno mediante strumenti e servizi che comprendono WinSCP, RClone, FileZilla, OneDrive e Backblaze B2. L’utilizzo di software legittimo riduce la necessità di distribuire malware specializzato in ogni fase dell’intrusione e permette di sfruttare protocolli che possono essere già autorizzati dalle policy aziendali. Anche le applicazioni di controllo remoto AnyDesk e TeamViewer possono essere impiegate per mantenere l’accesso e distribuire il payload. Queste tecniche richiamano le campagne ransomware contro le VPN SonicWall condotte da Akira e Fog, dove credenziali remote compromesse e strumenti di amministrazione avevano consentito una rapida propagazione nelle infrastrutture bersaglio. Il comportamento anomalo degli account privilegiati diventa quindi un indicatore più significativo della semplice presenza di un eseguibile sospetto.

SafePay cancella le shadow copy e può azzerare i NAS di backup

La caratteristica più distruttiva della campagna riguarda la fase preparatoria alla cifratura. Secondo le autorità statunitensi ed europee, SafePay arresta il servizio Volume Shadow Copy di Windows, elimina le copie disponibili e può riportare i dispositivi Network Attached Storage alle impostazioni di fabbrica, compromettendo le risorse utilizzate dalle aziende per recuperare i propri dati. Si tratta di un’azione che supera il normale blocco dei file: gli attaccanti tentano di rendere inutilizzabili anche le infrastrutture sulle quali le vittime fanno affidamento per riprendere le attività senza pagare. Il ransomware utilizza una combinazione di ChaCha20 e crittografia RSA, adattando le operazioni di cifratura alle caratteristiche dei file e aggiungendo l’estensione .SafePay ai contenuti colpiti. La nota di riscatto indirizza la vittima verso un portale di negoziazione sulla rete Tor, dove viene richiesta una somma in criptovalute generalmente parametrata alle dimensioni economiche dell’organizzazione. La strategia di double extortion comprende anche la minaccia di pubblicare le informazioni sottratte, mentre in alcuni incidenti gli operatori avrebbero contattato telefonicamente le vittime per aumentare la pressione. Il sabotaggio dei backup rappresenta una debolezza già emersa nel caso IDCF Cloud, dove centinaia di clienti hanno dovuto affrontare la perdita di disponibilità dei sistemi colpiti da ransomware. Il possesso di un backup non garantisce la resilienza quando gli aggressori possono amministrare o cancellare anche l’infrastruttura che lo conserva.

Continua con:

Akira ransomware colpisce SonicWall e Veeam: CISA aggiorna le tecniche

LockBit, Clop e SafePay: frammentazione dei gruppi ransomware

Difesa ransomware: proteggere accessi remoti, identità e copie di sicurezza

La comunicazione ufficiale CISA sul nuovo advisory invita le organizzazioni ad adottare una strategia concentrata su patching dei dispositivi esposti, autenticazione multifattore, controllo degli accessi amministrativi e protezione dei backup. Per le imprese italiane le priorità comprendono la verifica delle versioni di Cisco ASA, Veeam e SonicWall, la revisione degli account VPN e l’identificazione di tentativi di autenticazione anomali, soprattutto quando provengono da infrastrutture di anonimizzazione o da indirizzi normalmente non utilizzati dai dipendenti. Un secondo livello di controllo riguarda creazione di nuovi amministratori, accessi RDP inattesi, uso insolito di PsExec e trasferimenti di grandi quantità di dati verso servizi cloud. Sul versante del recupero, le copie di sicurezza devono essere separate dalle credenziali amministrative ordinarie, protette contro modifiche e cancellazioni e periodicamente sottoposte a prove di ripristino. L’advisory contiene anche indicatori di compromissione distribuibili in formato STIX, ma gli indirizzi e gli strumenti elencati richiedono contestualizzazione: un software legittimo o un IP condiviso non dimostrano da soli un’infezione. Il rischio principale evidenziato dal caso SafePay è la convergenza tra accessi remoti insufficientemente protetti e backup amministrabili dallo stesso ambiente compromesso. Per contrastare il gruppo non basta quindi bloccare l’eseguibile ransomware: occorre impedire che credenziali rubate e privilegi eccessivi consentano agli aggressori di raggiungere contemporaneamente produzione, dati e sistemi di recupero.